使用活动目录的无密码ssh身份验证

Question

我们当前的基础架构使用ssh密钥无密码登录我们的Linux服务器。 随着我们的基础架构的发展，管理这些授权密钥变得更加困难。

由于我们还有一个Active Directory（AD）服务器，我想使用这种机制通过ssh对用户进行身份验证，但是要保持ssh密钥的无密码性质。

是否可以使用某些AD机制通过ssh在没有密码的情况下对用户进行身份验证？

Answer 1

这通常通过SSH密钥证书来完成，以保持无密码的性质，同时具有可信任的中央权限，以便为每个帐户生成新证书。

不建议在登录时使用LDAP / Active目录 - 除了必须使用密码之外，访问它管理的任何系统也会成为单点故障。

请参阅RedHat文档 ，了解如何执行此操作，以及Facebook对使用SSH进行证书身份验证的良好记录 。

Answer 2

选项1

这是一篇很好的文章，解释了如何做到这一点。 在Active Directory中存储SSH密钥以便于部署

基本上，它允许人们将他们的公钥发布到您的Active Directory，然后您可以在服务器上设置一个cron脚本，每隔5分钟左右获取一次公钥。

选项2

您还可以使用包含所有密钥的文件服务器，并使用cron脚本从每个服务器获取每个服务器。 显然，您需要一种方法来验证每个密钥的真实性，尤其是在使用FTP或其他不安全协议时。 这可以使用GPG实现。 您可以拥有一个公司主GPG密钥，用于签署所有员工密钥。

就个人而言，我最喜欢选项2，因为我认为它更安全，但任何一种方法都应该有效。 希望这可以帮助！

Answer 3

我的方法是将问题减少到已经解决过的问题

1. 使用Active Directory在没有密码的情况下进行身份验证，并使用Kerberos建立HTTPS连接。 Dzone教程使用SPNEGO配置Tomcat 7单点登录可能是该方法的一个很好的起点。
2. 将SSH包装到https协议中，请参阅https://unix.stackexchange.com/questions/190490/how-to-use-ssh-over-http-or-https中的 在HTTP中包装SSH（S）部分