Назад | Перейти на главную страницу

ЦС Windows для выдачи сертификата для аутентификации SSH на сервере Linux

У меня есть корневой центр сертификации Windows Server, сервер Linux SSH и пользователи с клиентами Windows SSH. Ящик Linux не является частью домена AD (и, вероятно, никогда не будет [вздох])

OpenSSH 5.4 и выше поддерживает Аутентификация на основе сертификатов X.509. Я пытаюсь найти способ использовать свой центр сертификации Windows для выдачи сертификатов для аутентификации пользователей при подключении SSH к ящику Linux.

Я не хочу, чтобы на рабочем столе каждого пользователя создавалась пара ключей. И мы хотим, чтобы сертификаты контролировались и отзывались в ЦС Windows.

Мой вопрос не совсем такой, как SSH из Windows в Linux с сертификатами AD (и ссылка на moelinux.net, похоже, не работает)

Я много искал в Google и не нашел много результатов о том, как это сделать. Ответ не обязательно должен включать полное руководство, могут быть полезны даже некоторые подсказки о том, что искать или указатели на некоторые ссылки.

Между readme OpenSSH 5.4 и Roumen Petrov не похоже, что он доступен в той степени, в которой вы ищете, на эту дату. Также кажется, что OpenSSH не совсем заинтересован в его поддержке.

При этом, возможно, вы сможете это сделать, если установите разветвленную версию, которую предоставляет Петров.

  • http://www.openssh.org/txt/release-5.4

    «Добавить поддержку аутентификации сертификатов пользователей и хостов с использованием нового минимального формата сертификатов OpenSSH (не X.509)».

  • http://www.openssh.org/features.html

    «Все компоненты ограничительного характера (например, патенты, см. Ssl) были удалены из исходного кода; любые лицензированные или запатентованные компоненты выбраны из внешних библиотек (например, OpenSSL)».

  • http://www.gossamer-threads.com/lists/openssh/dev/54230

  • http://roumenpetrov.info/openssh/ - предоставляет патч для текущей версии OpenSSH, который может делать то, что вам нужно. За это ручаться не могу, но смотрится интересно. Я сам не склонен отклоняться от основной ветки OpenSSH, безопасность очень важна, и у меня нет ресурсов, чтобы должным образом проверить это важное изменение.