Possível habilitar a autenticação ssh sem senha via Windows Active Directory?

Question

É possível configurar o ssh e o Active Directory (Win2008r2 flavor) para que usuários de domínio possam acessar * nix e ssh-servers-running-on-Windows-servers sem precisar digitar sua senha?

Se sim, como?

Eu encontrei alguma documentação que sugere que (ou algo parecido ) é possível modificando o esquema AD para abrir espaço para uma chave pública.

No entanto, a maioria dos conceitos é nova para mim, porque, na verdade, sou um desenvolvedor disfarçado de administrador de sistema em uma equipe de desenvolvedores.

Contexto: temos algumas caixas do Windows e algumas caixas * nix, e queremos executar alguma automação de administração remota em ambos os conjuntos em um cenário de tipo de implantação contínua, bem como em uma manutenção ad-hoc um cenário de tipo de local central.

    

Answer 1

Eu tentei exatamente a mesma coisa que você tem , especificamente tentando gerenciar o Linux e o Windows com o mesmo conjunto de ferramentas, e não encontrei nada além de dor e frustração. Os dois são tão diferentes em suposições de configuração, perspectiva e design que ferramentas que funcionam bem em uma (SSH, PowerShell) são hacks frágeis e frágeis na outra plataforma (sim, existe um PowerShell para Linux , escrito em Mono). A fragilidade nos levou a usar dois sistemas de implantação separados para nossos sistemas Windows e Linux. Eu não conheço nenhuma ferramenta existente que possa fazer as duas coisas, embora eu saiba de um casal que está tentando inflexivelmente ( ambos Chef e Puppet é relatado como funcionando em um tal Grand Unified Management Framework, Chef entregou ).

Meu conselho, especialmente desde que você parece ser uma organização Linux-primeiro, é ver que tipo de ganchos você pode encontrar para acessar o Estrutura de Gerenciamento Remoto do Windows (" winrm "é a palavra-chave). São chamadas SOAP kerberizadas por HTTP na base, portanto, é muito mais fácil no sistema remoto do que instalar servidores SSH em suas máquinas Windows. Ruby tem uma joia que faz isso . O WinRM é interessante porque é o framework "execute comandos em máquinas remotas" da Microsoft, que é o que você está tentando usar o SSH e, teoricamente, oferece o cmd.exe ou o PowerShell como um interpretador de comandos.

    

Answer 2

Eu tenho uma configuração que indiretamente alcança o mesmo propósito para alguns dos meus sistemas. O acesso SSH aos sistemas de destino é somente via chave pública / privada. As chaves são armazenadas em um compartilhamento de rede que é acessível apenas para aqueles com permissão de acesso. Meio simples e grosseiro, mas bastante eficaz. Claro que não há nada que impeça um usuário autorizado de copiar a (s) chave (s), mas somente usuários confiáveis têm acesso de qualquer maneira.

    

Answer 3

Outra maneira de fazer isso é o jeito que estou fazendo, que é com uma combinação de samba com winbind para adicionar o sistema para aduc e usar kerberos para logon único.Tenho vários guias se você estiver interessado.