RSA鍵を使ったSSH認証を導入しよう！
サーバをインターネット上に公開すると、不正アクセスを試みようとするアクセスの多さにビックリします。
RHEL7まではhosts.denyを用いてアクセス拒否を行うことが可能でしたが、RHEL8以降は仕組みが変わり、Denyhostsが使えません。
そこで、RSA鍵認証を導入し、サーバへアクセスできる端末を限定することで、セキュリティを高めることにします。
RSA鍵認証を行うことで、パスワードによる認証が不要となるため、接続も楽になりますね！
ここでは、SSHへRSA鍵認証を導入する手順を掲載しています。
[広告]
Tera Termを使ったRSA鍵認証の導入
今回はTera Termを使ってRSA鍵の作成し、サーバへ転送・設定を行います。
尚、今回鍵の作成にはTera Term 5を利用しています。
Tera Term 4以前のバージョンで作成したRSA鍵を使用すると認証に失敗することがあるのでご注意ください。
他の暗号化方式は今のところ制限がないようなので、RSA以外の形式を選択しても構いません。
Tera Termでの鍵の作成
 |
Tera Termを起動し、[設定] - [SSH鍵生成]を選択します。 |
 |
鍵の種類は「RSA」を選んでおきます。 ビット数はデフォルトで"3072"となっていて、任意の数字に変更することも可能です。 とりあえず今回は"4096"に変更し、[生成]！ |
 |
生成が終わると、鍵を保存することができるようになります。 公開鍵、秘密鍵両方を保存します。 |
 |
"id_rsa.pub"が公開鍵（pubはpublicのpubですね）、 "id_rsa"が秘密鍵です。 公開鍵をサーバへ配置し、秘密鍵は自分で持っていることになります。 |
鍵の転送
各ユーザーごとに鍵の作成が必要となります。
今回は一般ユーザである "user" に公開鍵認証を設定します。
 |
まずは "user" でサーバへログインします。 |
 |
公開鍵をサーバへ転送します。 SCPクライアントを使うことで転送できますが、Tera Termの場合、コンソール画面にファイルをドラッグすることでSCPによるファイル転送が可能です。 |
 |
[OK] をクリックすると、ファイルが転送されます。 転送先はログインユーザのホームディレクトリになると思います。 |
公開鍵の転送が終わったら配置を行います。
公開鍵の設置場所は決まっていて、ホームディレクトリ直下に".ssh"というディレクトリを作成し、"authorized_keys"というファイル名で保存します。
[user@rl10 ~]$ mkdir .ssh
[user@rl10 ~]$ chmod 700 .ssh
[user@rl10 ~]$ mv id_rsa.pub .ssh/authorized_keys
[user@rl10 ~]$ chmod 600 .ssh/authorized_keys
[user@rl10 ~]$ exit
接続確認
RSA鍵を使った接続を行ってみましょう。
 |
ログインユーザを入力します。 いつもならパスフレーズを入力するところですが、今回は認証方式を"RSA/DSA/…鍵を使う" にチェックを付け、先ほど作成した"id_rsa"（秘密鍵）を指定し、[OK] をクリックします。 |
 |
パスフレーズを入力していないのに接続できれば、問題なく設定ができています。
|
 |
え？毎回秘密鍵を選択しなければならないのが面倒…？ そんな方は、[設定] - [SSH認証] を開いてください。 |
 |
この画面で認証方式を"RSA/DSA/…鍵を使う" にチェックを付け、先ほど作成した"id_rsa"（秘密鍵）を指定しておきます。 |
 |
最後に [設定] - [設定の保存] を行い、設定情報を上書きします。 これで、次回から自動的に鍵認証が選択されます。 |
SSHの設定
RSA鍵を作成したら、サーバ側の認証設定を変更します。
なぜならば、今のままではパスワードによる認証も行ってしまうからです。
RSA鍵を使った認証のみを許可し、パスワードによる認証は無効にします。
認証方法の変更
この設定はrootユーザへ切り替えてから行います。
[user@rl10 ~]$ su -
パスワード: [rootユーザのパスワード][root@rl10 ~]# vi /etc/ssh/sshd_config
#PasswordAuthentication yes
↓
PasswordAuthentication no
sshdを再起動して、ログインできるかを確認してみましょう。
[root@rl10 ~]# systemctl restart sshd
[root@rl10 ~]# exit
[user@rl10 ~]$ exit
以下2点を確認し、問題がなければ設定完了です。
- 鍵認証によるログインができる
- パスワードによる認証ができない
尚、クライアント側に保存されている秘密鍵はどこかわかりやすい場所へ、大切に保存しておきましょう。
これが行方不明になると、サーバへSSHで接続ができなくなります。
次はLogwatchをインストールし、日々更新されるログを確認しましょう。
参考にしたサイト様
今回新しく登場したコマンド
- mv
- exit
[広告]
トップページ
Rocky Linux 10
○インストール準備
○仮想化準備（VMware）
○仮想化準備（Hyper-V）
○仮想化準備（Proxmox）
○基本操作
○導入
○セキュリティ対策
○Dynamic DNS
○NTPサーバ
○データベース
○WEBサーバ
○FTPサーバ
○メールサーバ
○DNSサーバ
○ブログシステム
○その他
Proxmox 8
AlmaLinux 9
Rocky Linux 8
CentOS 7
Scientific Linux 6
CentOS 5
ブログ
[広告]
までご連絡ください。