Configurare la rotazione centralizzata delle chiavi SSH

La rotazione manuale delle chiavi SSH in ambienti ampi e complessi può diventare ingestibile e aumentare i rischi per la sicurezza. Per questo motivo consigliamo di utilizzare le funzionalità PAM di Devolutions Server per centralizzare la gestione delle chiavi SSH.

Questo metodo è piuttosto semplice: le chiavi SSH importate da un provider di chiavi SSH in Devolutions Server vengono collegate alle voci SSH in Remote Desktop Manager, consentendo una gestione delle chiavi semplificata e centralizzata.

Rotazione sicura delle chiavi SSH con StrictModes

La rotazione delle chiavi SSH di Devolutions PAM richiede l'accesso ai file authorized_keys nei sistemi gestiti. È quindi consigliabile utilizzare la configurazione StrictModes nelle impostazioni del server SSH.

Per la compatibilità con StrictModes, utilizzi i seguenti comandi sui filesystem che supportano le Access Control Lists (ACL):

setfacl -m u:<PAM_USER>:--x /home/<ACCOUNT>
setfacl -m u:<PAM_USER>:--x /home/<ACCOUNT>/.ssh
setfacl -m u:<PAM_USER>:rw /home/<ACCOUNT>/.ssh/authorized_keys

Sostituisca <PAM_USER> con il nome utente dell'account che Devolutions PAM utilizza per gestire le chiavi SSH e sostituisca ACCOUNT con tutti gli account da gestire con le chiavi SSH.

In Devolutions Server

1. In Devolutions Server, vada su Amministrazione – Accesso privilegiato – Provider e clicchi sull'icona Aggiungi (+). Selezioni il tipo di provider gestito Chiave SSH.

   
2. Inserisca le informazioni richieste. Si assicuri di selezionare sia Aggiungi cassaforte PAM sia Aggiungi una nuova configurazione di rilevamento account.

   
3. Clicchi su Test connessione per assicurarsi che tutto sia in ordine, quindi Salvi il provider.
4. Poi, nella finestra Configurazione di rilevamento account, inserisca un nome e clicchi su Ok.
5. Vada su Amministrazione – Accesso privilegiato – Configurazioni di rilevamento account. Clicchi sul pulsante Visualizza risultato (icona a forma di occhio) della configurazione di rilevamento account appena creata.

   
6. Selezioni la chiave SSH che desidera utilizzare e clicchi sul pulsante Importa i computer selezionati.

   
7. Imposti una cartella di destinazione per la chiave importata e clicchi su Ok.

In Remote Desktop Manager

1. Clicchi su Aggiungi una nuova voce e crei una voce sessione terminale SSH. Inserisca host e credenziali.
2. Nella sotto-scheda Generale della scheda Chiave SSH, imposti il Tipo di voce su Account privilegiato. Clicchi sull'icona con i puntini di sospensione (…) a destra del campo Account e trovi il suo account PAM.

   
3. Clicchi su Ok e poi su Aggiungi per finalizzare la creazione della voce.

Per assicurarsi che il metodo abbia funzionato, apra la voce terminale SSH in Remote Desktop Manager e inserisca cat ~/.ssh/authorized_keys nella console. La chiave restituita dovrebbe corrispondere a quella nella cartella PAM creata durante il passaggio #7 in Devolutions Server.

Vedere anche

• Devolutions Academy – Centralize SSH key rotation with Devolutions PAM