CentOS7.2 64bit SSHで公開鍵認証を使用

CentOS7.2 64bitをインストールした直後の状態では、SSHによる外部からの接続は、どのユーザーでもパスワード認証で行えるようになっています。

外部からの接続はSSHの設定で特定のユーザーやホストに制限したり、firewalldの設定で特定のホストに制限したりすることもできますが、公開鍵認証を使用することで鍵を所有している特定の端末から、特定のユーザーでの接続のみを許可するように制限することができます。

※TCP Wrappersを使用した設定ファイル「/etc/hosts.allow」、「/etc/hosts.deny」によるアクセス制御は、OpenSSHのバージョン6.7で使用できなくなっているようです。(OpenSSH6.7のrelease notesを参照)

※CentOS7.2の標準リポジトリからインストールできるOpenSSHのバージョンは6.6のため、TCP Wrappersを使用することはできるようになっています。

ここでは、CentOS7.2の標準リポジトリからインストールできるOpenSSH6.6.1p1で公開鍵認証を使用して、SSHによる外部からの接続は、指定の鍵を所有する端末から、指定のユーザーによる接続のみを許可するように制限する方法を、以下に示します。

公開鍵認証の概要

初めに公開鍵認証の概要を簡単でありますが、記載しておきます。

公開鍵認証では、秘密鍵と公開鍵のペアを使用します。
秘密鍵で暗号化したデータは、ペアとなる公開鍵でのみ復号化が可能となります。
接続元の端末が秘密鍵を所有し、接続先の端末が公開鍵を所有するようにします。
接続元の端末が秘密鍵で暗号化したデータと、暗号化前のデータを接続先に送信します。接続先の端末が受信した暗号化されたデータを公開鍵で復号化し、暗号化前のデータと一致することで、データを送信したのが秘密鍵を持つ端末であることを確認します。
公開鍵は一般に公開しても問題にはなりませんが、秘密鍵は絶対に外部には漏れないようにする必要があります。
認証時に送信するデータは認証のためだけに使用されるものなので、外部に漏れても問題にはなりません。

SSHで接続用のユーザーを作成

SSHでの外部からの接続にrootユーザーを使用するのはセキュリティー上思わしくないため、接続用のユーザーを別途作成します。

以下のコマンドを実行して、ユーザーの作成を行います。

# useradd user01

ユーザーの作成には、「useradd」コマンドを使用します。
コマンドの引数に、作成するユーザーの名前を指定します。

ここでは、ユーザー名を「user01」としています。

以下のコマンドを実行して、作成したユーザーにパスワードを設定します。

# passwd user01

ユーザーのパスワードの設定には、「passwd」コマンドを使用します。
コマンドの引数に、パスワードを設定するユーザーの名前を指定します。

ここでは、ユーザー「user01」のパスワードを設定しています。
コマンドを実行するとパスワードの入力を2回求められますので、同じパスワードを2回入力します。

公開鍵認証用の秘密鍵と公開鍵のペアを作成

公開鍵認証用の秘密鍵と公開鍵のペアの作成は、本来であれば接続元の端末で作成し、接続元の端末から接続先の端末に公開鍵を送信することで、秘密鍵を持っているのが接続元の端末であることを認証できるのが望ましいです。

鍵の作成を接続先の端末や、接続元とは別の端末で行う場合は、作成した秘密鍵を接続元の端末に送信する際に、絶対に外部には漏れないように注意する必要があります。

以下のようなコマンドを実行して、公開鍵認証用の秘密鍵と公開鍵のペアの作成を行います。

※rootユーザーで実行する必要はありません。

# ssh-keygen -t rsa -f /xxx/ssh/user01-key Generating public/private rsa key pair. Enter passphrase (empty for no passphrase): Enter same passphrase again: Your identification has been saved in /xxx/ssh/user01-key. Your public key has been saved in /xxx/ssh/user01-key.pub. The key fingerprint is: bd:67:e5:77:05:47:44:b5:cc:b3:5e:96:b0:a9:96:fa root@localhost.localdomain The key's randomart image is: +--[ RSA 2048]----+ | o*| | o..| | ..=.| | . +o+| | S . o.o+| | .oo..o| | .+o ..o| | oo ..| | ..E | +-----------------+

公開鍵認証用の秘密鍵と公開鍵のペアの作成には、「ssh-keygen」コマンドを使用します。
「-t」オプションで、作成する鍵の種類を指定します。

「rsa」と指定すると、SSHプロトコルのバージョン2用のRSA鍵が作成されます。公開鍵暗号の方式には主にRSAが使用されますので、ここでもRSAを使用するように指定しています。
「-f」オプションで、作成する秘密鍵の名前を指定します。

ここでは、ディレクトリ「/xxx/ssh/」に「user01-key」という名前の秘密鍵を作成するようにしています。

公開鍵の名前は、秘密鍵の名前の後ろに「.pub」が付いたものになります。

「-f」オプションを指定しなかった場合は、コマンドの実行時に秘密鍵の名前の入力を求められ、入力しなかった場合は、コマンドを実行しているユーザーのホームディレクトリ配下に「.ssh/id_rsa」という名前で作成されます。
コマンドの実行時に秘密鍵に設定するパスフレーズの入力を2回求められますので、同じパスフレーズを2回入力します。

このパスフレーズは、接続元の端末で秘密鍵を使用する際に指定が必要なものとなり、接続先の端末には送信されません。
このコマンドの実行により、秘密鍵「/xxx/ssh/user01-key」と、公開鍵「/xxx/ssh/user01-key.pub」が作成されます。
※鍵のサイズを「-b」オプションで指定することもできます。指定しなかった場合は、2048ビットとなり、鍵の強度として十分なものになります。

作成された秘密鍵の内容

作成された秘密鍵の内容は、以下のようになります。

作成された公開鍵の内容

作成された公開鍵の内容は、以下のようになります。

ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQC8KKmC9iYe4xo4fyyuq70Y7gU5eMZBx85Fo0Xl1uYufRzYr/ddwtRGUdnr7v9nbK3IfEuc3WFpsU0bExrSOan/dvdZV+SmB7PVgqtMW29Arw2gqfvISNDuOpl9h0Nb/s3kG5+xeDhLxSkrT3Xjt5Hj7XpGTWruaiE9jcML4fxanN1aHHEFIwp6BOBUQh0kKsT7mfWroDL5v5bcoSVWvZIINSBng3EkMTeTbNKcx+QBP8R0xXctztP40m/SWqbC3HIMNXkoNbVxb5kK4wNOfSM4ruWkNNVNLbkqHYa9tVkIk4T5rRsfunW16yeNbjN1X8t9AkOlbHj1lptsyQdIteo5 root@localhost.localdomain

公開鍵認証用の公開鍵を接続先の端末に登録

公開鍵認証用の秘密鍵と公開鍵のペアを作成したら、公開鍵を接続先の端末に登録する必要があります。

公開鍵の登録は、接続先の端末で接続ユーザーのホームディレクトリ配下のファイル「.ssh/authorized_key」に公開鍵の内容を追加する形で行います。

接続先の端末に接続用のユーザーでSSHのパスワード認証による接続が可能な場合

接続先の端末に、接続用のユーザーでSSHのパスワード認証による接続が可能な場合、以下のようなコマンドを実行して、公開鍵の登録を行うことができます。

※rootユーザーで実行する必要はありません。

# ssh-copy-id -i /xxx/ssh/user01-key.pub user01@xxx.xxx.xxx.xxx

公開鍵認証用の公開鍵の登録には、「ssh-copy-id」コマンドを使用します。
「-i」オプションで、登録する公開鍵を指定します。

ここでは、上記で作成した公開鍵「/xxx/ssh/user01-key.pub」を指定しています。

「-i」オプションを指定しなかった場合は、コマンドを実行しているユーザーのホームディレクトリ配下にある「.ssh/id*.pub」(「*」は任意の文字列)という名前のファイルが自動的に使用されます。
コマンドの引数に、公開鍵を登録する接続先のユーザーとホストを「ユーザー名@ホスト」の形式で指定します。

ここでは、IPアドレス「xxx.xxx.xxx.xxx」の端末のユーザー「user01」に公開鍵の登録を行うようにしています。
コマンドの実行時に、接続ユーザーのパスワードの入力を求められますので、パスワード認証用のパスワードを入力します。

※上記の接続ユーザーの作成で、passwdコマンドで指定したパスワードになります。
このコマンドの実行により、接続先の端末の接続ユーザーのホームディレクトリ配下にファイル「.ssh/authorized_keys」が作成され、公開鍵「user01-key.pub」の内容がこのファイルに書き込まれます。

ここでの登録先のファイルは、「/home/user01/.ssh/authorized_keys」となります。

接続先の端末に接続用のユーザーでSSHのパスワード認証による接続が不可能な場合

接続先の端末に、接続用のユーザーでSSHのパスワード認証による接続が不可能な場合、公開鍵認証用の公開鍵を接続先の端末に別の方法で配置し、以下のようなコマンドを実行して、公開鍵の登録を行います。

接続先の端末で秘密鍵と公開鍵のペアの作成を行っている場合も同様となります。

# cat user01-key.pub >,>, /home/user01/.ssh/authorized_keys

catコマンドとリダイレクトによる追記を使用して、公開鍵「user01-key.pub」の内容をユーザー「user01」のホームディレクトリ配下のファイル「.ssh/authorized_key」に追加するようにしています。

ここでの登録先のファイルは、「/home/user01/.ssh/authorized_keys」となります。

公開鍵を登録後のファイル「authorized_keys」の内容

公開鍵を登録後のファイル「authorized_keys」の内容は、以下のようになります。

ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQC8KKmC9iYe4xo4fyyuq70Y7gU5eMZBx85Fo0Xl1uYufRzYr/ddwtRGUdnr7v9nbK3IfEuc3WFpsU0bExrSOan/dvdZV+SmB7PVgqtMW29Arw2gqfvISNDuOpl9h0Nb/s3kG5+xeDhLxSkrT3Xjt5Hj7XpGTWruaiE9jcML4fxanN1aHHEFIwp6BOBUQh0kKsT7mfWroDL5v5bcoSVWvZIINSBng3EkMTeTbNKcx+QBP8R0xXctztP40m/SWqbC3HIMNXkoNbVxb5kK4wNOfSM4ruWkNNVNLbkqHYa9tVkIk4T5rRsfunW16yeNbjN1X8t9AkOlbHj1lptsyQdIteo5 root@localhost.localdomain

公開鍵の内容がそのまま登録されるようになります。

ファイル「authorized_keys」には複数の公開鍵を登録することもでき、そのときは以下のような内容になります。

ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQC8KKmC9iYe4xo4fyyuq70Y7gU5eMZBx85Fo0Xl1uYufRzYr/ddwtRGUdnr7v9nbK3IfEuc3WFpsU0bExrSOan/dvdZV+SmB7PVgqtMW29Arw2gqfvISNDuOpl9h0Nb/s3kG5+xeDhLxSkrT3Xjt5Hj7XpGTWruaiE9jcML4fxanN1aHHEFIwp6BOBUQh0kKsT7mfWroDL5v5bcoSVWvZIINSBng3EkMTeTbNKcx+QBP8R0xXctztP40m/SWqbC3HIMNXkoNbVxb5kK4wNOfSM4ruWkNNVNLbkqHYa9tVkIk4T5rRsfunW16yeNbjN1X8t9AkOlbHj1lptsyQdIteo5 root@localhost.localdomain ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDO/D82guBkwnUr6x2HhgYLD6Wbz6SlK9goraT7/k1zFSDqLLXfI9SaNPrswhE5I64z3ujx7pAvh/y/nzQE58aIrFgpCjUa8ELTbGp9Mf+1ffyje6kx01GgtpFTSg8xmOaKcjhcLllyD+DxOBFAxOhl+B882yN1XP1r9OWP5aEpFNZfbO4hBp3IdJKDZHEyA/ffvMocFvF8fl/ChK5mwPlv8mD2Knm3L4r+jgixhTWz9+UEKAcn3GcpfOFhe5rWg9mryEO121dSdS6DklK+EmwK6y9+C8wHy/6P6GcfVN9qonIE3fCs+8N4svMeCwtaOSdvwbikvQIIKEjKmaoOTtOf root@localhost.localdomain

公開鍵は1つにつき1行のデータで登録されるようになっています。

登録した公開鍵の削除を行いたい場合は、ファイル「authorized_keys」から対象の公開鍵のデータを削除します。

パスワード認証での接続を不可能にする

SSHでパスワード認証による接続を不可能にするには、SSHサーバーの設定ファイル「/etc/ssh/sshd_config」を、以下のように変更します。

：（略） # To disable tunneled clear text passwords, change to no here! #PasswordAuthentication yes #PermitEmptyPasswords no PasswordAuthentication yes ↓変更 PasswordAuthentication no ：（略）

「PasswordAuthentication」に「no」と指定すると、パスワード認証が不可能になります。

設定ファイルの変更を有効化するには、以下のコマンドを実行してSSHのサービスを再起動します。

# systemctl restart sshd.service

これにより、rootユーザーも公開鍵認証の公開鍵の登録を行っていない状態では、接続ができなくなります。

特定のユーザーのみパスワード認証を可能にしたい場合

特定のユーザーのみパスワード認証を可能にしたい場合は、SSHサーバーの設定ファイル「/etc/ssh/sshd_config」の末尾に、以下のような設定を追記します。

Match User user02 PasswordAuthentication yes

「Match User」に、これ以降の設定を反映させたいユーザーを指定します。

ここでは、「user02」を指定しています。

「Match」による指定は、次の「Match」が出現するまで有効になります。
「PasswordAuthentication」に「yes」と指定すると、パスワード認証が可能になります。

これによって、「user02」のみパスワード認証が可能となります。

設定ファイルの変更を有効化するには、以下のコマンドを実行してSSHのサービスを再起動します。

# systemctl restart sshd.service

SSHで公開鍵認証を使用して接続する

sshコマンドで接続する場合

sshコマンドで公開鍵認証を使用して接続するには、以下のようなコマンドを実行します。

※rootユーザーで実行する必要はありません。

# ssh -i /xxx/ssh/user01-key user01@xxx.xxx.xxx.xxx

sshコマンドの「-i」オプションで、接続先に登録した公開鍵とペアになっている秘密鍵を指定します。

ここでは、上記で作成した秘密鍵「/xxx/ssh/user01-key」を指定しています。
接続先の指定は、パスワード認証のときと同様です。

ここでは、IPアドレス「xxx.xxx.xxx.xxx」の端末に、ユーザー「user01」で接続するようにしています。
コマンドの実行時に、秘密鍵に設定されているパスフレーズの入力を求められます。

秘密鍵と公開鍵のペアの作成時に指定した秘密鍵のパスフレーズを入力します。