Autenticação do SSHD contra o AWS Simple Directory Service

Question

Estou tentando configurar uma rede de máquinas Centos 7 com o sshd que autentica chaves públicas em um diretório do AWS Simple Directory Service.

Atualmente, tenho vários hosts Centos, uma instância do Windows Server 2008 e um diretório usando o Serviço de Diretório Simples da Amazon Web Service (AWS). A caixa do windows é usada para administrar o diretório, e as caixas do Centos usam o diretório para autenticar as sessões do SSH. Todas as máquinas foram unidas ao diretório.

Eu verifiquei que eu sou capaz de SSH nas caixas Centos como usuários locais e de domínio usando autenticação de senha simples. Da mesma forma, eu sou capaz de RDP na caixa do Windows usando contas locais e de domínio, autenticação de senha simples.

No entanto, a configuração do esquema pela AWS no meu diretório não incluiu nenhuma classe com um campo sshPublicKey fora da caixa, por assim dizer.

Então, usei o Snap-in do Esquema do Active Directory na caixa do Windows para adicionar o seguinte atributo ao meu esquema:

Common Name: sshPublicKey
OOID: 1.3.6.1.4.1.24552.1.1.1.13
Syntax: IA5-String
Multi-valued: true

Eu então criei a seguinte classe:

Common Name: LDAP Public Key
OOID: 1.3.6.1.4.1.24552.500.1.1.2.0 
Parent Class: top
Class Type: Auxiliary
Optional Attributes: sshPublicKey

Depois, usei o ADSI Snap-in para adicionar o conteúdo da chave pública de um usuário ao campo sshPublicKey de sua entrada no diretório.

Em uma das minhas caixas do Centos, desativei a autenticação de senha, definindo PasswordAuthentication no no arquivo de configuração do sshd.

Em seguida, tentei ssh nessa caixa do Centos usando o usuário do diretório com o atributo sshPublicKey :

$ ssh -l [email protected] -i ~/.ssh/path.to.key.pub centos.box -vvv;
OpenSSH_6.2p2, OSSLShim 0.9.8r 8 Dec 2011
debug1: Reading configuration data /Users/localuser/.ssh/config
debug1: Reading configuration data /etc/ssh_config
debug1: /etc/ssh_config line 20: Applying options for *
debug1: /etc/ssh_config line 53: Applying options for *
debug2: ssh_connect: needpriv 0
debug1: Connecting to centos.box [ip addy] port 22.
debug1: Connection established.
debug3: Incorrect RSA1 identifier
debug3: Could not load "~/.ssh/path.to.key.pub" as a RSA1 public key
debug1: identity file ~/.ssh/path.to.key.pub type 1
debug1: identity file ~/.ssh/path.to.key.pub type -1
debug1: Enabling compatibility mode for protocol 2.0
debug1: Local version string SSH-2.0-OpenSSH_6.2
debug1: Remote protocol version 2.0, remote software version OpenSSH_6.6.1
debug1: match: OpenSSH_6.6.1 pat OpenSSH*
debug2: fd 3 setting O_NONBLOCK
debug3: load_hostkeys: loading entries for host "centos.box" from file "/Users/localuser/.ssh/known_hosts"
debug3: load_hostkeys: found key type RSA in file /Users/localuser/.ssh/known_hosts:someLineNumber
debug3: load_hostkeys: loaded 1 keys
debug3: order_hostkeyalgs: prefer hostkeyalgs: [email protected],[email protected],ssh-rsa
debug1: SSH2_MSG_KEXINIT sent
debug1: SSH2_MSG_KEXINIT received
debug2: kex_parse_kexinit: diffie-hellman-group-exchange-sha256,diffie-hellman-group-exchange-sha1,diffie-hellman-group14-sha1,diffie-hellman-group1-sha1
debug2: kex_parse_kexinit: [email protected],[email protected],ssh-rsa,[email protected],[email protected],ssh-dss
debug2: kex_parse_kexinit: aes128-ctr,aes192-ctr,aes256-ctr,arcfour256,arcfour128,[email protected],[email protected],aes128-cbc,3des-cbc,blowfish-cbc,cast128-cbc,aes192-cbc,aes256-cbc,arcfour,[email protected]
debug2: kex_parse_kexinit: aes128-ctr,aes192-ctr,aes256-ctr,arcfour256,arcfour128,[email protected],[email protected],aes128-cbc,3des-cbc,blowfish-cbc,cast128-cbc,aes192-cbc,aes256-cbc,arcfour,[email protected]
debug2: kex_parse_kexinit: [email protected],[email protected],[email protected],[email protected],[email protected],[email protected],[email protected],[email protected],[email protected],hmac-md5,hmac-sha1,[email protected],[email protected],hmac-sha2-256,hmac-sha2-512,hmac-ripemd160,[email protected],hmac-sha1-96,hmac-md5-96
debug2: kex_parse_kexinit: [email protected],[email protected],[email protected],[email protected],[email protected],[email protected],[email protected],[email protected],[email protected],hmac-md5,hmac-sha1,[email protected],[email protected],hmac-sha2-256,hmac-sha2-512,hmac-ripemd160,[email protected],hmac-sha1-96,hmac-md5-96
debug2: kex_parse_kexinit: none,[email protected],zlib
debug2: kex_parse_kexinit: none,[email protected],zlib
debug2: kex_parse_kexinit: 
debug2: kex_parse_kexinit: 
debug2: kex_parse_kexinit: first_kex_follows 0 
debug2: kex_parse_kexinit: reserved 0 
debug2: kex_parse_kexinit: [email protected],ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffie-hellman-group-exchange-sha256,diffie-hellman-group-exchange-sha1,diffie-hellman-group14-sha1,diffie-hellman-group1-sha1
debug2: kex_parse_kexinit: ssh-rsa,ecdsa-sha2-nistp256
debug2: kex_parse_kexinit: aes128-ctr,aes192-ctr,aes256-ctr,arcfour256,arcfour128,[email protected],[email protected],[email protected],aes128-cbc,3des-cbc,blowfish-cbc,cast128-cbc,aes192-cbc,aes256-cbc,arcfour,[email protected]
debug2: kex_parse_kexinit: aes128-ctr,aes192-ctr,aes256-ctr,arcfour256,arcfour128,[email protected],[email protected],[email protected],aes128-cbc,3des-cbc,blowfish-cbc,cast128-cbc,aes192-cbc,aes256-cbc,arcfour,[email protected]
debug2: kex_parse_kexinit: [email protected],[email protected],[email protected],[email protected],[email protected],[email protected],[email protected],[email protected],[email protected],hmac-md5,hmac-sha1,[email protected],[email protected],hmac-sha2-256,hmac-sha2-512,hmac-ripemd160,[email protected],hmac-sha1-96,hmac-md5-96
debug2: kex_parse_kexinit: [email protected],[email protected],[email protected],[email protected],[email protected],[email protected],[email protected],[email protected],[email protected],hmac-md5,hmac-sha1,[email protected],[email protected],hmac-sha2-256,hmac-sha2-512,hmac-ripemd160,[email protected],hmac-sha1-96,hmac-md5-96
debug2: kex_parse_kexinit: none,[email protected]
debug2: kex_parse_kexinit: none,[email protected]
debug2: kex_parse_kexinit: 
debug2: kex_parse_kexinit: 
debug2: kex_parse_kexinit: first_kex_follows 0 
debug2: kex_parse_kexinit: reserved 0 
debug2: mac_setup: found [email protected]
debug1: kex: server->client aes128-ctr [email protected] none
debug2: mac_setup: found [email protected]
debug1: kex: client->server aes128-ctr [email protected] none
debug1: SSH2_MSG_KEX_DH_GEX_REQUEST(1024<1024<8192) sent
debug1: expecting SSH2_MSG_KEX_DH_GEX_GROUP
debug2: dh_gen_key: priv key bits set: 116/256
debug2: bits set: 535/1024
debug1: SSH2_MSG_KEX_DH_GEX_INIT sent
debug1: expecting SSH2_MSG_KEX_DH_GEX_REPLY
debug1: Server host key: RSA blah
debug3: load_hostkeys: loading entries for host "centos.box" from file "/Users/localuser/.ssh/known_hosts"
debug3: load_hostkeys: found key type RSA in file /Users/localuser/.ssh/known_hosts:someLine
debug3: load_hostkeys: loaded 1 keys
debug1: Host 'centos.box' is known and matches the RSA host key.
debug1: Found key in /Users/localuser/.ssh/known_hosts:27
debug2: bits set: 509/1024
debug1: ssh_rsa_verify: signature correct
debug2: kex_derive_keys
debug2: set_newkeys: mode 1
debug1: SSH2_MSG_NEWKEYS sent
debug1: expecting SSH2_MSG_NEWKEYS
debug2: set_newkeys: mode 0
debug1: SSH2_MSG_NEWKEYS received
debug1: Roaming not allowed by server
debug1: SSH2_MSG_SERVICE_REQUEST sent
debug2: service_accept: ssh-userauth
debug1: SSH2_MSG_SERVICE_ACCEPT received
debug2: key: /Users/localuser/.ssh/path.to.key.pub (0x7fb3cb600000), explicit
debug1: Authentications that can continue: publickey,gssapi-keyex,gssapi-with-mic
debug3: start over, passed a different list publickey,gssapi-keyex,gssapi-with-mic
debug3: preferred publickey,keyboard-interactive,password
debug3: authmethod_lookup publickey
debug3: remaining preferred: keyboard-interactive,password
debug3: authmethod_is_enabled publickey
debug1: Next authentication method: publickey
debug1: Offering RSA public key: /Users/localuser/.ssh/path.to.key.pub
debug3: send_pubkey_test
debug2: we sent a publickey packet, wait for reply
debug1: Authentications that can continue: publickey,gssapi-keyex,gssapi-with-mic
debug2: we did not send a packet, disable method
debug1: No more authentication methods to try.
Permission denied (publickey,gssapi-keyex,gssapi-with-mic).
$

E na caixa do Centos, temos:

$ sudo journalctl -felu sshd
....
Some Date centos.box sshd[a number]: Connection closed by 1.2.3.4 [preauth]

As permissões na chave privada são 600 ; permissões na chave pública são 644

Não sei como verificar os registros do servidor no host do serviço de diretório.

Alguma idéia do que estou fazendo errado?

    

Answer 1

Para garantir que sshd converse com sssd para autenticação de chave pública, faça o seguinte no sshd host:

1. Adicione a seguinte linha à seção [sssd] do seu arquivo /etc/sssd/sssd.conf :

   services = ssh, [ all the other services already listed there as well ]
   

Isso diz ao sssd que ele deve falar com sshd .

2. Se ainda não houver uma seção [ssh] , adicione uma seção em branco [ssh] do seu arquivo /etc/sssd/sssd.conf :

   [ssh]
   

Esta é uma seção de configuração necessária para todos os serviços para os quais sssd fala.

3. Adicione a seguinte linha à seção [domain/directory.server] do seu arquivo /etc/sssd/sssd.conf , em que directory.server é o nome completo do domínio do host do serviço de diretório:

   ldap_user_ssh_public_key = sshPublicKey
   

Isso diz a sssd qual atributo usar para localizar chaves SSH públicas de sshd usuários. ( O atributo padrão usado por sssd é ipaSshPubKey , que pode ser encontrado no esquema da ipaSshUser e ipaSshHost classes. )

4. Adicione as seguintes linhas ao seu arquivo /etc/sshd/sshd_config :

   AuthorizedKeysCommand /usr/bin/sss_ssh_authorizedkeys
   AuthorizedKeysCommandUser nobody
   

Isso diz a sshd para executar o arquivo /usr/bin/sss_ssh_authorizedkeys como usuário nobody . /usr/bin/sss_ssh_authorizedkeys busca chaves autorizadas para o usuário que está tentando autenticar no host sshd .

5. Adicione as seguintes linhas ao seu arquivo /etc/sshd/ssh_config :

   GlobalKnownHostsFile /var/lib/sss/pubconf/known_hosts
   ProxyCommand /usr/bin/sss_ssh_knownhostsproxy -p %p %h
   

Isso diz ao sssd que adiciona o nome do cliente e as chaves públicas ao /var/lib/sss/pubconf/known_hosts e se conecta ao cliente, canaliza toda a comunicação através da E / S padrão, usando o arquivo executável /usr/bin/sss_ssh_knownhostsproxy .

6. Reinicie os dois serviços:

   $ sudo systemctl reload sshd;
   $ sudo systemctl restart sshd;
   $ sudo systemctl restart sssd;