Scopul și ordinea pașilor
Administratorii ar trebui să se autentifice cu propriile conturi folosind chei și să utilizeze sudo când este nevoie, deoarece astfel rămâne o evidență a acțiunilor fiecăruia și se limitează încercările de ghicire a parolelor. Ordinea contează: mai întâi fă să funcționeze noul acces, testează-l și restricționează root la final. Păstrează disponibilă consola furnizorului în caz că apar probleme.
Creează contul și instalează cheia
Creează contul, adaugă-i cheia publică și setează permisiuni stricte, deoarece sshd ignoră fișierele de chei în care pot scrie alte persoane. Nu copia niciodată o cheie privată pe server. Pe sistemele din familia Red Hat folosește grupul wheel în loc de sudo.
sudo adduser admin1
sudo usermod -aG sudo admin1
sudo install -d -m 700 -o admin1 -g admin1 /home/admin1/.ssh
sudo install -m 600 -o admin1 -g admin1 ~/admin1.pub /home/admin1/.ssh/authorized_keysTestează dintr-o a doua fereastră
Păstrează sesiunea curentă deschisă și testează noua autentificare din alt terminal. Apartenența la un grup nu dovedește singură că sudo funcționează, deoarece regulile din sudoers decid acest lucru. Confirmă cu sudo -l.
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519 admin1@server.example
sudo -l
sudo -vRestricționează autentificarea root
PermitRootLogin prohibit-password permite root doar cu o cheie, iar no blochează complet accesul root prin SSH. Pune modificarea într-un fișier separat în /etc/ssh/sshd_config.d. Pentru majoritatea opțiunilor, sshd folosește prima valoare găsită, deci un fișier anterior poate avea prioritate. De aceea, verifică valoarea efectivă cu sshd -T în loc să citești fișierele. Testează o nouă autentificare înainte să închizi sesiunea veche.
echo 'PermitRootLogin no' | sudo tee /etc/ssh/sshd_config.d/50-root.conf
sudo sshd -t
sudo systemctl reload ssh
sudo sshd -T | grep -iE '^(permitrootlogin|passwordauthentication) 'Autentificarea cu parolă și ce trebuie evitat
Dezactivează PasswordAuthentication numai după ce fiecare cont necesar are o cheie testată. Evită folosirea aceluiași cont de mai multe persoane, deoarece nu vei putea revoca accesul uneia fără să le afectezi pe celelalte. sudo fără parolă pentru un cont întreg înseamnă și că o cheie furată este suficientă pentru a obține control deplin.
Conturi în CH-J Server Manager
Modulul Users gestionează conturi, grupuri, chei SSH și accesul SSH printr-o sesiune SSH activă. Nu modifică niciodată sudoers și nu setează NOPASSWD, iar starea reală a sudo o raportează pe baza sudo -l. Contul root nu poate fi șters, iar permiterea autentificării root cu parolă necesită o confirmare suplimentară, opțiunea recomandată fiind Doar cu cheie. O modificare a accesului SSH este verificată cu sshd -T și o nouă autentificare SSH, iar configurația anterioară este restabilită automat dacă verificarea eșuează sau dacă ai pierde accesul. Fără sudo, modulul permite doar citirea.