14.3. OpenSSH 証明書認証の使用

認証に公開鍵暗号を使用するには、すべてのクライアントからクライアントがログインするすべてのサーバーに公開鍵をコピーする必要があります。このシステムは適切にスケーリングされず、管理者の負担になる可能性があります。認証 局(CA)から公開鍵を使用してクライアント証明 書を認証すると、複数のシステム間で鍵をコピーする必要がなくなります。X.509 公開鍵インフラストラクチャー証明書システムはこの問題に対する解決策を提供しますが、証明書署名を取得するために関連する企業を含む送受信プロセスがあります。別の方法として、OpenSSH は、単純な証明書および関連する CA インフラストラクチャーの作成に対応します。

OpenSSH 証明書には、公開鍵、ID 情報、および有効性制約が含まれます。これらは、ssh-keygen ユーティリティーを使用して標準の SSH 公開鍵で署名されます。証明書の形式は、/usr/share/doc/openssh-version/PROTOCOL.certkeys で説明されています。

ssh-keygen ユーティリティーは、ユーザーとホストの 2 種類の証明書に対応します。ユーザー証明書はサーバーにユーザーを認証しますが、ホスト証明書はサーバーホストをユーザーに対して認証します。ユーザーまたはホスト認証に使用する証明書については、sshd が CA 公開鍵を信頼するように設定する必要があります。