LinuxサーバーでSSHキーベース認証を構成する方法

SSH（セキュアシェル）は、サーバーの管理と通信に使用される暗号化されたプロトコルです。 Linuxサーバーを使用する場合、ほとんどの時間はSSHを介してサーバーに接続されたターミナルセッションで過ごすことになります。

SSHサーバーにログインする方法はいくつかありますが、このガイドでは、SSHキーのセットアップに焦点を当てます。 SSHキーは、簡単でありながら非常に安全な方法でサーバーにログインします。 このため、これはすべてのユーザーに推奨される方法です。

SSHサーバーは、さまざまな方法を使用してクライアントを認証できます。 これらの最も基本的なものはパスワード認証です。これは使いやすいですが、最も安全ではありません。

パスワードは安全な方法でサーバーに送信されますが、通常は複雑ではなく、繰り返し持続的な攻撃に耐えられるほど長くはありません。 自動化されたスクリプトと組み合わされた最新の処理能力により、パスワードで保護されたアカウントのブルートフォースが非常に可能になります。 セキュリティを追加する方法は他にもありますが（fail2banなど）、SSHキーは信頼性が高く安全な代替手段であることが証明されています。

SSHキーペアは、クライアントをSSHサーバーに対して認証するために使用できる2つの暗号的に安全なキーです。 各キーペアは、公開キーと秘密キーで構成されます。

秘密鍵はクライアントによって保持され、絶対に秘密にしておく必要があります。 秘密キーが侵害されると、攻撃者は追加の認証なしで関連する公開キーで構成されたサーバーにログインできます。 追加の予防策として、キーはパスフレーズを使用してディスク上で暗号化できます。

関連付けられた公開鍵は、マイナスの影響なしに自由に共有できます。 公開鍵は、秘密鍵が復号化できるonlyのメッセージを暗号化するために使用できます。 このプロパティは、キーペアを使用して認証する方法として使用されます。

公開鍵は、SSHでログインできるようにするリモートサーバーにアップロードされます。 キーは、ログインするユーザーアカウント内の~/.ssh/authorized_keysという特別なファイルに追加されます。

クライアントがSSHキーを使用して認証しようとすると、サーバーはクライアントがプライベートキーを所有しているかどうかをテストできます。 クライアントがプライベートキーを所有していることを証明できる場合、シェルセッションが生成されるか、要求されたコマンドが実行されます。

サーバーへのSSHキー認証を構成する最初のステップは、ローカルコンピューターでSSHキーペアを生成することです。

これを行うには、ssh-keygenと呼ばれる特別なユーティリティを使用できます。これは標準のOpenSSHツールスイートに含まれています。 デフォルトでは、これにより2048ビットのRSAキーペアが作成されますが、これはほとんどの用途に適しています。

ローカルコンピューターで、次のように入力してSSHキーペアを生成します。

ユーティリティは、生成されるキーの場所を選択するよう求めます。 デフォルトでは、キーはユーザーのホームディレクトリ内の~/.sshディレクトリに保存されます。 秘密鍵はid_rsaと呼ばれ、関連する公開鍵はid_rsa.pubと呼ばれます。

通常、この段階ではデフォルトの場所を使用することをお勧めします。 そうすることで、認証を試みるときにSSHクライアントがSSHキーを自動的に見つけることができます。 非標準のパスを選択する場合は、ここで入力します。そうでない場合は、Enterキーを押してデフォルトを受け入れます。

以前にSSHキーペアを生成したことがある場合は、次のようなプロンプトが表示される場合があります。

ディスク上のキーを上書きすることを選択した場合、notは以前のキーを使用して認証できるようになります。 「はい」を選択するときは、これは元に戻せない破壊的なプロセスなので、非常に注意してください。

次に、キーのパスフレーズを入力するように求められます。 これは、ディスク上の秘密鍵ファイルを暗号化するために使用できるオプションのパスフレーズです。

パスフレーズを入力する必要がある場合、SSHキーがどのような利点を提供するのか疑問に思うかもしれません。 利点のいくつかは次のとおりです。

秘密鍵は決して​​ネットワークに公開されることはなく、ファイルのアクセス許可によって保護されているため、このファイルには、あなた（およびルートユーザー）以外の誰もアクセスすることはできません。 パスフレーズは、これらの条件が侵害された場合の追加の保護層として機能します。

パスフレーズはオプションの追加です。 入力した場合、このキーを使用するたびに入力する必要があります（復号化キーを保存するSSHエージェントソフトウェアを実行している場合を除く）。 パスフレーズを使用することをお勧めしますが、パスフレーズを設定したくない場合は、Enterキーを押すだけでこのプロンプトをバイパスできます。

これで、認証に使用できる公開鍵と秘密鍵ができました。 次のステップは、SSH鍵認証を使用してログインできるように、公開鍵をサーバーに配置することです。

新しいDigitalOceanサーバーを起動する場合、SSH公開キーを新しいサーバーのルートアカウントに自動的に埋め込むことができます。

ドロップレット作成ページの下部に向かって、サーバーにSSHキーを追加するオプションがあります。

DigitalOceanアカウントに公開キーファイルを既に追加している場合は、選択可能なオプションとしてここに表示されます（上記の例には「作業キー」と「ホームキー」の2つの既存のキーがあります）。 既存のキーを埋め込むには、クリックするだけで強調表示されます。 単一のサーバーに複数のキーを埋め込むことができます。

アカウントにSSH公開キーをまだアップロードしていない場合、またはアカウントに新しいキーを追加する場合は、「+ SSHキーを追加」ボタンをクリックします。 これはプロンプトに展開されます：

[SSH Key content]ボックスに、SSH公開キーのコンテンツを貼り付けます。 上記の方法を使用してキーを生成したと仮定すると、ローカルコンピューターで公開キーの内容を取得するには、次のように入力します。

この値全体を大きなボックスに貼り付けます。 [コメント（オプション）]ボックスで、キーのラベルを選択できます。 これは、DigitalOceanインターフェースのキー名として表示されます。

ドロップレットを作成すると、選択した公開SSHキーがrootユーザーのアカウントの~/.ssh/authorized_keysファイルに配置されます。 これにより、秘密鍵を使用してコンピューターからサーバーにログインできます。

サーバーが既に利用可能であり、作成時にキーを埋め込まなかった場合でも、公開キーをアップロードして、サーバーへの認証に使用できます。

使用する方法は、使用可能なツールと現在の構成の詳細に大きく依存します。 次のメソッドはすべて同じ最終結果をもたらします。 最も簡単で最も自動化された方法が最初であり、上記の方法を使用できない場合、それぞれに続く方法では追加の手動手順が必要です。

上記の手順のいずれかを正常に完了すると、リモートホストwithoutのリモートアカウントのパスワードにログインできるようになります。

基本的なプロセスは同じです：

このホストに初めて接続する場合（上記の最後の方法を使用した場合）、次のように表示されます。

これは、ローカルコンピューターがリモートホストを認識しないことを意味します。 「yes」と入力し、Enterキーを押して続行します。

秘密鍵のパスフレーズを指定しなかった場合、すぐにログインされます。 キーを作成したときに秘密キーのパスフレーズを指定した場合は、ここで入力する必要があります。 その後、リモートシステムのアカウントで新しいシェルセッションが生成されます。

成功した場合は、サーバーをロックダウンする方法を見つけます。

パスワードなしでSSHを使用してアカウントにログインできた場合、アカウントへのSSHキーベースの認証は正常に設定されています。 ただし、パスワードベースの認証メカニズムはまだアクティブであるため、サーバーはブルートフォース攻撃にさらされています。

このセクションの手順を完了する前に、このサーバーのルートアカウントにSSHキーベースの認証が構成されていること、またはできれば、sudoを使用してこのサーバーのアカウントにSSHキーベースの認証が構成されていることを確認してください。 ）sアクセス。 この手順により、パスワードベースのログインがロックダウンされるため、管理アクセスを取得できるようにすることが不可欠です。

上記の条件が満たされたら、rootとして、またはsudo権限を持つアカウントを使用して、SSHキーを使用してリモートサーバーにログインします。 SSHデーモンの構成ファイルを開きます。

ファイル内で、PasswordAuthenticationというディレクティブを検索します。 これはコメントアウトされる場合があります。 行のコメントを解除し、値を「no」に設定します。 これにより、アカウントパスワードを使用してSSH経由でログインする機能が無効になります。

完了したら、ファイルを保存して閉じます。 行った変更を実際に実装するには、サービスを再起動する必要があります。

UbuntuまたはDebianマシンでは、次のコマンドを発行できます。

CentOS / Fedoraマシンでは、デーモンはsshdと呼ばれます。

この手順を完了すると、SSHキーのみに応答するようにSSHデーモンを正常に移行できました。

これで、サーバーでSSHキーベースの認証を構成して実行し、アカウントパスワードを入力せずにサインインできるようになります。 ここから、あなたが向かうことができる多くの方向があります。 SSHの操作について詳しく知りたい場合は、SSH essentials guideをご覧ください。