...
User-Keys - Authentifizierung am eisfair-SSH-Server mit Schlüssel statt Passwort
...
- Kopieren der *.pub-Schlüsseldateien vom Client in das Verzeichnis /root/externe_ssh_pub_keys, wobei statt der auf dem Herkunftsclient genutzten Dateinamen id_<typ>.pub auf dem eisfair-Server aussagekräftigere Namen wie max_an_client_1_<typ>.pub gewählt werden sollten, damit sich Schlüssel verschiedener Client-Rechner nicht gegenseitig in die Quere kommen.
- Auf dem eisfair-Server als root anmelden.
Die ssh-Konfiguration öffnen und die Schlüssel eintragen:
Code Block language bash SSH_PUBLIC_KEY_N='2' SSH_PUBLIC_KEY_1_NAME='Max ED25519-Schluessel von Client 1' SSH_PUBLIC_KEY_1_ACTIVE='yes' SSH_PUBLIC_KEY_1='/root/externe_ssh_pub_keys/max_an_client_1_ed25519.pub' SSH_PUBLIC_KEY_2_NAME='Max RSA-Schluessel von Client 1' SSH_PUBLIC_KEY_2_ACTIVE='yes' SSH_PUBLIC_KEY_2='/root/externe_ssh_pub_keys/max_an_client_1_rsa.pub'
- Die auf den Server übertragenen Schlüssel dürfen nicht vom eisfair-Server gelöscht werden, da jeder erneute Aufruf der ssh-Konfiguration die authorized_keys für root neu erzeugt und daher jederzeit die in der Konfiguration eingetragenen Schlüssel vorhanden sein müssen.
User-Keys - Authentifizierung eines eisfair-Users an einem anderen Server/Client mit Schlüssel statt Passwort
Sollen sich lokale eisfair-Server-User per Schlüssel automatisch an anderen Servern/PCs per ssh anmelden können, sind gemäß vorstehender Beschreibung User bezogene Schlüssel auf dem eisfair zu erzeugen und auf den entfernten Rechner zu übertragen und zu installieren, mit dem man sich verbinden möchte. Lokal auf dem eisfair-Server werden diese Schlüssel einfach id_<typ> genannt und müssen in ~/.ssh bzw. /root/.ssh gespeichert werden.
Auf einem eisfair-1-Server reicht es das Skript Server reicht es, das Skript /var/install/bin/system-ssh-create-client-keys aufzurufen, um ein persönliches Schlüsselpaar für root oder einen anderen lokalen eisfair-User zu erzeugen:
| Code Block | ||
|---|---|---|
| ||
# /var/install/bin/system-ssh-create-client-keys --help
Usage: system-ssh-create-client-keys [options]
--batch - run script in batch mode
--comment 'my comment' - comment to add to new keys
--key ed25519|rsa|ecdsa|dsa|rsa1 - generate a 'specific' key
--pass 'my passphrase' - set a passphrase for the key
--path 'destination path for key files' - path to save the new key
--quiet - suppress screen output
--rsabits 2048|3072|4096|6142|8192 - bits to generate RSA key
--user 'valid-username' - user name to create key for
--help - show this help
# /var/install/bin/system-ssh-create-client-keys --user moritz |
Das Übertragen und Installieren dieser Schlüssel auf dem Zielrechner geschieht analog zu den Darstellungen im vorangegangenen Abschnitt.
Das generelle Abschaltung einer Passwort-Authentifizierung auf einem Server darf erst dann erfolgen, wenn die Authentifizierung mittels Key funktioniert, ansonsten sperrt man sich selbst aus dem Server aus.