文章详情

短信预约-IT技能 免费直播动态提醒

请输入下面的图形验证码

提交验证

短信预约提醒成功

基于CA签名的统一SSH登陆密钥管理

2024-12-03 18:34

关注

这种方式很方便,但是存在一个问题,就是当服务器比较多的时候,对服务器上公钥的管理就会比较麻烦,容易当人员发生变化时候,容易清理遗漏,从而导致安全隐患。本文我们介绍一种通过中心CA统一签发证书管理SSH证书的方法。

概述

为了解决统一管理的问题,引入CA来统一管理SSH的认证。用户仍然需要生成一个公钥和私钥对证书。但是,认证不是通过将用户公钥添加服务器来完成,使用证书颁发机构(CA)密钥对用户公钥进行签名。签名过程仅生成了第三个证书文件,用户通过该签发证书和自己原有的证书对就能完成登陆。

服务器上,只需配置SSH对CA的公钥认证,服务器通过检测用户证书是否通过CA签发,来完成认证过程。


具体做法

1. 创建CA

用户生成一个证书颁发机构CA私钥对,并保证私钥的私钥安全:

umask 77 # 修改掩码,保证此后生成目录和文件的权限

  1. mkdir ~/CC-ca && cd ~/CC-ca 

ssh-keygen -C CA -f ca -b 4096 # 生成时候,给证书添加一个密码,以防止泄露。

2. 配置CA公钥认证

然后在服务器上,指定允许由CA签名的所有用户访问该服务器:

将CA的公钥上传到服务器上,例如在/etc/ssh/ca.pub

在/etc/ssh/sshd_config添加下面的行,配置CA签发的证书的信任:

  1. TrustedUserCAKeys /etc/ssh/ca.pub 

重启sshd服务:

  1. service sshd reload 

3. CA签发用户证书

用户使用ssh-keygen生成证书,并且把公钥发给CA中心,CA中心用私钥对该证书添加签名:

  1. ssh-keygen -s ca -I USER_ID -V +12w -z 1 id_ecdsa.pub 

命令行说明:

生成证书id_ecdsa-cert.pub,该证书需要发送给开发人员,用户将其放入~/.ssh文件夹。

4. 添加角色

上面就可以完成了证书的CA签名和统一认证。但是还有一个问题,可能用户也需要分类,不同的团队和角色的,需要有不同的访问权限。实际上,可以在签名过程中添加角色,用来指定允许服务器的访问权限。新添加用户时候,即可使他们可以访问所有相关服务器,而无需在这些服务器上添加任何内容。


5. 服务器上配置角色信息

创建用于配置访问权限的文件夹:

  1. mkdir /etc/ssh/auth_principals 

在该文件夹中,可以使用服务器用户名创建文件,该用户可以登录。例如,要授予对某些角色的root用户访问权限,请添加文件/etc/ssh/auth_principals/root。

在/etc/ssh/auth_principals/root文件中,配置可以以root用户身份登录的角色,每行一个角色,比如

 

在服务器上SSHD配置文件/etc/ssh/sshd_config,添加对角色的认证:

  1. AuthorizedPrincipalsFile /etc/ssh/auth_principals/%u 

然后重新加载sshd服务

  1. service sshd reload 

6. CA签发带角色的用户证书

可以使用一下命令行,签发带角色的证书:

  1. ssh-keygen -s ca -I USER_ID -n ROLE1,ROLE2 -V +12w -z 2 id_ecdsa.pub 

与以前命令行一样,多增加了-n ROLE1,ROLE2标志。

现在,该用户可以登录到auth_principals文件配置了ROLE1或ROLE2角色的服务器。

7. 注销证书

前面说了,可以对用户证书进行注销。注销用户需要用的用户的序列号。建议同意维护一个用户序列号的列表,或建立数据库。

8. 注销证书文件

通过下面的命令生成一个注销证书文件

  1. ssh-keygen -k -f revoked-keys -u -s ca list-to-revoke 

当已经有一个revoked-keys列表并想要更新证书时候(-u标志)。

在list-to-revoke文件内容由用户名(IDS)或序列号(的-z生成期间标志)是这样的:

这将撤消对序列号为1的证书和所有ID为test.user的证书的访问权限。

8. 服务器配置注销

为了使服务器完成对撤销密钥配置,需要将生成的/更新的revoked keys文件添加到/etc/ssh/revoked-keys并在/etc/ssh/sshd_config配置:

  1. RevokedKeys /etc/ssh/revoked-keys 

注意:请确保该revoked-keys文件为可访问且可读,否则会导致任何用户都不能访问。

总结

本文我们介绍了一个通过CA签名用户公钥的证书统一管理方法。通过该方法可以实现基于角色通过ssh管理对服务器的访问。只需要配置服务器一次(允许哪些角色访问服务器)。对于每个用户,只需要生成一个签名证书,就可以实现按角色登陆所有相关机器的方法。也可以方便注销用户的证书,从而限制用户的访问。由于每个证书签名都要有效性限制,即使未能及时注销用户权限,也可以在超过有效期后自动注销,从而保证了安全。

 

来源:今日头条内容投诉

免责声明:

① 本站未注明“稿件来源”的信息均来自网络整理。其文字、图片和音视频稿件的所属权归原作者所有。本站收集整理出于非商业性的教育和科研之目的,并不意味着本站赞同其观点或证实其内容的真实性。仅作为临时的测试数据,供内部测试之用。本站并未授权任何人以任何方式主动获取本站任何信息。

② 本站未注明“稿件来源”的临时测试数据将在测试完成后最终做删除处理。有问题或投稿请发送至: 邮箱/279061341@qq.com QQ/279061341

软考中级精品资料免费领

  • 历年真题答案解析
  • 备考技巧名师总结
  • 高频考点精准押题
  • 2024年上半年信息系统项目管理师第二批次真题及答案解析(完整版)

    难度     813人已做
    查看
  • 【考后总结】2024年5月26日信息系统项目管理师第2批次考情分析

    难度     354人已做
    查看
  • 【考后总结】2024年5月25日信息系统项目管理师第1批次考情分析

    难度     318人已做
    查看
  • 2024年上半年软考高项第一、二批次真题考点汇总(完整版)

    难度     435人已做
    查看
  • 2024年上半年系统架构设计师考试综合知识真题

    难度     224人已做
    查看

相关文章

发现更多好内容

猜你喜欢

AI推送时光机
位置:首页-资讯-后端开发
咦!没有更多了?去看看其它编程学习网 内容吧
首页课程
资料下载
问答资讯