Linux ssh：ユーザーに秘密キーの読み取り権限を付与せずに公開キー認証を許可する

Linuxサーバーにログインしているユーザーは、デフォルトアカウントで特定のリモートマシンにsshできる必要があります。リモートマシンでの認証は公開鍵を使用するため、サーバーでは対応する秘密鍵が利用可能です。

サーバーユーザーが実際に秘密キーを読み取れるようにしたくありません。基本的に、彼らがサーバーにアクセスできるという事実は、彼らにsshの権利を許可し、サーバーからそれらを削除することは、リモートマシンへの接続も許可しないはずです。

ユーザーが秘密キーへの読み取りアクセスを許可せずにssh接続を開くことを許可するにはどうすればよいですか？

これまでの私の考え：明らかにssh実行可能ファイルは秘密鍵を読み取れる必要があるため、それらの権利を持つサーバー上の別のユーザーの下で実行する必要があります。ssh接続が確立されたら、ユーザーに「転送」して、ユーザーがコマンドを入力してリモートマシンと対話できるようにします。

• これは良いアプローチですか？
• フォワードをどのように実装すればよいですか？
• ユーザーはどのようにして接続を開始できますか（つまり、キーの読み取り権限を持つユーザーによるsshの実行）？
• セキュリティの抜け穴はありますか？-ユーザーが別のユーザーとしてsshを実行できる場合、他のユーザーができること（秘密鍵の読み取りなど）をすべて実行できますか？

それが理由の一つですsudo。ユーザーが事前に承認されたコマンドラインオプションのみで1つのコマンドを実行できるようにするだけで、最も明らかな回避策が解決されます。例えば

#/etc/sudoers
%users ALL = (some_uid) NOPASSWD: /usr/bin/ssh -i /home/some_uid/.ssh/remote-host.key username@remotehost

sudoグループのすべてのメンバーが、users実行時に自分のパスワード（またはsome_uidアカウントのパスワード）を入力せずに、ユーザーsome_uidとしてsshコマンドを実行できるように設定します。

sudo -u some_uid /usr/bin/ssh -i /home/some_uid/.ssh/remote-host.key username@remotehost

NOPASSWD:リモートホストにログインする前にユーザーが自分のパスワードを入力することを強制するオプションを削除します。正しい引数を使用するのは非常に難しい
ので、ユーザーの利便性としてエイリアスまたはラッパースクリプトをセットアップすることsudoもできます。

これは、ホストベースの認証の良いユースケースのようです。これは、SSHが認証にローカルマシン（この場合はサーバー）上の個々のユーザーのキーを使用しない認証方法です。代わりに、ホストの秘密鍵を使用します。この秘密鍵は、に保存され/etc/ssh/、でのみ読み取り可能rootです。

これを設定するには.shosts、リモートマシン上で、ログインするユーザーのホームディレクトリに名前を付けたファイルを作成する必要があります（ではなく~/.ssh）。ファイルには内容が含まれている必要があります

server-hostname +

ここserver-hostnameで、サーバーの名前は、+「任意のユーザー」を意味するワイルドカードとして機能するリテラルのプラス記号です。

また、リモートマシンがサーバーのホストキーを検証できることを確認する必要があります。つまり、サーバーのホストキーをリモートマシン/etc/ssh/ssh_known_hostsまたは~/.ssh/known_hostsリモートマシンにリストする必要があります。そうでない場合は、リモートマシンにログインして実行することでセットアップできます。

ssh-keyscan server-hostname >> /etc/ssh/ssh_known/hosts

これらの手順を設定したら、サーバーで秘密鍵を完全に削除できます（他に必要ない場合）。（そして、あなたがそうするなら、あなたはいつでもそれだけで読めるようにそれを設定することができますroot。）

また、特定のユーザーのリモートマシンへのアクセスを許可または拒否するなどの簡単な操作を実行できます。詳細については、sshおよびのmanページhosts.equivを参照してください。

このセットアップの1つの問題は、リモートマシンにログインするユーザーが変更できること.shostsです。別のユーザーとしてリモートマシンにログインできるようにすることはできませんが、リモートマシンへの自分または他のユーザーのアクセスを遮断することはできます。これが懸念事項である場合、あなたは何か.shostsによってのみ書き込み可能にすることができるかもしれませんroot-これがうまくいくかどうかはわかりませんが、試してみることができます。（のような他のメソッドsudoは、ユーザーがいつでも削除できるため、同じリスクの影響を受けます~/.ssh/authorized_keys。）