1.5. OpenSSH のセキュリティーの強化

手順

1. RHEL でホストの鍵の作成を設定するには、インスタンス化したサービス sshd-keygen@.service を使用します。たとえば、RSA 鍵タイプの自動作成を無効にするには、次のコマンドを実行します。

   # systemctl mask sshd-keygen@rsa.service

   注記

   cloud-init 方式が有効になっているイメージでは、ssh-keygen ユニットが自動的に無効になります。これは、ssh-keygen template サービスが cloud-init ツールに干渉し、ホストキーの生成で問題が発生する可能性があるためです。これらの問題を回避するために、etc/systemd/system/sshd-keygen@.service.d/disable-sshd-keygen-if-cloud-init-active.conf というドロップイン設定ファイルは、cloud-init が実行されている場合に ssh-keygen ユニットを無効にします。

2. OpenSSH は、RSA、ECDSA、および Ed25519 のサーバーホストキーが存在しない場合、自動的に作成するため、セキュリティーの低い暗号化方式のキーは削除してください。

   # rm -f /etc/ssh/ssh_host_rsa_key

3. SSH 接続に特定のキータイプのみを許可するには、/etc/ssh/sshd_config 内の該当行の先頭にあるコメントアウトを削除します。たとえば、Ed25519 ホスト鍵のみを許可する場合、対応する行は次のようになります。

   # HostKey /etc/ssh/ssh_host_rsa_key
   # HostKey /etc/ssh/ssh_host_ecdsa_key
   HostKey /etc/ssh/ssh_host_ed25519_key

4. sshd サービスを再起動します。

   # systemctl restart sshd