Matlamat dan urutan langkah
Pentadbir patut log masuk menggunakan kunci melalui akaun masing-masing dan menggunakan sudo apabila diperlukan, kerana ini merekodkan siapa melakukan apa dan mengehadkan cubaan meneka kata laluan. Urutannya penting: pastikan akses baharu berfungsi dahulu, ujinya, kemudian hadkan root sebagai langkah terakhir. Pastikan konsol penyedia boleh diakses sekiranya berlaku masalah.
Cipta akaun dan pasang kunci
Cipta akaun, tambah kunci awamnya dan tetapkan keizinan dengan ketat, kerana sshd mengabaikan fail kunci yang boleh ditulis oleh orang lain. Jangan sekali-kali menyalin kunci peribadi ke pelayan. Pada sistem keluarga Red Hat, gunakan kumpulan wheel dan bukannya sudo.
sudo adduser admin1
sudo usermod -aG sudo admin1
sudo install -d -m 700 -o admin1 -g admin1 /home/admin1/.ssh
sudo install -m 600 -o admin1 -g admin1 ~/admin1.pub /home/admin1/.ssh/authorized_keysUji dari tetingkap kedua
Biarkan sesi semasa terbuka dan uji log masuk baharu dari terminal lain. Keahlian kumpulan sahaja tidak membuktikan bahawa sudo berfungsi, kerana peraturan dalam sudoers yang menentukannya. Sahkan dengan sudo -l.
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519 admin1@server.example
sudo -l
sudo -vHadkan log masuk root
PermitRootLogin prohibit-password membenarkan root hanya dengan kunci, manakala no menyekat root melalui SSH sepenuhnya. Letakkan perubahan dalam fail tersendiri di bawah /etc/ssh/sshd_config.d. Bagi kebanyakan pilihan, sshd menggunakan nilai pertama yang ditemuinya, jadi fail yang dibaca lebih awal mungkin diutamakan. Oleh itu, sahkan nilai yang benar-benar berkuat kuasa dengan sshd -T dan bukannya sekadar membaca fail. Uji log masuk baharu sebelum menutup sesi lama.
echo 'PermitRootLogin no' | sudo tee /etc/ssh/sshd_config.d/50-root.conf
sudo sshd -t
sudo systemctl reload ssh
sudo sshd -T | grep -iE '^(permitrootlogin|passwordauthentication) 'Log masuk kata laluan dan perkara yang perlu dielakkan
Matikan PasswordAuthentication hanya selepas setiap akaun yang anda perlukan mempunyai kunci yang telah diuji. Elakkan berkongsi satu akaun antara beberapa orang, kerana anda tidak boleh membatalkan akses seorang tanpa menjejaskan yang lain. sudo tanpa kata laluan untuk seluruh akaun juga bermakna kunci yang dicuri sahaja sudah memberikan kawalan penuh.
Akaun dalam CH-J Server Manager
Modul Users mengurus akaun, kumpulan, kunci SSH dan akses SSH melalui sesi SSH yang aktif. Ia tidak pernah mengubah sudoers atau menetapkan NOPASSWD, dan melaporkan keadaan sudo sebenar daripada sudo -l. Akaun root tidak boleh dipadamkan, dan membenarkan log masuk root dengan kata laluan memerlukan pengesahan tambahan, dengan Key only sebagai pilihan yang disyorkan. Perubahan akses SSH disahkan dengan sshd -T dan log masuk SSH baharu, dan konfigurasi sebelumnya dipulihkan secara automatik jika semakan gagal atau akses anda akan tersekat. Tanpa sudo, modul ini baca sahaja.