NYCKLAR FRÅN CERTIFIKAT¶

Utöver de publika SSH-nycklarna för användaren ANVÄNDARE kan sss_ssh_authorizedkeys även returnera publika SSH-nycklar härledda från den publika nyckeln i ett X.509-certifikat.

För att aktivera detta måste alternativet “ssh_use_certificate_keys” sättas till true (standard) i avsnittet [ssh] av sssd.conf. Om användarposten innehåller certifikat (se “ldap_user_certificate” i sssd-ldap(5) för detaljer) eller det finns ett certifikat i en åsidosättande post för användaren (se sss_override(8) eller sssd-ipa(5) för detaljer) och certifikatet är giltigt kommer SSSD extrahera den publika nyckeln från certifikatet och konvertera den till formatet som sshd förväntar sig.

Vid sidan av “ssh_use_certificate_keys” kan alternativen

användas för att styra hur certifikaten valideras (se sssd.conf(5) för detaljer).

Valideringen är fördelen med att använda X.509-certifikat istället för att använda SSH-nycklar direkt för att det t.ex. ger en bättre kontroll över livslängden hos nycklarna. När ssh-klienten är konfigurerad att använda de privata nycklarna från ett smartkort med hjälp av det delade PKCS#11-biblioteket (se ssh(1) för detaljer) kan det vara irriterande att autentiseringen fortfarande fungerar även om det tillhörande X.509-certifikatet på smartkortet redan har gått ut eftersom varken ssh eller sshd kommer titta på certifikatet över huvud taget.

Det måste påpekas att den härledda publika SSH-nyckeln fortfarande kan läggas till i användarens fil authorized_keys för att gå runt certifikatvalideringen om konfigurationen av sshd tillåter detta.