Início / unix / Perguntas / 416847
Accepted
Sam Bull
Asked: 2018-01-14 08:26:53 +0800 CST

Restringir certificados SSH CA a usuários/grupos específicos

  • 772

É possível restringir o uso de certificados de CA a usuários/principais/grupos específicos?

O caso de uso é que eu gostaria de ter 2 certificados de CA. Um seria usado como parte de um sistema automatizado para assinar as chaves do usuário. Se este certificado for comprometido, quero ter certeza de que não pode ser usado para permitir que alguém faça login em uma conta de administrador.

O outro certificado de CA obviamente seria armazenado com mais segurança (airgapped, etc.) e usado para contas de administrador.

ssh openssh

1 respostas

  1. Best Answer

    Com base no comentário de Ulrich Schwarz:

    Se eu adicionar usuários normais a um endusersgrupo, posso definir o sshd_config assim:

    TrustedUserCAKeys /etc/ssh/admin_ca.pub
Match Group endusers
    TrustedUserCAKeys /etc/ssh/user_ca.pub

    Isso faz com que o user_ca seja aceito apenas para usuários do endusersgrupo, enquanto o admin_ca pode ser usado para qualquer usuário.

    • 3

relate perguntas