Mērķis un darbību secība
Administratoriem jāpiesakās ar saviem kontiem, izmantojot atslēgas, un vajadzības gadījumā jālieto sudo, jo tā saglabājas ieraksts par to, kurš ko darījis, un tiek ierobežoti paroļu minēšanas mēģinājumi. Secība ir svarīga: vispirms nodrošiniet, lai jaunā piekļuve darbotos, pārbaudiet to un root ierobežojiet kā pēdējo soli. Saglabājiet pieejamu pakalpojumu sniedzēja konsoli gadījumam, ja rodas problēmas.
Izveidojiet kontu un instalējiet atslēgu
Izveidojiet kontu, pievienojiet tā publisko atslēgu un iestatiet stingras atļaujas, jo sshd ignorē atslēgu failus, kuros citi var rakstīt. Nekad nekopējiet privāto atslēgu uz serveri. Red Hat saimes sistēmās sudo grupas vietā izmantojiet wheel grupu.
sudo adduser admin1
sudo usermod -aG sudo admin1
sudo install -d -m 700 -o admin1 -g admin1 /home/admin1/.ssh
sudo install -m 600 -o admin1 -g admin1 ~/admin1.pub /home/admin1/.ssh/authorized_keysPārbaudiet no otra loga
Atstājiet pašreizējo sesiju atvērtu un pārbaudiet jauno pieteikšanos no cita termināļa. Dalība grupā pati par sevi nepierāda, ka sudo darbojas, jo to nosaka sudoers noteikumi. Apstipriniet to ar sudo -l.
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519 admin1@server.example
sudo -l
sudo -vIerobežojiet root pieteikšanos
PermitRootLogin prohibit-password ļauj root pieteikties tikai ar atslēgu, savukārt no pilnībā bloķē root piekļuvi caur SSH. Ievietojiet izmaiņu atsevišķā failā mapē /etc/ssh/sshd_config.d. Vairumam opciju sshd izmanto pirmo atrasto vērtību, tādēļ agrāk nolasītam failam var būt priekšroka. Tāpēc faktisko vērtību pārbaudiet ar sshd -T, nevis lasot failus. Pirms aizverat veco sesiju, pārbaudiet jaunu pieteikšanos.
echo 'PermitRootLogin no' | sudo tee /etc/ssh/sshd_config.d/50-root.conf
sudo sshd -t
sudo systemctl reload ssh
sudo sshd -T | grep -iE '^(permitrootlogin|passwordauthentication) 'Pieteikšanās ar paroli un no kā izvairīties
Izslēdziet PasswordAuthentication tikai tad, kad katram vajadzīgajam kontam ir pārbaudīta atslēga. Izvairieties no viena konta koplietošanas starp vairākiem cilvēkiem, jo tad nevar atsaukt vienas personas piekļuvi, neietekmējot pārējos. sudo bez paroles visam kontam arī nozīmē, ka ar nozagtu atslēgu vien pietiek pilnīgai kontrolei.
Konti programmā CH-J Server Manager
Modulis Users pārvalda kontus, grupas, SSH atslēgas un SSH piekļuvi aktīvā SSH sesijā. Tas nekad nemaina sudoers un neiestata NOPASSWD, bet faktisko sudo stāvokli rāda pēc sudo -l rezultāta. Kontu root nevar izdzēst, un root pieteikšanās ar paroli atļaušanai vajadzīgs papildu apstiprinājums; ieteicamā izvēle ir Tikai atslēga. SSH piekļuves izmaiņa tiek pārbaudīta ar sshd -T un jaunu SSH pieteikšanos, un iepriekšējā konfigurācija tiek automātiski atjaunota, ja pārbaude neizdodas vai jūs zaudētu piekļuvi. Bez sudo modulis darbojas tikai lasīšanas režīmā.