Ders 4.41: authorized_keys yerine SSH sertifikaları
authorized_keys dosyaları sonsuza kadar büyür: ayrılan kişilerin, değiştirilen dizüstü bilgisayarların, kimsenin hatırlamadığı test makinelerinin anahtarları her sunucuya kopyalanır. OpenSSH sertifikaları bunların yerine güvenilen tek bir sertifika otoritesi koyar. CA bir kullanıcının açık anahtarını adı verilen hesaplar (principal) ve kısa bir geçerlilik için imzalar, sunucular tek tek anahtarlar yerine CA'ya güvenir ve nadir çalınan dizüstü bilgisayar için bir iptal listesi kullanılır. Laboratuvarda bir Northwind sunucusundaki anahtar dağınıklığını sayıyor, bir kullanıcı CA'sı oluşturuyor, sekiz saatlik sertifikalar veriyor, sshd'yi onlara güvenecek şekilde yapılandırıyor ve birini iptal ediyorsun.
19 dk
Bu derste öğreneceklerin
- Ölçekte authorized_keys'in sorunlarını açıklamak
- Bir kullanıcı CA'sı oluşturup anahtarları principal ve geçerlilikle imzalamak
- Bir sertifikayı ssh-keygen -L ile okumak
- TrustedUserCAKeys ve AuthorizedPrincipalsFile yapılandırmak
- Bir sertifikayı KRL ile iptal etmek
Temel terimler
- Kullanıcı CA'sı
- Sunucuların tek tek kullanıcı anahtarları yerine imzasına güvendiği anahtar çifti.
- SSH sertifikası
- CA tarafından bir anahtar kimliği, seri, principal'lar ve geçerlilikle birlikte imzalanmış bir kullanıcı açık anahtarı.
- Principal
- Girişin çalışması için bir hesabın kabul etmesi gereken, sertifikadaki ad.
- Geçerlilik
- Sertifikanın çalıştığı zaman penceresi.
- AuthorizedPrincipalsFile
- Sunucunun o hesap için kabul ettiği principal'ların hesap başına dosyası.
- KRL
- Anahtar iptal listesi: hâlâ geçerli olsalar bile sshd'nin reddetmesi gereken sertifikalar ya da anahtarlar.
← Bir hesabı güvenle kapatmak · Tüm dersler · Kayan çekirdek ayarları: sysctl önceliği →