ssh key authority

SKA- SSH關鍵權威

請參閱下面的“安全諮詢”部分以獲取最近解決的安全問題

用於管理用戶和服務器SSH訪問任意數量服務器的工具。

特徵

• 輕鬆管理服務器上所有帳戶的SSH密鑰訪問。
• 管理用戶訪問和服務器對服務器訪問規則。
• 與您的LDAP目錄服務集成以供用戶授權。
• 當人們離開您的團隊時，他們會自動刪除服務器訪問。
• 為您的用戶提供了一個簡單的界面，可以上傳其公共密鑰。
• 指定服務器管理員，讓他們管理對自己的服務器的訪問。
• 創建基於組的訪問規則，以更輕鬆地管理。
• 在您的訪問規則上指定SSH訪問選項，例如command= ， nopty等。
• 所有訪問更改均記錄到數據庫和系統日誌。還通過電子郵件報告了訪問權限。
• 當服務器變成孤兒時，請通知（沒有活動的管理員）。

演示

您可以在演示服務器上查看行動中的SSH密鑰授權。

使用以下一組用戶名 /密碼憑據登錄：

• testuser / testuser-普通用戶具有授予少數服務器的管理員訪問權限
• testadmin / testadmin-管理員用戶

該演示服務器上的所有數據均在00:00 UTC每晚重置。

要求

• LDAP目錄服務
• Apache 2.2或更高
• PHP 5.6或更高
• PHP JSON擴展
• PHP LDAP擴展
• PHP MBSTRING（多型字符串）擴展
• php mysql擴展
• PHP SSH2擴展
• MySQL（5.5+），Percona Server（5.5+）或MariadB數據庫

安裝

1. 克隆repo在默認的Apache文檔root之外的某個地方。

2. 將以下指令添加到您的Apache配置（例如虛擬主機配置）：

    DocumentRoot /path/to/ska/public_html
   DirectoryIndex init.php
   FallbackResource /init.php
   

3. 創建MySQL用戶和數據庫（在MySQL Shell中運行）：

    CREATE USER 'ska-user'@'localhost' IDENTIFIED BY 'password';
   CREATE DATABASE `ska-db` DEFAULT CHARACTER SET utf8mb4;
   GRANT ALL ON `ska-db`.* to 'ska-user'@'localhost';
   

4. 將文件config/config-sample.ini複製到config/config.ini ，並根據需要編輯設置。

5. 為您的虛擬主機設置authnz_ldap（或將在應用程序變量上傳遞到應用程序的任何其他身份驗證模塊）。

6. 將scripts/ldap_update.php設置為常規的cron作業。

7. 生成一個SSH鍵對，以同步。 SSH密鑰授權將期望將文件作為config/keys-sync和config/keys-sync.pub分別用於私人和公共鍵。鑰匙必須是pem格式。以下命令將以所需格式生成密鑰：

    ssh-keygen -t rsa -b 4096 -m PEM -C 'comment' -f config/keys-sync
   

8. 安裝SSH鍵同步守護程序。對於SystemD：

   1. 複製services/systemd/keys-sync.service to /etc/systemd/system/
   2. 根據需要修改ExecStart路徑和User 。如果SSH密鑰授權安裝在/home下，請禁用ProtectHome 。
   3. systemctl daemon-reload
   4. systemctl enable keys-sync.service

   用於SYSV-INIT：

   1. 複製services/init.d/keys-sync to /etc/init.d/
   2. 根據需要修改SCRIPT路徑和USER 。
   3. update-rc.d keys-sync defaults

用法

config/config.ini中admin_group_cn下定義的LDAP組中的任何人都將能夠管理帳戶和服務器。

鑰匙分佈

SSH密鑰授權通過SSH將授權密鑰分配給您的服務器。它通過：

1. 使用SSH連接到服務器，授權為keys-sync用戶。
2. 在/var/local/keys-sync/中編寫適當的授權鍵（例如，所有授權鍵的鍵都將寫入/var/local/keys-sync/root ）。

這意味著您的SSH安裝將需要重新配置以從/var/local/keys-sync/讀取授權密鑰。

請注意，這樣做將拒絕訪問默認值~/.ssh目錄中授權的任何現有的SSH公共密鑰。

在OpenSSH下，所需的配置更改為：

 AuthorizedKeysFile /var/local/keys-sync/%u
StrictModes no

必須禁用strictmodes，因為文件將全部由鍵同步用戶擁有。

文件/var/local/keys-sync/keys-sync必須存在，其中內容與config/keys-sync.pub文件相同，以便對同步守護程序進行身份驗證。

屏幕截圖

主頁概述

服務器列表

服務器帳戶訪問管理

活動日誌

新用戶入門指南

安全諮詢

• SKA安全諮詢：SSH港口重定向攻擊

執照

版權2013-2017歌劇軟件

根據Apache許可證（版本2.0（“許可”）獲得許可；除了符合許可外，您不得使用此文件。您可以在

http://www.apache.org/licenses/license-2.0

除非適用法律要求或以書面形式同意，否則根據許可證分配的軟件是按照“原樣”分發的，沒有任何明示或暗示的任何形式的保證或條件。請參閱許可證，以獲取執行許可條款和限制的特定語言。