SSH+SSO: Klíč na vzdáleném stroji nechci vytvářet ručně (vyřešeno)

Rozběhal jsem Kerberos a úspěšně se bez hesla přihlásím ke vzdálenému stroji. Jenže na něm musím ručně zavolat kinit, abych obdržel klíč a mohl pokračovat v práci bez hesel i tam. Když se přihlásím přímo, tak klíč dostanu na obou strojích úspěšně. Ale když se z jednoho přihlásím bez použití hesla na druhý prostřednictvím SSH, napíše na vzdáleném stroji klist, že žádné klíče nejsou k dispozici.

Přitom na prvním počítači mi výpis klist -f ukáže u tiketu písmeno F jako forwardable. A v nastavení SSH v souboru /etc/ssh/sshd_conf mám:

Host *
    ...
    GSSAPIAuthentication yes
    GSSAPIDelegateCredentials yes
    ...

Prý by to mělo stačit. Tak nevím... Možná je to u Debianu Wheezy jinak.

Co Bůh rozbil, člověk neopravuj!

Odpovědi

Jo, taky jsem na tohle narazil. Je to kvůli tomu, že kinit potřebuje heslo a to při přihlášení SSH klíčem není zadáno.

Hello world ! Segmentation fault (core dumped)

11.1.2013 14:10 Barbucha.eu | skóre: 23 | Chrást u Plzně
Rozbalit Rozbalit vše Re: SSH+SSO: Klíč na vzdáleném stroji nechci vytvářet ručně

Tak co to forwardování klíče teda dělá?

Co Bůh rozbil, člověk neopravuj!

11.1.2013 15:24 Josef Kufner | skóre: 70
Rozbalit Rozbalit vše Re: SSH+SSO: Klíč na vzdáleném stroji nechci vytvářet ručně

Jó, tak daleko jsem se už nedostal ;-)

Hello world ! Segmentation fault (core dumped)

Me to funguje.

sshd_config:

KerberosAuthentication yes
GSSAPIAuthentication yes
GSSAPICleanupCredentials yes
GSSAPIKeyExchange yes
GSSAPIStrictAcceptorCheck no

ssh_config:

Host *
GSSAPIAuthentication yes
GSSAPIDelegateCredentials yes
GSSAPIKeyExchange yes

Hodil by se o vervose vypis ze ssh spojeni. Melo by tam byt neco takovehleho:

debug1: Next authentication method: gssapi-keyex
debug1: Authentication succeeded (gssapi-keyex).
debug1: channel 0: new [client-session]
debug1: Requesting no-more-sessions@openssh.com
debug1: Entering interactive session.

V klist pak vidim svuj ticket.

~ QED ~

Řešení 1× (Barbucha.eu (tazatel))

11.1.2013 21:33 Barbucha.eu | skóre: 23 | Chrást u Plzně
Rozbalit Rozbalit vše Re: SSH+SSO: Klíč na vzdáleném stroji nechci vytvářet ručně

Díky za trknutí. Teď mě to teprve došlo, co jsem za kus bramborové natě!

GSSAPIAuthentication yes
GSSAPIDelegateCredentials yes

Tak toto opravdu stačí, ale nesmíte být pitomci, kteří si neuvědomí, že tohle je nastavení klienta. Takhle se musí upravit soubor /etc/ssh/ssh_config na klientské straně, ne na serverové. Chápu, že taková hloupost nikoho nenapadla - ještě teď se stydím :-)

Co Bůh rozbil, člověk neopravuj!

13.1.2013 21:25 petr_p | skóre: 59 | blog: pb
Rozbalit Rozbalit vše Re: SSH+SSO: Klíč na vzdáleném stroji nechci vytvářet ručně

Jen to má takový drobný bezpečnostní problém, že svůj lokální lístek svěřujete serveru, kam se přihlašujete. Někomu to může vadit.

14.1.2013 07:34 Barbucha.eu | skóre: 23 | Chrást u Plzně
Rozbalit Rozbalit vše Re: SSH+SSO: Klíč na vzdáleném stroji nechci vytvářet ručně

Mě to nevadí :-)

Zatím pracuji s malou sítí, kde je jen několik počítačů za firewallem a kde vládne přátelské prostředí. Nevím, jak to přesně funguje, ale bezpečnější možná bude v konfiguračním souboru změnit Host * na třeba Host *.barbucha.local, abych měl jistotu, že ty lístky nebudou putovat nikam mimo moji lokální doménu.

Co Bůh rozbil, člověk neopravuj!

14.1.2013 11:53 Josef Kufner | skóre: 70
Rozbalit Rozbalit vše Re: SSH+SSO: Klíč na vzdáleném stroji nechci vytvářet ručně

Teoreticky bys mohl ty volby napsat do ~/.ssh/config jen k serverům, kterým důvěřuješ a kde ten lístek má smysl. Pak tahle nevýhoda zcela odpadá.

Hello world ! Segmentation fault (core dumped)

Dotaz: SSH+SSO: Klíč na vzdáleném stroji nechci vytvářet ručně

Odpovědi