Como posso efetuar logon como root em uma instância de nuvem?

Question

Eu consigo logar com sucesso na minha instância da nuvem como usuário 'ubuntu' via SSH, mas não consigo fazer login como usuário 'root'. Existem várias postagens relacionadas à alteração da configuração do ssh para permitir acesso root, embora nenhuma tenha funcionado comigo. Por exemplo, eu fiz as alterações usuais no arquivo / etc / ssh / sshd_config, a saber:

#Authentication
PermitRootLogin yes

Isso não teve efeito.

Agora, a mensagem que recebo quando tento efetuar login como 'root' é:

Please login as the user "ubuntu" rather than the user "root".

Grepping para "Please login", eu encontrei no arquivo '/usr/lib/python3/dist-packages/cloudinit/config/cc_ssh.py' (de todos os lugares), as seguintes linhas:

DISABLE_ROOT_OPTS = (
"no-port-forwarding,no-agent-forwarding,"
"no-X11-forwarding,command=\"echo \'Please login as the user \\"$USER\\""
" rather than the user \\"root\\".\';echo;sleep 10\"")

Eu não posso fazer muito disso. Eu estou supondo que este script Python foi executado quando a instância foi criada pela primeira vez e é responsável por algumas configurações SSH adicionais em algum lugar que estão me impedindo de fazer o login como 'root'.

Parece-me que as diretivas de configuração do ssh ofensivas são 'no-X11-forwarding' e as outras duas. Cheguei a esta conclusão, uma vez que eles parecem estar associados à mensagem ofensiva.

Eu estou supondo que a diretiva command instrui o daemon ssh a mostrar essa mensagem quando as diretivas associadas forem violadas. Estou no caminho certo?

Uma coisa que devo acrescentar a isso é que estou ciente dos argumentos contra o login como usuário root. No entanto, esta é uma instância privada e eu serei o único usuário. Eu preciso de acesso ssh como 'root' porque os scripts de implantação que eu preciso para executar como root, a fim de evitar complicações.

Atualização: O script python mencionado abaixo é parte do pacote CloudInit do Ubuntu.

Atualizações adicionais: Aqui está o conteúdo do arquivo /etc/pam.d/sshd ...

# PAM configuration for the Secure Shell service

# Standard Un*x authentication.
@include common-auth

# Disallow non-root logins when /etc/nologin exists.
account    required     pam_nologin.so

# Uncomment and edit /etc/security/access.conf if you need to set complex
# access limits that are hard to express in sshd_config.
# account  required     pam_access.so

# Standard Un*x authorization.
@include common-account

# SELinux needs to be the first session rule.  This ensures that any
# lingering context has been cleared.  Without this it is possible that a
# module could execute code in the wrong domain.
session [success=ok ignore=ignore module_unknown=ignore default=bad]        pam_selinux.so close

# Set the loginuid process attribute.
session    required     pam_loginuid.so

# Create a new session keyring.
session    optional     pam_keyinit.so force revoke

# Standard Un*x session setup and teardown.
@include common-session

# Print the message of the day upon successful login.
# This includes a dynamically generated part from /run/motd.dynamic
# and a static (admin-editable) part from /etc/motd.
session    optional     pam_motd.so  motd=/run/motd.dynamic
session    optional     pam_motd.so noupdate

# Print the status of the user's mailbox upon successful login.
session    optional     pam_mail.so standard noenv # [1]

# Set up user limits from /etc/security/limits.conf.
session    required     pam_limits.so

# Read environment variables from /etc/environment and
# /etc/security/pam_env.conf.
session    required     pam_env.so # [1]
# In Debian 4.0 (etch), locale-related environment variables were moved to
# /etc/default/locale, so read that as well.
session    required     pam_env.so user_readenv=1 envfile=/etc/default/locale

# SELinux needs to intervene at login time to ensure that the process starts
# in the proper default security context.  Only sessions which are intended
# to run in the user's context should be run after this.
session [success=ok ignore=ignore module_unknown=ignore default=bad]        pam_selinux.so open

# Standard Un*x password updating.
@include common-password

... e o conteúdo do arquivo / etc / ssh / sshd_config ...

# Package generated configuration file
# See the sshd_config(5) manpage for details

# What ports, IPs and protocols we listen for
Port 22
# Use these options to restrict which interfaces/protocols sshd will bind to
#ListenAddress ::
#ListenAddress 0.0.0.0
Protocol 2
# HostKeys for protocol version 2
HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_dsa_key
HostKey /etc/ssh/ssh_host_ecdsa_key
HostKey /etc/ssh/ssh_host_ed25519_key
#Privilege Separation is turned on for security
UsePrivilegeSeparation yes

# Lifetime and size of ephemeral version 1 server key
KeyRegenerationInterval 3600
ServerKeyBits 1024

# Logging
SyslogFacility AUTH
LogLevel INFO

# Authentication:
LoginGraceTime 120
PermitRootLogin yes
StrictModes yes

RSAAuthentication yes
PubkeyAuthentication yes
#AuthorizedKeysFile %h/.ssh/authorized_keys

# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes
# For this to work you will also need host keys in /etc/ssh_known_hosts
RhostsRSAAuthentication no
# similar for protocol version 2
HostbasedAuthentication no
# Uncomment if you don't trust ~/.ssh/known_hosts for RhostsRSAAuthentication
#IgnoreUserKnownHosts yes

# To enable empty passwords, change to yes (NOT RECOMMENDED)
PermitEmptyPasswords no

# Change to yes to enable challenge-response passwords (beware issues with
# some PAM modules and threads)
ChallengeResponseAuthentication yes

# Change to no to disable tunnelled clear text passwords
PasswordAuthentication yes

# Kerberos options
#KerberosAuthentication no
#KerberosGetAFSToken no
#KerberosOrLocalPasswd yes
#KerberosTicketCleanup yes

# GSSAPI options
#GSSAPIAuthentication no
#GSSAPICleanupCredentials yes

X11Forwarding yes
X11DisplayOffset 10
PrintMotd no
PrintLastLog yes
TCPKeepAlive yes
#UseLogin no

#MaxStartups 10:30:60
#Banner /etc/issue.net

# Allow client to pass locale environment variables
AcceptEnv LANG LC_*

Subsystem sftp /usr/lib/openssh/sftp-server

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication.  Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
UsePAM yes

... conforme solicitado.

    

Answer 1

É altamente recomendável bloquear o login root remoto para um servidor (motivos de segurança).

A maneira recomendada é fazer login como usuário comum e usar sudo para ganhar root de acesso.

O comando final sudo , que fornecerá a você acesso total root para cada comando, é:

sudo bash

Para um comando específico que deve ser executado como root , você pode usar:

sudo specific-command

Exemplo para um comando que será executado como root :

sudo ls -lsa /root

Observação: se você quiser alterar a política da Amazon e permitir root login, use as respostas de amazon-ec2-root-login SO Q & A

Refer to the following to set root login:

sudo -s (to become root)
vi /root/.ssh/authorized_keys

Delete the lines at the begining of the file until you get to the words ssh-rsa.

vi /etc/ssh/sshd_config

Set the variable PermitRootLogin to PermitRootLogin without-password (without quotes)

sudo /etc/init.d/sshd restart

    

Answer 2

Dê uma olhada no arquivo /root/.ssh/authorized_keys . O mais provável é que você encontre algo assim:

root@instance-00:~# cat /root/.ssh/authorized_keys 
no-port-forwarding,no-agent-forwarding,no-X11-forwarding,command="echo 'Please login as the user \"ubuntu\" rather than the user \"root\".';echo;sleep 10" ssh-rsa AAAA...= user@host

(Isso foi obtido de um provedor de nuvem diferente, mas a configuração parece ser idêntica à da Amazon).

Basta apagar tudo na frente de ssh-rsa e você poderá logar-se como root remotamente (claro, tudo o que outras pessoas já lhe disseram sobre não ser uma prática recomendada ainda se aplica!)

Se você é realmente preguiçoso, basta sobrescrever o arquivo authorized_keys usando o ubuntu user:

root@instance-00:~# cp /home/ubuntu/.ssh/authorized_keys /root/.ssh/authorized_keys

E caso você esteja curioso sobre como esse prefixo chegou, o mesmo código Python que você encontrou ( /usr/lib/python3/dist-packages/cloudinit/config/cc_ssh.py ) tem a resposta em apply_credentials . Observe como ele define o prefixo das chaves autorizadas:

if disable_root:
    if not user:
        user = "NONE"
    key_prefix = disable_root_opts.replace('$USER', user)
else:
    key_prefix = ''