使用活动目录的无密码ssh身份验证

Question

我们当前的基础架构使用ssh密钥无密码登录我们的Linux服务器.随着我们的基础架构的发展,管理这些授权密钥变得更加困难.

由于我们还有一个Active Directory(AD)服务器,我想使用这种机制通过ssh对用户进行身份验证,但是要保持ssh密钥的无密码性质.

是否可以使用某些AD机制通过ssh在没有密码的情况下对用户进行身份验证？

Answer 1

这通常通过SSH密钥证书来完成,以保持无密码的性质,同时具有可信任的中央权限,以便为每个帐户生成新证书.

不建议在登录时使用LDAP/Active目录 - 除了必须使用密码之外,访问它管理的任何系统也会成为单点故障.

请参阅RedHat文档,了解如何执行此操作,以及Facebook对使用SSH进行证书身份验证的良好记录.

Answer 2

我的方法是将问题减少到已经解决的问题

1. 使用活动目录进行身份验证，无需密码，并使用 Kerberos 建立 HTTPS 连接。Dzone教程使用 SPNEGO 配置 Tomcat 7 单点登录可能是该方法的一个很好的起点。
2. 将 SSH 封装到 https 协议中，请参阅https://unix.stackexchange.com/questions/190490/how-to-use-ssh-over-http-or-https将SSH 封装到 HTTP(S)部分