主页 / ubuntu / 问题 / 1264852
Accepted
Orest Xherija
Asked: 2020-08-06 11:19:48 +0800 CST

将使用公钥的 SSH 登录仅限于选定用户

  • 772

使用OpenSSH，我已启用 ssh-login 到我的 Ubuntu 18.04 机器，调用它Remote并且我的用户帐户Remote被调用Remote-User。我还确保只能通过公钥身份验证登录。这是问题的实际描述。

我有两台本地机器，分别称为Local-A和Local-B，每台机器都有一个用户，分别称为User-A和User-B。我想限制Remote-User@Remote仅访问User-A和禁止其他用户User-B，无论他们的公钥是否已添加到. 我尝试通过添加行来做到这一点.ssh/authorized_keysRemote-User@Remote

AllowUsers User-A User-B

到，sshd_config但我注意到即使我只是有User-Bssh 访问Remote-User@Remote

AllowUsers User-A

这让我认为任何将公钥添加到文件中Remote-User@Remote的.ssh/authorized_keys用户都可以访问，而不管我尝试使用AllowUsers.

我想知道是否有人对如何解决这个问题有任何建议。请记住，我对这个领域并不精通，所以我可能遗漏了重要信息。如果是这样，请告诉我，我很乐意更新这个问题。

permissions ssh remote openssh remote-login

3 个回答

  1. Best Answer

    文件中的AllowUsers选项/etc/ssh/sshd_config正是您通过ssh.

    请参阅sshd_config的手册页：

    AllowUsers
      This keyword can be followed by a list of user name patterns, separated by spaces.
      If specified, login is allowed only for user names that match one of the patterns.
      Only user names are valid; a numerical user ID is not recognized.  By default, login
      is allowed for all users.  If the pattern takes the form USER@HOST then USER and
      HOST are separately checked, restricting logins to particular users from particular
      hosts.  HOST criteria may additionally contain addresses to match in CIDR
      address/masklen format.  The allow/deny users directives are processed in the
      following order: DenyUsers, AllowUsers.

    为了使更改sshd_config生效，您需要使用以下命令重新启动sshd服务：

    $ sudo systemctl restart ssh.service

    如果这仍然不起作用，请检查/etc/ssh/sshd_config.d文件夹中是否有任何其他配置文件否决了您的AllowUsers声明。

    • 1

  2. 当您将多个公钥添加到.ssh/authorized_keys文件时，任何拥有任何私钥的人remote-user都可以使用remote-user.

    仅允许特定用户的最佳且安全的方法是为单个用户提供单独的帐户，并且其个人公钥应.ssh/authorized_keys存档。此处Remote-User不应使用普通帐户。您可以通过 openssh 中的 ssh 密钥限制用户允许。因此，单独的用户将拥有单独的帐户，只有它才能登录其帐户。

    • 0

  3. SSH 密钥唯一地标识用户。它可以重复使用，但任何拥有私钥的人都可以完全访问该身份。

    试图添加额外的限制将是有问题的。SSH 密钥保证密钥的所有者可以访问密钥（即只要所有者保持密钥隐私，使用他们的密钥就可以保证他们的身份）。

    识别用户的任何其他形式，例如连接的源机器/IP 地址，都不会具有相同级别的保证。换句话说，这些表格具有非常真实的被欺骗/欺骗的可能性。

    所以这是推荐的解决方案：

    • 为每个用户运行ssh-keygen，为他们提供一个新的、唯一的 SSH 密钥
    • 更换旧钥匙并将其丢弃
    • 将正确用户的公钥添加到authorized_keys文件中
    • 维护密钥安全；关键是用户的身份；允许第二个用户访问密钥使他们能够随意假设身份
    • 不要尝试使用额外的 SSH 设置来解决问题，因为它不太可能有效

    希望这可以帮助！

    • 0

相关问题