نام (NAME)

sss_ssh_authorizedkeys - دریافت کلیدهای مجاز OpenSSH

خلاصه دستور (SYNOPSIS)

sss_ssh_authorizedkeys [گزینه‌ها] USER

توضیحات (DESCRIPTION)

دستور sss_ssh_authorizedkeys کلیدهای عمومی SSH را برای کاربر USER به دست آورده و آن‌ها را در قالب authorized_keys متعلق به OpenSSH خروجی می‌دهد (برای اطلاعات بیشتر بخش “AUTHORIZED_KEYS FILE FORMAT” در sshd(8) را ببینید).

در صورتی که sshd(8) با پشتیبانی از گزینهٔ “AuthorizedKeysCommand” کامپایل شده باشد، می‌تواند برای استفاده از sss_ssh_authorizedkeys جهت احراز هویت کلید عمومی کاربر پیکربندی شود. لطفاً برای جزئیات بیشتر درباره این گزینه به صفحه راهنمای sshd_config(5) مراجعه کنید.

اگر “AuthorizedKeysCommand” پشتیبانی شود، sshd(8) را می‌توان با قرار دادن دستورالعمل‌های زیر در sshd_config(5) برای استفاده از آن پیکربندی کرد:

AuthorizedKeysCommand /usr/bin/sss_ssh_authorizedkeys
AuthorizedKeysCommandUser nobody

کلیدها از گواهی‌ها (KEYS FROM CERTIFICATES)

علاوه بر کلیدهای عمومی SSH برای کاربر USER، دستور sss_ssh_authorizedkeys می‌تواند کلیدهای عمومی SSH مشتق‌شده از کلید عمومی یک گواهی X.509 را نیز بازگرداند.

برای فعال‌سازی این مورد، گزینهٔ “ssh_use_certificate_keys” باید در بخش [ssh] از sssd.conf روی true (پیش‌فرض) تنظیم شود. اگر مدخل کاربر حاوی گواهی‌ها باشد (برای جزئیات به “ldap_user_certificate” در sssd-ldap(5) مراجعه کنید) یا گواهی‌ای در مدخل بازنویسی (override) برای کاربر وجود داشته باشد (برای جزئیات به sss_override(8) یا sssd-ipa(5) مراجعه کنید) و گواهی معتبر باشد، SSSD کلید عمومی را از گواهی استخراج کرده و آن را به قالب مورد انتظار sshd تبدیل می‌کند.

به غیر از “ssh_use_certificate_keys” گزینه‌های

•ca_db

•p11_child_timeout

•certificate_verification

می‌توانند برای واپایش نحوه اعتبارسنجی گواهی‌ها استفاده شوند (برای جزئیات به sssd.conf(5) مراجعه کنید).

اعتبارسنجی مزیت استفاده از گواهی‌های X.509 به جای کلیدهای مستقیم SSH است؛ زیرا به عنوان مثال امکان کنترل بهتری بر طول عمر کلیدها فراهم می‌آورد. هنگامی که کلاینت ssh طوری پیکربندی شده باشد که از کلیدهای خصوصی یک کارت هوشمند (Smartcard) با کمک یک کتابخانه اشتراکی PKCS#11 استفاده کند (برای جزئیات به ssh(1) مراجعه کنید)، ممکن است این مسئله ناخوشایند باشد که احراز هویت همچنان کار می‌کند حتی اگر گواهی X.509 مربوطه روی کارت هوشمند از قبل منقضی شده باشد، زیرا نه ssh و نه sshd اصلاً به این گواهی توجهی نخواهند کرد.

باید توجه داشت که در صورت مجاز بودن در پیکربندی sshd، کلید عمومی مشتق‌شده SSH همچنان می‌تواند به فایل authorized_keys کاربر اضافه شود تا اعتبارسنجی گواهی را دور بزند.

گزینه‌ها (OPTIONS)

-d,--domain DOMAIN

جستجوی کلیدهای عمومی کاربر در دامنه SSSD به نام DOMAIN.

-?,--help

نمایش پیام راهنما و خروج.

وضعیت خروج (EXIT STATUS)

در صورت موفقیت، مقدار خروج 0 بازگردانده می‌شود. در غیر این صورت، 1 بازگردانده می‌شود.

همچنین ببینید (SEE ALSO)

sssd(8), sssd.conf(5), sssd-ldap(5), sssd-ldap-attributes(5), sssd-krb5(5), sssd-simple(5), sssd-ipa(5), sssd-ad(5), sssd-idp(5), sssd-sudo(5), sssd-session-recording(5), sss_cache(8), sss_debuglevel(8), sss_obfuscate(8), sss_seed(8), sssd_krb5_locator_plugin(8), sss_ssh_authorizedkeys(1), sss_ssh_knownhosts(1), sssd-ifp(5), pam_sss(8). sss_rpcidmapd(5)

نویسندگان (AUTHORS)

توسعه‌دهندگان بالادست SSSD - https://github.com/SSSD/sssd