Discussion :

[bouhh]

Bonjour à tous,

dans le cadre de mon travail, je dois gérer les accès SSH sur un serveur linux. Pour des raisons historiques, tout le monde utilise le même compte ( ne pas frapper !!! ) et l'identification de la personne se fait via sa clée ssh publique dans le fichier .ssh/authorized_keys.
Je voudrais éviter de changer cette partie là (un compte pour tout le monde), car l'histoire peut être très compliquée et lourde à bouger :-)

Pour le moment, j'ai un petit script qui génère chaque jour mon fichier .ssh/authorized_keys depuis une base de données des utilisateurs autorisés. Mais c'est compliqué (comprendre non automatisé) de faire la mise à jour en cours de journée si une personne à besoin d'accès.
Ce que je cherche, c'est un mécanisme me permettant de récupérer la clé publique de la personne voulant se connecter sur le serveur et ensuite d'interroger la base de données pour autoriser ou non la connexion.

Toute piste est bonne à prendre, j'ai pas mal parcouru la doc mais j'ai pas trouvé l'option magique qui me debloquerait.

Merci déjà pour votre aide.


Bouhh

[tabouret]

Hello,

Pour la gestion centralisée des clefs
Tu installes Openldap avec Fusiondirectory + le plugin SSH de Fusiondirectory.
Chaque utilisateur de ton LDAP possède (ou non c'est pas obligatoire) sa propre clef publique.

Tu configures la directive AuthorizedKeysCommand du fichier sshd_config pour requêter le champs sshPublicKey de ton utilisateur via un bête ldapsearch.

Pour les autorisations
Pour les autorisations par serveur, tu as plusieurs options: pam_access.so ou bien tu ajoutes le pluging Fusiondirectory Unix pour gérer un champs "Host" de chaque utilisateur. Tu configures libnss-ldap.conf pour que les seuls utilisateurs autorisés soient ceux définis par le champs Host.

Le tour est joué. Bon OK tu dois être carrément à l'aise avec PAM, NSS et OPenLDAP.

[bouhh]

Top ! Merci pour la piste.

En passant par l'option AuthorizedKeysCommand, j'ai le comportement souhaité, j'interroge "directement" la DB sans devoir générer quotidiennement le fichier ~/.ssh/authorized_key.