トップページに戻る

ssh接続を鍵認証で行う
最終更新日：2016.11.23

注意: あらかじめ初期設定は終わっていることを前提としています。
root権限でリモートログイン出来ないように設定しておいてください。

デフォルトではssh接続は公開鍵認証ではなく、パスワード認証されるよう設定されています。
この状態では、

• パスワードを知っている
• サーバーにアクセス出来る手段がある

この条件が揃っていれば、誰でもサーバーにアクセス出来て危険です。
これを鍵認証のみssh接続を許可するように設定変更しましょう。

クライアントでキーペアを作成

$ cd ~/.ssh
$ ssh-keygen -f client_rsa -t rsa -b 2048
Enter passphrase: パスワードを設定する場合は入力してEnter。不要ならEnter。
Enter some passphrase again: もう一度同じように入力。

[Tips]ssh-keygen

• 鍵はWindowsの場合はCygwinを使えば作成できます。
• パスワードを入力せずにEnterキーを押すとパスワードなしのキーペアを作成できます。
• -f オプションは鍵の名前を指定します。指定を省略するとid_xxx、id_xxx.pubと言う名前で鍵が生成されます。
• .pubが名前についた方が公開鍵です。このキーペアを使ってリモートサーバーと認証します。
• .pubが名前についていない方が秘密鍵です。秘密鍵はクライアント側に保存しておきます。
• -tは鍵の種類を指定します。rsa、dsa、ecdsa、ed25519などを指定できます。対応している鍵のタイプは「man ssh-keygen」の「-t」の項で確認してください。DSA鍵以外をおすすめしますが、リモートサーバーが古いバージョンだとサポートしない場合があります。
• -bは鍵の暗号化強度(bits)です。鍵の種類によって指定できる強度が異なります。対応している強度は「man ssh-keygen」の「-b」の項で確認してください。

$ ls ~/.ssh
client_rsa   client_rsa.pub

クライアントにキーペアを登録

Linuxの場合

$ eval `ssh-agent`		←SSH Agentの起動
$ ssh-add ~/.ssh/client_rsa	←鍵の登録
$ ssh-add -l	←鍵が登録されたことを確認
2048 xx:xx:xx... /home/vagrant/.ssh/client_rsa (RSA)

$ vi ~/.bashrc
...
eval `ssh-agent`&&ssh-add ~/.ssh/client_rsa	←記述する行

$ source ~/.bashrc		←sourceコマンドで設定を読み込み
Agent pid xxxx
Identity added: /home/user/.ssh/client_rsa (/home/user/.ssh/client_rsa)

Macの場合

$ ssh-add -K ~/.ssh/client_rsa ←鍵の登録

鍵をサーバーに登録(ssh-copy-idコマンドを使った方法)

$ ssh-copy-id -i ~/.ssh/client_rsa.pub admin@192.168.1.100
Are you sure you want to continue connecting (yes/no)? yes
admin@192.168.1.100's password:	←パスワード認証する(初回のみ)
	Number of key(s) added: 1

Now try logging into the machine, with:   "ssh 'admin@192.168.1.100'"
and check to make sure that only the key(s) you wanted were added

remote# vi /etc/ssh/sshd_config
...
PasswordAuthentication yes	 ←yesになっていなかったら変更
...
remote# systemctl restart sshd

PasswordAuthentication  no
ChallengeResponseAuthentication  no
UsePAM  yes

参考

• sshによるユーザ列挙攻撃"osueta"
• sshd_config＆PAMの設定

鍵をサーバーに登録(鍵を手動コピーする方法)

$ scp ~/.ssh/client_rsa.pub admin@192.168.1.100:~
admin@192.168.1.100 ‘s password:(パスワードを入力)
client_rsa.pub      100%   16   0.0 KB/s   00:00

$ ssh admin@192.168.1.100
admin@192.168.1.100 ‘s password:(パスワードを入力)
Last login: Sat May 22 14:26:25 2010 from 192.168.1.55
remote$

remote$ ls -aF
./   .bash_history  .bash_profile  .mozilla/  .viminfo
../  .bash_logout   .bashrc        .ssh/      .zshrc

~/.sshディレクトリがある場合

remote$ mv ~/client_rsa.pub ~/.ssh
remote$ cat ~/.ssh/client_rsa.pub >> authorized_keys
remote$ chmod 600 authorized_keys

~/.sshディレクトリが無い場合

remote$ cd ~
remote$ mkdir .ssh
remote$ chmod 700 .ssh
remote$ mv ~/client_rsa.pub ~/.ssh
remote$ cat ~/.ssh/client_rsa.pub >> authorized_keys
remote$ chmod 600 authorized_keys

remote$ rm ~/.ssh/client_rsa.pub

SSH接続の確認

remote$ exit
Connection to centos closed.

$ ssh -i ~/.ssh/client_rsa admin@192.168.1.100
Last login: Sat May 22 14:27:00 2010 from 192.168.1.55
remote$

以上。

参考ページ

• OpenSSH 日本語マニュアルページ