14.3.5. SSH 証明書の作成

手順14.4 ホスト証明書の生成

1. ホスト鍵は、システムで自動的に生成されます。一覧表示するには、以下のコマンドを入力します。

   ~]# ls -l /etc/ssh/ssh_host*
   -rw-------. 1 root root  668 May  6 14:38 /etc/ssh/ssh_host_dsa_key
   -rw-r--r--. 1 root root  590 May  6 14:38 /etc/ssh/ssh_host_dsa_key.pub
   -rw-------. 1 root root  963 May  6 14:38 /etc/ssh/ssh_host_key
   -rw-r--r--. 1 root root  627 May  6 14:38 /etc/ssh/ssh_host_key.pub
   -rw-------. 1 root root 1679 May  6 14:38 /etc/ssh/ssh_host_rsa_key
   -rw-r--r--. 1 root root  382 May  6 14:38 /etc/ssh/ssh_host_rsa_key.pub

   Copy to Clipboard Toggle word wrap
2. 選択した公開鍵を CA として指定されたサーバーにコピーします。たとえば、ホストからは以下のようになります。

   ~]# scp /etc/ssh/ssh_host_rsa_key.pub admin@ca-server.example.com:~/keys/ssh_host_rsa_key.pub
   The authenticity of host 'ca-server.example.com (10.34.74.58)' can't be established.
   RSA key fingerprint is b0:e5:ea:b8:75:e2:f0:b1:fe:5b:07:39:7f:58:64:d9.
   Are you sure you want to continue connecting (yes/no)? yes
   Warning: Permanently added 'ca-server.example.com,10.34.74.58' (RSA) to the list of known hosts.
   admin@ca-server.example.com's password:
   ssh_host_rsa_key.pub                           100%  382     0.4KB/s   00:00

   Copy to Clipboard Toggle word wrap
   または、CA から以下を行います。

   ~]$ scp root@host_name.example.com:/etc/ssh/ssh_host_rsa_key.pub ~/keys/ssh_host_rsa_key.pub

   Copy to Clipboard Toggle word wrap
3. CA サーバーで、ホストの公開鍵に署名します。たとえば、root で以下を実行します。

   ~]# ssh-keygen -s ~/.ssh/ca_host_key -I host_name -h -Z host_name.example.com -V -1d:+54w /home/admin/keys/ssh_host_rsa_key.pub
   Enter passphrase:
   Signed host key /home/admin/keys/ssh_host_rsa_key-cert.pub: id "host_name" serial 0 for host_name.example.com valid from 2015-05-26T12:21:54 to 2016-06-08T12:21:54

   Copy to Clipboard Toggle word wrap

   host_name は、証明書を必要とするシステムのホスト名です。
4. 証明書をホストにコピーします。CA の場合の例を以下に示します。

   ~]# scp /home/admin/keys/ssh_host_rsa_key-cert.pub root@host_name.example.com:/etc/ssh/
   root@host_name.example.com's password:
   ssh_host_rsa_key-cert.pub                      100% 1384     1.5KB/s   00:00

   Copy to Clipboard Toggle word wrap
5. ユーザーがログインプロセスの開始時に証明書をユーザーのシステムに提示するようにホストを設定します。root で、/etc/ssh/sshd_config ファイルを以下のように編集します。

   HostCertificate /etc/ssh/ssh_host_rsa_key-cert.pub

   Copy to Clipboard Toggle word wrap
6. sshd を再起動して、変更を有効にします。

   ~]# service sshd restart

   Copy to Clipboard Toggle word wrap
7. ユーザーのシステムで、ユーザーが以前に設定したホストにログインしている場合は、~/.ssh/known_hosts ファイルからホストに属する鍵を削除します。ユーザーがホストにログインすると、ホストの信頼性についての警告が表示されなくなります。