Cilj in vrstni red korakov
Skrbniki naj se prijavljajo s ključi v svoje račune in po potrebi uporabljajo sudo, saj tako ostane zapis, kdo je kaj naredil, in se omeji ugibanje gesel. Vrstni red je pomemben: najprej usposobite nov dostop, ga preskusite in šele nazadnje omejite root. Za primer težav ohranite dostop do konzole ponudnika.
Ustvarite račun in namestite ključ
Ustvarite račun, dodajte njegov javni ključ in nastavite stroga dovoljenja, ker sshd prezre datoteke s ključi, v katere lahko pišejo drugi. Zasebnega ključa nikoli ne kopirajte na strežnik. V sistemih družine Red Hat namesto skupine sudo uporabite wheel.
sudo adduser admin1
sudo usermod -aG sudo admin1
sudo install -d -m 700 -o admin1 -g admin1 /home/admin1/.ssh
sudo install -m 600 -o admin1 -g admin1 ~/admin1.pub /home/admin1/.ssh/authorized_keysPreskusite iz drugega okna
Trenutno sejo pustite odprto in novo prijavo preskusite iz drugega terminala. Samo članstvo v skupini še ne dokazuje, da sudo deluje, saj o tem odločajo pravila v sudoers. Potrdite to z ukazom sudo -l.
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519 admin1@server.example
sudo -l
sudo -vOmejite prijavo root
PermitRootLogin prohibit-password dovoli root samo s ključem, vrednost no pa dostop root prek SSH povsem blokira. Spremembo shranite v ločeno datoteko v /etc/ssh/sshd_config.d. Pri večini možnosti sshd uporabi prvo najdeno vrednost, zato lahko prevlada datoteka, prebrana prej. Dejansko veljavno vrednost zato preverite z ukazom sshd -T, ne zgolj z branjem datotek. Preden zaprete staro sejo, preskusite novo prijavo.
echo 'PermitRootLogin no' | sudo tee /etc/ssh/sshd_config.d/50-root.conf
sudo sshd -t
sudo systemctl reload ssh
sudo sshd -T | grep -iE '^(permitrootlogin|passwordauthentication) 'Prijava z geslom in čemu se izogniti
PasswordAuthentication izklopite šele, ko ima vsak račun, ki ga potrebujete, preskušen ključ. Enega računa naj ne uporablja več ljudi, saj potem eni osebi ne morete preklicati dostopa, ne da bi vplivali na druge. sudo brez gesla za celoten račun tudi pomeni, da že sam ukraden ključ omogoča popoln nadzor.
Računi v CH-J Server Manager
Modul Users upravlja račune, skupine, ključe SSH in dostop SSH prek aktivne seje SSH. Nikoli ne spreminja sudoers ali nastavlja NOPASSWD in poroča o dejanskem stanju sudo na podlagi sudo -l. Računa root ni mogoče izbrisati; omogočanje prijave root z geslom zahteva dodatno potrditev, priporočena izbira pa je samo ključ. Sprememba dostopa SSH se preveri z ukazom sshd -T in novo prijavo SSH; če preverjanje ne uspe ali bi izgubili dostop, se prejšnja konfiguracija samodejno povrne. Brez sudo je modul samo za branje.