So verwenden Sie Cloud-Config für Ihr erstes Server-Setup

Für unsere Server, die mit einercloud-config-Datei erstellt wurden, müssen wir unsere Ziele ein wenig ändern. Alle Informationen, die über einecloud-config-Datei übergeben werden, sind fürany Benutzer des Systems während der gesamten Lebensdauer des Servers zugänglich.

Dies führt zu einer Reihe von Sicherheitsproblemen, die verstanden und behoben werden müssen. Einige Dinge zu beachten sind:

Vor diesem Hintergrund sollte unser Setup alles tun, um zu vermeiden, dass Kennwörter in irgendeiner Form in der Dateicloud-configfestgeschrieben werden. Wir können unsere Ziele an die spezifischen Anforderungen unserer Bereitstellungsumgebung anpassen.

Unsere angepasste Strategie sieht ungefähr so ​​aus:

Neben dem Entfernen der Kennwörter für beide Konten besteht die drastischste Änderung darin, dass das neue Kontosudo verwenden darf, ohne ein Kontokennwort einzugeben. Dies ist erforderlich, da wir keine Root-Anmeldungen zulassen und kein Kontokennwort für unseren neuen Benutzer festlegen.

Nachdem sich der neue Benutzer angemeldet hat, kann er auf sichere Weise ein Kennwort festlegen und die sudo-Berechtigungen ändern, sodass bei Bedarf ein Kennwort erforderlich ist.

Beginnen wir mit diesen angepassten Zielen.

Um einen neuen Benutzer zu erstellen, verwenden wir die Direktiveusers. Dies wird eine Liste aller neuen Konten enthalten, die wir erstellen möchten. Da wir nur ein einziges Konto erstellen, haben wir eine Liste mit einem. Um dem Leitfaden zu folgen, auf den wir verlinkt haben, nennen wir dieses neue Kontodemo.

Denken Sie daran, wir müssen unserecloud-config-Dateien mit#cloud-config allein in der ersten Zeile beginnen. Bisher sieht unsere Datei so aus:

Wenn wir zusätzliche Benutzer hinzufügen möchten, können Sie ein Element darunter platzieren und horizontal an diesem ausrichten. Beginnen Sie dabei erneut mit einem Bindestrich:

Jeder der Bindestriche gibt ein separates Benutzerkonto an, unter dem wir die Details des Benutzers hinzufügen können (was wir in Kürze tun werden). Wir erstellen jedoch nur einen einzelnen Benutzer. Daher wird diese zweite Zeile in diesem Handbuch nicht angezeigt.

Um sich ohne Passwort in diesem neuen Konto anzumelden, müssen wir einen oder mehrere unserer öffentlichen SSH-Schlüssel bereitstellen. Diese werden derauthorized_keys-Datei des neuen Benutzers im Verzeichnis.sshin seinem Ausgangsverzeichnis hinzugefügt.

Dies wird mit der Direktivessh-authorized-keyserreicht, die ein Unterelement des Eintragsusersist. Grundsätzlich bedeutet dies, dass wir es an dername-Richtlinie ausrichten, aber keinen Bindestrich geben, da dies nicht der Beginn eines neuen Benutzereintrags ist.

Der Eintragssh-authorized-keysenthält tatsächlich eine Liste von Schlüsseln. Auf diese Weise können Sie der Datei mehr als einen öffentlichen SSH-Schlüssel hinzufügen. Wenn Sie beispielsweise ein SSH-Schlüsselpaar für Ihren Laptop, Ihren Desktop und Ihren Computer bei der Arbeit haben, können Sie alle diese als separate Elemente in die Listessh-authorized-keysaufnehmen.

Um den Inhalt Ihres öffentlichen Schlüssels von Ihrem lokalen Computer abzurufen, können Sie Folgendes eingeben:

Sie können dann den gesamten Inhalt als Element unter unseren Eintragssh-authorized-keyseinfügen. Öffentliche SSH-Schlüssel können offen veröffentlicht werden, sodass dies kein Sicherheitsrisiko darstellt:

Wenn Sie zusätzliche Schlüssel hinzufügen möchten, können Sie einen weiteren Bindestrich gefolgt vom zweiten öffentlichen Schlüssel hinzufügen:

Fügen Sie hier alle Schlüssel hinzu, mit denen Sie sich bei diesem Konto anmelden möchten.

Der nächste Schritt besteht darin, den Zugriff vonsudoauf unser neues Konto zu konfigurieren. Zur Wiederholung konfigurieren wir den passwortlosensudo-Zugriff, da wir aus Sicherheitsgründen kein Passwort für dieses Konto festlegen.

Um den Zugriff zu konfigurieren, werden wir zwei separate Schritte ausführen.

Zuerst erstellen wir den Eintrag, den wir für die Dateisudoersverwenden möchten. Unsere Änderungen werden tatsächlich in eine separate Datei im Verzeichnis/etc/sudoers.d geschrieben, die/etc/sudoers beim Parsen enthält.

Der Eintrag, den wir erstellen müssen, muss nicht den Benutzernamen enthalten, dacloud-init intelligent genug ist, um den Kontonamen aus den Eintragsinformationen herauszufinden. Die Direktive, die wir verwenden müssen, istsudo, was mit unseren anderen Level-Direktiven vonusersübereinstimmt.

In unserem Handbuch sieht es folgendermaßen aus, da wir die Fähigkeit vonsudoohne Kennwort konfigurieren:

Dadurch wird eine Datei im Verzeichnis/etc/sudoers.d mit dem Namen90-cloud-init-users erstellt. In dieser Datei sieht der Eintrag folgendermaßen aus:

Das zweite, was wir tun werden, ist, unseren Benutzer zur Gruppesudohinzuzufügen. Dies ist nicht unbedingt erforderlich, da wir einen Eintrag für unser neues Konto haben, der nachsudo analysiert wird. Dies gibt uns jedoch mehr Flexibilität.

Später möchten wir möglicherweise manuell ein Kennwort für unseren Benutzer festlegen und dieses Kennwort fürsudo Befehle benötigen. Wenn sich unser Benutzer bereits in der Gruppesudobefindet, müssen wir lediglich ein Kennwort festlegen und den Eintrag in der Datei90-cloud-init-usersentfernen.

Um eine zusätzliche Gruppe hinzuzufügen, können wir die Direktivegroupsverwenden:

Dies erleichtert den Übergang zu einem traditionelleren Setup vonsudo. Wie das geht, zeigen wir Ihnen am Ende dieses Leitfadens.

Standardmäßig haben neu erstellte Benutzer ihre Standard-Shell auf die sehr einfache/bin/sh-Shell eingestellt.

Dies ist eine viel reduzierte Umgebung, als die meisten Menschen es gewohnt sind. Daher möchten wir die Shell-Umgebung vonbashfür unseren neuen Benutzer manuell angeben.

Dies kann mit der Direktiveshellinnerhalb des Level-Elementsuserserreicht werden. Alles, was wir tun müssen, ist, auf den vollständigen Pfad der ausführbaren Datei vonbashzu verweisen:

Wir haben unsere neue Benutzerkonfiguration abgeschlossen. Wir können jetzt mit den optionalen Schritten fortfahren, mit denen unser SSH-Daemon gesperrt wird.

Die erste Strategie, um die gewünschten Änderungen vorzunehmen, besteht darin, die Datei vollständig mit dem gewünschten Inhalt neu zu schreiben.

Auf diese Weise haben wir die vollständige Kontrolle über die Datei, unabhängig davon, was standardmäßig dort verfügbar ist. Die Methodik ist einfach und es ist leicht, die Ergebnisse unserer Maßnahmen vorwegzunehmen.

Um eine neue Datei auf die Festplatte zu schreiben, können wir die Direktivewrite_filesverwenden. Dies ist eine Direktive der obersten Ebene, daher sollte sie außerhalb des Abschnittsusersplatziert werden, in dem wir zuvor gearbeitet haben.

Wir liefern eine Liste (dargestellt durch einen Bindestrich für jedes Element) von Dateien, die wir schreiben möchten.

In unserem Fall schreiben wir nur eine Datei. Für jede Datei geben wir Details zu den Änderungen an, die wir vornehmen möchten. Beispielsweise können Siepath,content,owner,permissions und sogarencoding verwenden.

Standardmäßig ist der Eigentümer von Dateien, die mit dieser Methode erstellt wurden, root und die Berechtigungen sind644, genau das, was wir wollen. Wir müssen also nur die Direktivenpath undcontent angeben.

path ist nur der Speicherort im Dateisystem, an dem die Datei geschrieben werden soll.

Für diecontent möchten wir den gesamten Inhalt der Datei so bereitstellen, wie er ist. Denken Sie daran, dass wir das Pipe-Zeichen (|) verwenden können, um einen Textblock zu übergeben, der seine Formatierung beibehält.

Für den Inhalt unserersshd_config-Datei verwenden wir nur den Standardinhalt ohne Kommentare (der Kürze halber) mit den Änderungen, die wir vornehmen wollten. Der vollständige Abschnitt zum Umschreiben unserer Datei sieht folgendermaßen aus:

Dadurch wird der Inhalt von/etc/ssh/sshd_config vollständig durch den neuen Inhalt ersetzt, den wir bereitgestellt haben. Dies ist die Standarddateisshd_configfür Ubuntu, in der nur die oben genannten Elemente geändert wurden.

Dies ist eine Methode, um Änderungen am SSH-Dämon vorzunehmen.

Die zweite Möglichkeit, diesshd_config-Datei zu ändern, besteht in gezielten Änderungen. Linux-Systeme verfügen über eine Reihe leistungsstarker Tools zur Textbearbeitung, mit denen wir nur die Änderungen vornehmen können, die wir benötigen.

Um beliebige Befehle auszuführen, verwenden wir eine Direktive namensruncmd, mit der wir jeden Befehl auf dem System ausführen können. Jeder Befehl ist ein Listenelement unter der Direktive. Diese können entweder als Zeichenfolgen angegeben werden, die den gesamten Befehl darstellen, oder als Array mit dem Befehl und allen Optionen als Elementen.

Wir werden den Befehlsed verwenden, der für String-Ersetzungen gemacht wird. Obwohl Sie mehrere Operationen an einen einzelnensed-Befehl übergeben können, führen wir für jedensed-Befehl eine einzelne Operation aus. Auf diese Weise können wir Probleme einfacher beheben. Alle unseresed-Befehle bearbeiten die vorhandenesshd_config-Datei.

Unser erster Befehlsedändert die Zeile, in der der Überwachungsport konfiguriert ist. Wir identifizieren dies, indem wir nach einer Zeile suchen, die mit „Port“ beginnt. Wir werdensed anweisen, die gesamte Zeile (angegeben durch den regulären Ausdruck^.*$) durch unserePort 4444-Konfiguration zu ersetzen:

Unsere nächstesed-Zeile ändert die Direktive "PermitRootLogin", indem sie am Anfang einer Zeile nach dieser Zeichenfolge sucht. Wir werden noch einmal die gesamte Zeile ersetzen, diesmal durchPermitRootLogin no:

Der nächste Befehlsed fügt am Ende der Datei eine Zeile hinzu, da die Datei derzeit keine Anweisung "AllowUsers" enthält. Wir tun dies, indem wir die letzte Zeile (angegeben durch "$") abgleichen und die benötigte Zeile anhängen.

Danach müssen wir den SSH-Daemon neu starten, damit unsere Änderungen weitergegeben werden. Wir können dies einfach mit dem Upstart-Befehl "restart" tun:

Dies sollte ausreichen, um die erforderlichen Änderungen an unserer Datei vorzunehmen und den Dienst neu zu starten.