如何使共享密钥 .ssh/authorized_keys 和 sudo 一起工作？

Question 1

ssh和sudo彼此无关。设置ssh身份验证方法不会对产生任何影响sudo。 sudo不会理解ssh密码。

passwd -l旨在锁定用户的帐户，这样用户就无法再通过密码进行身份验证。这与您想要的完全相反，您想要的是让用户无需密码即可进行身份验证。

我认为你想要的NOPASSWD是你的sudoers文件。

（PS，没有理由运行cd带有的命令sudo。 cd不会传播到父进程，因此一旦退出sudo，您就会回到原点。）

编辑： 你一直说你想锁定账户密码，并希望 sudo 理解公钥/私钥。抱歉，sudo 不会使用 ssh 密钥。它不是 ssh。如果你不想让用户能够使用密码登录，我认为答案是禁用 ssh 密码验证，不锁定账户。然后，您可以为用户保留一个密码，用户通过 ssh authorized_keys 登录后可以使用该密码进行 sudo。

Answer

ssh和sudo彼此无关。设置ssh身份验证方法不会对产生任何影响sudo。 sudo不会理解ssh密码。

passwd -l旨在锁定用户的帐户，这样用户就无法再通过密码进行身份验证。这与您想要的完全相反，您想要的是让用户无需密码即可进行身份验证。

我认为你想要的NOPASSWD是你的sudoers文件。

（PS，没有理由运行cd带有的命令sudo。 cd不会传播到父进程，因此一旦退出sudo，您就会回到原点。）

编辑： 你一直说你想锁定账户密码，并希望 sudo 理解公钥/私钥。抱歉，sudo 不会使用 ssh 密钥。它不是 ssh。如果你不想让用户能够使用密码登录，我认为答案是禁用 ssh 密码验证，不锁定账户。然后，您可以为用户保留一个密码，用户通过 ssh authorized_keys 登录后可以使用该密码进行 sudo。

Question 2

您想要做的是可能的，但它需要一些经验，因为您必须编译一个名为的 PAM 模块pam-ssh-代理认证。

该过程相当简单：

$ sudo aptitude install libssl-dev libpam0g-dev build-essential checkinstall
$ wget "http://downloads.sourceforge.net/project/pamsshagentauth/pam_ssh_agent_auth/v0.9.3/pam_ssh_agent_auth-0.9.3.tar.bz2"
$ tar -xjvf pam_ssh_agent_auth-0.9.3.tar.bz2
$ cd pam_ssh_agent_auth-0.9.3

$ ./configure --libexecdir=/lib/security --with-mantype=man

$ make
$ sudo checkinstall

编辑 sudo 配置：

$ sudo visudo

添加以下内容：

Defaults env_keep += SSH_AUTH_SOCK

继续更改 sudo PAM 设置：

$ sudo vi /etc/pam.d/sudo

添加（就在@include 行上方）：

**auth [success=2 default=ignore] pam_ssh_agent_auth.so file=~/.ssh/authorized_keys**
@include common-auth
@include common-account

Answer

您想要做的是可能的，但它需要一些经验，因为您必须编译一个名为的 PAM 模块pam-ssh-代理认证。

该过程相当简单：

$ sudo aptitude install libssl-dev libpam0g-dev build-essential checkinstall
$ wget "http://downloads.sourceforge.net/project/pamsshagentauth/pam_ssh_agent_auth/v0.9.3/pam_ssh_agent_auth-0.9.3.tar.bz2"
$ tar -xjvf pam_ssh_agent_auth-0.9.3.tar.bz2
$ cd pam_ssh_agent_auth-0.9.3

$ ./configure --libexecdir=/lib/security --with-mantype=man

$ make
$ sudo checkinstall

编辑 sudo 配置：

$ sudo visudo

添加以下内容：

Defaults env_keep += SSH_AUTH_SOCK

继续更改 sudo PAM 设置：

$ sudo vi /etc/pam.d/sudo

添加（就在@include 行上方）：

**auth [success=2 default=ignore] pam_ssh_agent_auth.so file=~/.ssh/authorized_keys**
@include common-auth
@include common-account

Question 3

Andre de Miranda 的答案提供了一个很好的解决方案pam_ssh_agent_auth，但部分内容已过时。特别是/etc/pam.d/sudo使用许多当前 Linux 版本时的说明。

如果您运行的是 Ubuntu 12.04 precise，我实际上通过提供 ppa 中的 pam_ssh_agent_auth 构建简化了该过程：ppa:cpick/pam-ssh-代理-auth。

您可以通过运行以下命令来安装该包：

sudo add-apt-repository ppa:cpick/pam-ssh-agent-auth
sudo apt-get install pam-ssh-agent-auth

安装后，如果您想将此 PAM 模块与 sudo 一起使用，您必须配置 sudo 的设置和 PAM 配置，在 Ubuntu 12.04 中，您可以通过创建以下两个文件来完成此操作：

/etc/sudoers.d/pam-ssh-agent-auth：

Defaults    env_keep+="SSH_AUTH_SOCK"

/etc/pam.d/sudo 命令：

ent#%PAM-1.0

auth       required   pam_env.so readenv=1 user_readenv=0
auth       required   pam_env.so readenv=1 envfile=/etc/default/locale user_readenv=0
auth       sufficient pam_ssh_agent_auth.so file=/etc/security/authorized_keys
@include common-auth
@include common-account
@include common-session-noninteractive

如果您正在使用 chef，则可以使用我的食谱自动执行上述过程，食谱可以在以下两个位置之一找到：
https://github.com/cpick/pam-ssh-agent-auth
http://community.opscode.com/cookbooks/pam-ssh-agent-auth。

该食谱files目录包含与 Ubuntu 12.04 精确配合使用的上述文件/etc/pam.d/sudo和/etc/sudoers.d/pam-ssh-agent-auth文件，并且在使用其他版本/发行版时应该是一个有用的起点。

Answer