Tôi muốn hỏi làm thế nào tôi có thể sử dụng cùng một xác thực (SSH khóa riêng và chung) cho người dùng root và cho một người dùng khác (người dùng sudo) trên VPS.
Hoặc, về mặt bảo mật, tốt nhất là thực hiện quá trình tạo và tải khóa (tôi sử dụng puttygen) trực tiếp như một người dùng sudo?
Vô hiệu hóa sau đó đăng nhập root và không áp dụng xác thực khóa trên root? Cái này có an toàn không?
Cảm ơn bạn rất nhiều vì sự giúp đỡ, tôi bắt đầu phát điên .. :(
Câu trả lời:
Rất nhiều câu hỏi (riêng biệt) khác nhau ở đây ...
Để sử dụng cùng một cặp khóa cho nhiều người dùng, bạn chỉ cần sao chép nội dung (một số hoặc tất cả) ~/.ssh/authorized_keysvào ${HOME}/.ssh/authorized_keystệp của người dùng khác . Bạn sẽ cần đảm bảo các quyền trên .sshthư mục và authorized_keystệp đủ chặt chẽ hoặc máy chủ SSH có thể bị lỗi và từ chối xử lý. Đối với một ý tưởng: chỉ người dùng hiện tại mới cần truy cập vào các tệp đó và họ không cần phải ghi vào hoặc thực thi chúng, vì vậy, quyền 400 cho tệp và 500 cho thư mục (cần thực thi để bạn có thể thực hiện liệt kê nội dung của nó) sẽ ổn Xem ở đây để biết thông tin về mặt nạ cấp phép nếu bạn không quen.
Đầu tiên, luôn luôn là một ý tưởng tốt để vô hiệu hóa đăng nhập root hoàn toàn qua SSH và đặt mật khẩu gốc (an toàn) riêng biệt trên hộp. sudochỉ có cùng mức độ bảo mật như suthể người dùng sudoers của bạn có mật khẩu an toàn; nếu không, nó không phải là.
Nếu bạn thấy mình thường xuyên cần root, bạn nên tìm cách cung cấp các quyền cụ thể được nhắm mục tiêu cho người dùng để đáp ứng các trường hợp sử dụng phổ biến nhất về cách bạn sẽ sử dụng máy chủ. Điều này sẽ làm giảm nhu cầu đăng nhập với quyền root, vốn luôn có rủi ro cao do các quyền mở rộng.
Để tăng cường hơn nữa máy chủ SSH của bạn, bạn nên:
Câu hỏi về việc có nên sử dụng lại cùng một cặp khóa hay không nếu bạn tắt đăng nhập root. Nếu bạn cần nhiều người dùng thường xuyên và bạn là người thực tế duy nhất sẽ đăng nhập vào máy chủ, tôi sẽ không thấy bất kỳ tác hại nào khi sử dụng lại cùng một cặp khóa bằng cách sao chép tệp ủy quyền. Nếu bạn sẽ có nhiều người thuê trong hộp, mỗi người nên có cặp chìa khóa riêng.
Để xác thực cho nhiều người dùng, chỉ cần thêm khóa SSH công khai vào cả ~/.ssh/authorized_keystệp người dùng thông thường và tệp gốc ~/.ssh/authorized_keys. Sau đó, bạn có thể chọn tài khoản để đăng nhập bằng cách chọn tên người dùng trong chương trình khách hàng của mình.
Nó được sử dụng để thực hành tốt nhất nói chung để vô hiệu hóa hoàn toàn đăng nhập root và luôn sử dụng một người dùng bình thường để đăng nhập và sử dụng sudohoặc su. Tuy nhiên, với xác thực khóa công khai, nguy cơ ai đó vũ phu buộc khóa của bạn là tối thiểu. Nếu bạn không đặt mật khẩu cho người dùng root thì rất nhiều người sẽ nói rằng bạn có thể đăng nhập bằng root. Nếu bạn muốn thêm một lớp bảo mật, hãy tắt đăng nhập root, đặt mật khẩu cho người dùng bình thường (vì vậy hãy sudohỏi bạn khi bạn sử dụng nó) và sử dụng xác thực khóa chung cho người dùng bình thường để đăng nhập.
Cảm ơn rât nhiều! Vì vậy, tôi có:
Theo cách này:
Bây giờ truy cập vào SSH nên chắc chắn 99%, phải không?
Cảm ơn rât nhiều