无需任何身份验证的SSH会话

Question

我有一个特殊的用户，称为udpate，其外壳程序是一个特殊命令，用于获取系统的所有未决更新。

我希望能够与该用户打开ssh会话而无需任何身份验证（密码或ppk或任何其他方式），因此，如果有人想更新系统，他们可以执行“ ssh update @ <>”，而无需必须知道密码，或在包装盒上预共享了公用密钥。

我知道这是不安全的，但这是通过VPN进行的，因此这不是问题，它们只会运行更新，然后被丢弃。

能做到吗？

Answer 1

使用ssh时，VPN不是避免进行身份验证的好理由。 即使有办法做到这一点，也不应该使用它。 使用ssh-key是最好的方法。 如果您确实想做这样的事情，请使用相同的密钥并将其分发到每个盒子上。

如果您的盒子的本地网络受到攻击，您怎么办？ 您只是有一个安全漏洞。

Answer 2

正如该rfc指出的那样，它支持基于主机的身份验证https://www.ietf.org/rfc/rfc4252.txt

因此，请按照本教程https://en.wikibooks.org/wiki/OpenSSH/Cookbook/Host-based_Authentication#Server_Configuration_for_host-based_authentication进行认真使用。

那可能不是最终的解决方案，但可以帮助找到一个解决方案。

但是实际上，您不应该针对此用例进行操作……只需提供一个基本的Web终结点，该终结点仅在下一次cron运行时才启动更新过程。 我知道，它不是那么“简单”，而是更加安全。

或者，如果他们仍然可以访问此服务器，则添加设置了超级用户位的脚本，该脚本将触发更新。

另外，如果您的公司中有一个中央服务器，每个人也都可以访问，则可以在这之间作为托管密钥对的步骤，因此您不需要为每个人管理X密钥。

或者您将更现代的设置与puppet或其他任何东西一起使用，或者只是将服务器配置为始终更新，而无需用户交互。