SSHを使用して、パスワードのないアカウントに一貫した安全なアプローチを提供します。

Question

ソリューションの要件を主なものとして提供します。

パスワードのないルートコンソールログイン
パスワードなしで事前承認されたユーザールートリモートログイン
事前承認されたカスタムアカウントへのパスワードのないリモートログイン
事前承認されたユーザーのすべてのアカウントは、パスワードなしでリモートでログインできます

次の例は、私がここでテストしているDebianに基づいています。しかし、私はこれらの原則がどのディストリビューション（または実際にPAMに基づくすべての* ix派生物）に適用できないのかわかりません。

パスワードのないルートコンソールログイン

この問題に対する解決策は、PAMと/etc/securetty設定ファイルを活用することだと思います。

前提条件として「十分に安全な」ルートパスワードを設定する必要があります。これはコンソールログインには必要ありませんが、無差別代入試行を非現実的にするために存在します。それ以外の場合、アカウントは完全に通常のルートアカウントです。

/etc/pam.d/login認証には、次の標準行セットがあります（キーワードで始まる行）auth。

auth       optional   pam_faildelay.so  delay=3000000
auth [success=ok new_authtok_reqd=ok ignore=ignore user_unknown=bad default=die] pam_securetty.so
auth       requisite  pam_nologin.so

@include common-auth
auth       optional   pam_group.so

参照されるcommon-authインクルードファイルには、次の関連行が含まれています。

auth    [success=1 default=ignore]      pam_unix.so nullok_secure
auth    requisite                       pam_deny.so
auth    required                        pam_permit.so
auth    optional                        pam_cap.so

このファイルは、UNIXログインが成功した場合にcommon-authルールをスキップするように（拒否）PAMに指示します。一般的にこれは/etc/shadow。

このauth ... pam_securetty.so行は、で指定されたttyデバイスを除いてルートログインを防ぐように設定されています/etc/securetty。（このファイルにはすでにすべてのコンソールデバイスが含まれています。）

この行を少し変更すると、authルートログインを許可するルールを定義できます。パスワードなしで指定されたttyデバイスで/etc/securetty。一致が成功した場合は、スキップされた行数に置き換えるようにsuccess=okこのパラメータを変更する必要があります。ここに示されている場合、その数字はで、次の行に移動します。okauth3auth ... pam_permit.so

auth [success=3 new_authtok_reqd=ok ignore=ignore user_unknown=bad default=die] pam_securetty.so

パスワードなしで事前承認されたユーザールートリモートログイン

これは、認証されたユーザーのSSHキーをルートauthorized_keysファイルに直接含めるためのものです。

事前承認されたカスタムアカウントへのパスワードのないリモートログイン

これには、認証されたユーザーのSSHキーが直接含まれ、そのユーザー.ssh/authorized_keysファイルに追加されます。（典型的なリモートユーザーchrisは、パスワードなしでローカルユーザーchrisにログインしようとします。想像する。 )

作成後、アカウントはデフォルトでロックされたままになりますが（つまり、!パスワードフィールドでのみ/etc/shadow）、SSHキーベースのログインは許可されます。新しいユーザーのファイルにキーを入れるにはrootが必要です.ssh/authorized_keys。何ですかあまりにも明らかではないはい、この方法はUsePAM Yes中間設定でのみ使用できます/etc/ssh/sshd_config。 PAMは!、「パスワードによりアカウントがロックされていますが、他のアプローチは許可される可能性があります」と「アカウントがロックされています。!...それはすべてです」と区別します。（UsePAM No設定されている場合、OpenSSHは!ロックされたアカウントを示すために開始パスワードフィールドの存在を考慮します。）

事前承認されたユーザーのすべてのアカウントは、パスワードなしでリモートでログインできます

あなたがこの施設が欲しいかどうかはわかりません。つまり、一部の認証済みユーザーは、パスワードなしでSSHを介してすべてのローカルアカウントにログインできます。

これをテストすることはできませんが、OpenSSH 5.9以降では可能だと思います。これにより、2番目の名前を含むように設定ファイルをauthorized_keys編集できます。選択した認証済みユーザーの公開鍵をこのファイルに追加します。 rootが所有し、rootのみが書き込み権限（0644）を持ちます。/etc/ssh/sshd_config/etc/ssh/authorized_keys

Answer 1