ssh-copy-id (установка ключа на сервер)

Что делает ssh-copy-id, шаг за шагом

Согласно руководству ssh-copy-id, скрипт с помощью ssh входит на удалённую машину, предположительно по паролю, поэтому для первого запуска вход по паролю должен быть включён. Он составляет список ключей, пробует войти с каждым из них, чтобы понять, установлен ли он уже, и затем устанавливает только те, с которыми вход не удался. По умолчанию они добавляются в конец ~/.ssh/authorized_keys, а файл и каталог при необходимости создаются.

Подробности видны в самом скрипте. На удалённой стороне он выставляет umask 077, поэтому новый каталог закрыт для других, а новый файл читается только владельцем. Перед добавлением он дописывает недостающий перевод строки, чтобы ключи не слиплись, и запускает restorecon, если команда есть, что восстанавливает метки SELinux. Существующие ключи он никогда не удаляет.

Какие ключи копируются, зависит от параметров. С -i берётся только указанный файл. Без него, если ssh-add -L что-то выводит, используются ключи из вашего агента, а иначе самый недавно изменённый файл ~/.ssh/id*.pub.

Команды и ручной вариант

Используйте псевдоним Host из ~/.ssh/config, чтобы не вводить данные сервера каждый раз. Сначала сделайте пробный запуск, который только печатает ключи, предназначенные к установке, затем установите по-настоящему:

ssh-copy-id -n -i ~/.ssh/id_ed25519.pub myserver
ssh-copy-id -i ~/.ssh/id_ed25519.pub myserver
ssh-copy-id -i ~/.ssh/id_ed25519.pub -p 2222 myserver

В руководстве перечислены -p для порта, -o и -F для передачи параметров ssh или файла конфигурации, -t для другого целевого файла, -f чтобы пропустить проверку «уже установлен» и -s для работы через sftp, если сервер ограничивает удалённые команды. Проверьте результат входом только по ключу:

ssh -o IdentitiesOnly=yes -o PasswordAuthentication=no -i ~/.ssh/id_ed25519 myserver

Если скрипта нет, то же самое вручную:

cat ~/.ssh/id_ed25519.pub | ssh myserver 'umask 077; mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys'

Ручной способ не проверяет дубликаты и отсутствие финального перевода строки, поэтому потом просмотрите файл.

Подводные камни и ошибки

Несколько значений по умолчанию неприятно удивляют.

• Может скопироваться больше ключей, чем вы хотели. Без -i устанавливаются все ключи, загруженные в ssh-agent, а комментарием, как отмечено в руководстве, становится имя файла, с которым ключ загружали. Всегда указывайте -i.
• Нужен работающий вход. Если вход по паролю уже выключен и ключа нет, используйте консоль провайдера, а не скрипт.
• Он только добавляет и не проверяет. Дубликаты (при -f) и забытые ключи копятся в authorized_keys.
• Ограничения не добавляются. В руководстве сказано, что для параметров вроде from или command нужно отредактировать файл ключа до копирования.
• Только открытый ключ. Передавайте файл .pub, но не закрытый ключ.
• Права могут помешать. В руководстве sshd сказано, что если файл, каталог ~/.ssh или домашний каталог доступны другим на запись, sshd не будет использовать файл при включённом StrictModes. См. Permission denied (publickey).

Устанавливайте ключи для именной учётной записи администратора, а не для root (см. PermitRootLogin).

Безопасный порядок перед отключением пароля

Копирование ключа это первый шаг перехода на аутентификацию по ключу, и порядок действий важен.

1. Создайте ключ через ssh-keygen с парольной фразой.
2. Установите его командой ssh-copy-id -i, не закрывая исходную сессию.
3. Из второго терминала войдите только по ключу и убедитесь, что это работает.
4. Отредактируйте конфигурацию сервера, выполните sudo sshd -t и перезагрузите конфигурацию.
5. Из третьего терминала проверьте, что ключ по-прежнему работает, а попытка входа только по паролю отклоняется.

Точные строки для PasswordAuthentication и связанных параметров даёт руководство по усилению защиты SSH. Если что-то пошло не так, руководство по восстановлению доступа покажет, как вернуться через консоль провайдера.

Считайте установку ключа изменением доступа: записывайте, чей это ключ, и при уходе сотрудника удаляйте его строку. О ключе на аппаратном токене см. FIDO2 и WebAuthn и руководство по двухфакторной аутентификации SSH.

Связанные термины: authorized_keys, Аутентификация по ключу, ssh-keygen, PasswordAuthentication, PermitRootLogin.