Конфигуриране на псевдоним на SSH ключ

Псевдоним от тип SSH key позволява на модула Vault за пароли да съхранява частен SSH ключ вместо парола. Потребителите отварят SSH сесията си, без изобщо да виждат ключа, а ключът може да бъде ротиран, без да се променят навиците им.

Тази страница описва целия път: генерирането на двойката ключове на целевия сървър, след което декларирането на псевдонима в модула Vault.

Първо декларирайте SSH приложението

Псевдонимът на SSH ключ се свързва със SSH приложения, които вече са декларирани в конзолата, и не е съвместим със стандартно SSH приложение: ако изберете такова, псевдонимът отказва да бъде записан. Декларирайте привилегированото SSH приложение, което ще използва ключа, преди да започнете, в противен случай списъкът с приложения в прозореца на псевдонима ще показва No SSH application.

Стъпка 1 — Генерирайте двойката ключове на сървъра

Влезте в сървъра, за който се конфигурира достъпът, с акаунта, за който е предназначен достъпът с ключ.

Генерирайте двойка RSA ключове:

ssh-keygen -t rsa -b 4096 -f my_vault_key

my_vault_key е името на файловете, които съдържат ключовете — тук my_vault_key и my_vault_key.pub, записани в текущата директория.

Задайте парола фраза или планирайте ротация

Командата изисква парола фраза за частния ключ. Въведете такава. Ако я оставите празна, самият ключ е достатъчен, за да се отвори акаунтът, а политиката за ротация, зададена за псевдонима, става единственото, което ограничава колко дълго компрометиран ключ остава използваем.

Добавете публичния ключ към упълномощените ключове за този акаунт. Ако директорията ~/.ssh/ вече съществува, съобщението, което връща първата команда, може да бъде пренебрегнато:

mkdir ~/.ssh/
cat my_vault_key.pub >> ~/.ssh/authorized_keys

Извлечете частния ключ (my_vault_key) от сървъра — например чрез SFTP клиент.

Частният ключ е текстов файл

Съдържанието му е кодирано в base64, така че може да бъде показано и с cat и записано като текстов файл на работната станция. Независимо по какъв начин го извлечете, той трябва да достигне до конзолата непроменен: съдържанието му започва с -----BEGIN ... PRIVATE KEY----- или с PuTTY-User-Key-File- за ключ във формат PuTTY.

Стъпка 2 — Създайте псевдонима в модула Vault

Отворете модула Password vault и щракнете върху +.

В прозореца Add alias изберете типа SSH key, след което попълнете полетата.

Поле	Какво да въведете
Alias	Името на псевдонима. То се преобразува принудително в малки букви, а знаците @ , < & > " се отхвърлят.
Type	SSH key.
Username	Акаунтът, за който е генериран ключът в стъпка 1.
SSH key	Файлът с частния ключ, извлечен в стъпка 1.
Password	Паролата фраза на ключа. Оставете полето празно само ако ключът няма такава.
Policy	В рамката Password rotation — политиката за ротация, приложена към псевдонима.
(SSH приложения)	Плъзнете в десния списък SSH приложенията, които ще използват този псевдоним.

Изчерпателното описание на полетата и на техните ограничения се намира в справочната страница: Добавяне на псевдоним.

Щракнете върху Validate, за да запишете псевдонима.

Полето за парола не съдържа паролата на акаунта

За псевдоним на SSH ключ полето Password съдържа паролата фраза, която защитава частния ключ — а не паролата на целевия акаунт. Псевдоним, който се удостоверява с парола, е псевдоним от тип SSH password, а това е друг тип.