xác thực ssh không mật khẩu bằng thư mục hoạt động

Question

Cơ sở hạ tầng hiện tại của chúng tôi sử dụng khóa ssh để đăng nhập không mật khẩu vào máy chủ Linux của chúng tôi. Khi cơ sở hạ tầng của chúng tôi phát triển, việc quản lý các khóa được ủy quyền này trở nên khó khăn hơn.

Vì chúng tôi cũng có một máy chủ Active Directory (AD), tôi muốn xác thực người dùng trên ssh bằng cách sử dụng cơ chế này, nhưng duy trì tính chất không mật khẩu của khóa ssh.

Có thể xác thực người dùng trên ssh không có mật khẩu, sử dụng một số cơ chế AD không?

Answer 1

cách tiếp cận của tôi sẽ được giảm vấn đề đã được giải quyết một từng

1. Sử dụng Active Directory để xác thực mà không cần mật khẩu và thiết lập một kết nối HTTPS sử dụng Kerberos. Các Dzone Tutorial Configuring Tomcat 7 Single Sign-on with SPNEGO
2. Bọc SSH vào https giao thức như thế nào, xem phần Wrapping SSH trong HTTP (S) tại https://unix.stackexchange.com/questions/190490/how-to-use-ssh-over-http-or-https

Answer 2

này thường được thực hiện thông qua giấy chứng nhận chìa khóa SSH để giữ tính chất mật khẩu ít và đồng thời có một Cơ quan trung ương có thể được tin cậy để tạo chứng chỉ mới cho mỗi tài khoản.

LDAP/Active Directory sử dụng khi đăng nhập không được thông báo - ngoài việc phải sử dụng mật khẩu, nó cũng trở thành một điểm thất bại để truy cập vào bất kỳ hệ thống nào nó quản lý.

Xem RedHat documentation về cách thực hiện điều này và cũng Facebook's good write up on their use of certificate authentication with SSH.

Answer 3

Lựa chọn 1

Đây là một bài viết tốt giải thích làm thế nào để làm điều này. Storing SSH keys in Active Directory for easy deployment

Về cơ bản, nó cho phép mọi người đăng khóa công khai vào Active Directory và sau đó bạn có thể thiết lập tập lệnh cron trên máy chủ để lấy bản sao khóa công khai sau mỗi 5 phút.

Lựa chọn 2

Bạn cũng có thể sử dụng một máy chủ tập tin đó có tất cả các phím của bạn và nhận được mỗi máy chủ để lấy từ đó sử dụng một kịch bản cron. Rõ ràng, bạn cần một cách để xác minh tính xác thực của mỗi khóa đặc biệt là nếu bạn đang sử dụng FTP hoặc một số giao thức không an toàn khác. Điều này có thể đạt được bằng cách sử dụng GPG. Bạn có thể có một khóa GPG chính của công ty ký tất cả các khóa của nhân viên.

Cá nhân, tôi thích tùy chọn 2 là tốt nhất bởi vì tôi cho rằng nó an toàn hơn, nhưng một trong hai phương pháp sẽ hoạt động. Hi vọng điêu nay co ich!