Konfigurera ett alias med SSH-nyckel

Ett alias av typen SSH key gör att Vault kan lagra en privat SSH-nyckel i stället för ett lösenord. Användarna öppnar sin SSH-session utan att någonsin se nyckeln, och nyckeln kan roteras utan att deras vanor påverkas.

Den här sidan täcker hela vägen: att generera nyckelparet på målservern och sedan deklarera aliaset i Vault.

Deklarera SSH-applikationen först

Ett alias med SSH-nyckel kopplas till SSH-applikationer som redan deklarerats i konsolen, och det är inte kompatibelt med en SSH-applikation av typen standard: att välja en sådan gör att aliaset inte går att spara. Deklarera den privilegierade SSH-applikation som ska använda nyckeln innan du börjar, annars visar applikationslistan i aliasfönstret No SSH application.

Steg 1 — Generera nyckelparet på servern

Logga in på den server som åtkomsten konfigureras för, med det konto som den nyckelbaserade åtkomsten är avsedd för.

Generera ett RSA-nyckelpar:

ssh-keygen -t rsa -b 4096 -f my_vault_key

my_vault_key är namnet på de filer som innehåller nycklarna — här my_vault_key och my_vault_key.pub, som skrivs i den aktuella katalogen.

Ange en lösenfras, eller planera för rotation

Kommandot frågar efter en lösenfras för den privata nyckeln. Ange en. Om du lämnar den tom räcker nyckeln ensam för att öppna kontot, och den rotationspolicy som ställts in på aliaset blir det enda som begränsar hur länge en läckt nyckel förblir användbar.

Lägg till den publika nyckeln bland de nycklar som är tillåtna för det kontot. Om katalogen ~/.ssh/ redan finns kan meddelandet som det första kommandot returnerar ignoreras:

mkdir ~/.ssh/
cat my_vault_key.pub >> ~/.ssh/authorized_keys

Hämta den privata nyckeln (my_vault_key) från servern — till exempel via en SFTP-klient.

Den privata nyckeln är en textfil

Innehållet är base64-kodat, så det kan också visas med cat och sparas som en textfil på arbetsstationen. Oavsett hur du hämtar den måste den nå konsolen oförändrad: innehållet börjar med -----BEGIN ... PRIVATE KEY-----, eller med PuTTY-User-Key-File- för en nyckel i PuTTY-format.

Steg 2 — Skapa aliaset i Vault

Öppna modulen Password vault och klicka på +.

I fönstret Add alias väljer du typen SSH key och fyller sedan i fälten.

Fält	Vad du ska ange
Alias	Aliasets namn. Det tvingas till små bokstäver, och tecknen @ , < & > " avvisas.
Type	SSH key.
Username	Det konto som nyckeln genererades för i steg 1.
SSH key	Filen med den privata nyckeln som hämtades i steg 1.
Password	Nyckelns lösenfras. Lämna det tomt endast om nyckeln saknar en.
Policy	I rutan Password rotation: den rotationspolicy som tillämpas på aliaset.
(SSH-applikationer)	Dra de SSH-applikationer som ska använda detta alias till listan till höger.

Den fullständiga beskrivningen av fälten och deras begränsningar finns på referenssidan: Lägg till ett alias.

Klicka på Validate för att spara aliaset.

Fältet Password innehåller inte kontots lösenord

För ett alias med SSH-nyckel är Password den lösenfras som skyddar den privata nyckeln — inte målkontots lösenord. Ett alias som autentiserar med ett lösenord är ett alias av typen SSH password, som är en annan typ.