Windows SSH 服务器拒绝客户端基于密钥的身份验证

Question 1

从 Windows 10 v1809 开始，默认配置（位于%ProgramData%/ssh/sshd_config）AuthorizedKeysFile为管理员用户定义了单独的配置：

Match Group administrators
       AuthorizedKeysFile __PROGRAMDATA__/ssh/administrators_authorized_keys

这意味着属于特殊 WindowsAdministrators组 (SID S-1-5-32-544) 的任何用户都不会查看该%UserProfile%/.ssh/authorized_keys文件，而是查看%ProgramData%/ssh/administrators_authorized_keys。

您有以下几种选择：

使用非管理员用户，或
注释掉底部的这两行sshd_config，然后将恢复为默认的每个用户AuthorizedKeysFile，或者
将您的密钥添加到（全局！）administrators_authorized_keys文件中

我的建议是尽可能使用非管理员用户，或者以其他方式修改配置。接受的全局密钥任何组中的帐户Administrators听起来有点不必要的复杂性^。1

¹在默认配置中，始终可以从管理员用户模拟任何其他用户，因为管理员用户通常意味着root在 Windows 中拥有完全级别的控制权。这可能是他们采用这种默认配置的理由。但当然，这会使多用户系统的配置变得相当混乱，其中一些（非管理员）用户在标准位置拥有自己的授权密钥，而其他（管理员）用户必须共享单个非标准授权密钥列表。

我认为这种配置除了明显表明所有管理员都可以互相冒充外，没有任何安全优势。

未来版本可能会在下创建用户特定的文件夹%ProgramData/ssh。

这里对此进行了一些探讨：https://github.com/PowerShell/Win32-OpenSSH/issues/1324

Answer

从 Windows 10 v1809 开始，默认配置（位于%ProgramData%/ssh/sshd_config）AuthorizedKeysFile为管理员用户定义了单独的配置：

Match Group administrators
       AuthorizedKeysFile __PROGRAMDATA__/ssh/administrators_authorized_keys

这意味着属于特殊 WindowsAdministrators组 (SID S-1-5-32-544) 的任何用户都不会查看该%UserProfile%/.ssh/authorized_keys文件，而是查看%ProgramData%/ssh/administrators_authorized_keys。

您有以下几种选择：

使用非管理员用户，或
注释掉底部的这两行sshd_config，然后将恢复为默认的每个用户AuthorizedKeysFile，或者
将您的密钥添加到（全局！）administrators_authorized_keys文件中

我的建议是尽可能使用非管理员用户，或者以其他方式修改配置。接受的全局密钥任何组中的帐户Administrators听起来有点不必要的复杂性^。1

¹在默认配置中，始终可以从管理员用户模拟任何其他用户，因为管理员用户通常意味着root在 Windows 中拥有完全级别的控制权。这可能是他们采用这种默认配置的理由。但当然，这会使多用户系统的配置变得相当混乱，其中一些（非管理员）用户在标准位置拥有自己的授权密钥，而其他（管理员）用户必须共享单个非标准授权密钥列表。

我认为这种配置除了明显表明所有管理员都可以互相冒充外，没有任何安全优势。

未来版本可能会在下创建用户特定的文件夹%ProgramData/ssh。

这里对此进行了一些探讨：https://github.com/PowerShell/Win32-OpenSSH/issues/1324

Question 2

Windows 10 上的 OpenSSH 需要额外的配置才能识别authorized_keys：

保存到没有扩展名的authorized_keys文件中C:\ProgramData\ssh\administrators_authorized_keys
使用以下 PowerShell 脚本为文件设置正确的权限

    $acl = Get-Acl C:\ProgramData\ssh\administrators_authorized_keys
    $acl.SetAccessRuleProtection($true, $false)
    $administratorsRule = New-Object system.security.accesscontrol.filesystemaccessrule("Administrators","FullControl","Allow")
    $systemRule = New-Object system.security.accesscontrol.filesystemaccessrule("SYSTEM","FullControl","Allow")
    $acl.SetAccessRule($administratorsRule)
    $acl.SetAccessRule($systemRule)
    $acl | Set-Acl

这实际上授予和administrators_authorized_keys对该文件的完全控制权限。AdministratorsSYSTEM

如果您不这样做，而只是将文件放在.ssh用户的文件夹中，则系统会提示您输入密码（而不是使用密钥文件），或者您的连接将因“身份验证尝试次数过多”而失败。

参考：

https://www.concurrency.com/blog/may-2019/key-based-authentication-for-openssh-on-windows

Answer

Windows 10 上的 OpenSSH 需要额外的配置才能识别authorized_keys：

保存到没有扩展名的authorized_keys文件中C:\ProgramData\ssh\administrators_authorized_keys
使用以下 PowerShell 脚本为文件设置正确的权限

    $acl = Get-Acl C:\ProgramData\ssh\administrators_authorized_keys
    $acl.SetAccessRuleProtection($true, $false)
    $administratorsRule = New-Object system.security.accesscontrol.filesystemaccessrule("Administrators","FullControl","Allow")
    $systemRule = New-Object system.security.accesscontrol.filesystemaccessrule("SYSTEM","FullControl","Allow")
    $acl.SetAccessRule($administratorsRule)
    $acl.SetAccessRule($systemRule)
    $acl | Set-Acl

这实际上授予和administrators_authorized_keys对该文件的完全控制权限。AdministratorsSYSTEM

如果您不这样做，而只是将文件放在.ssh用户的文件夹中，则系统会提示您输入密码（而不是使用密钥文件），或者您的连接将因“身份验证尝试次数过多”而失败。

参考：

https://www.concurrency.com/blog/may-2019/key-based-authentication-for-openssh-on-windows

Question 3

尝试在这里提供更多详细信息，如果有人在 Windows 10（版本 1809 或更高版本，或 Server 2016）中安装了内置程序openssh server，无论是否遵循 Microsoft 的文档：安装，配置和密钥管理。看起来它们相当旧了或者有些不完整，需要更新。

安装此服务后，启动它，您应该通过从本地主机连接它ssh username@localhost，假设您的 Windows 登录名是username。但我们希望基于密钥的身份验证，并且我们必须仅根据上面列出的 Microsoft 文档失败：

我们不能依赖Repair-AuthorizedKeyPermission修复的权限，因为我们现在authorized_keys无法安装模块。OpenSSHUtils原因在这里，看来签名已经过时了。
sshd_config正如@Bob 指出的，如果我们没有为管理员设置密钥对，我们必须发表评论。

如果只想使用单个用户的基于密钥的身份验证，我们只需执行以下操作（需要管理员权限，全部基于默认内置的 openssh 服务器安装）：

由于我们无法安装OpenSSHUtils模块，我们手动设置权限。检查authorized_keys的所有权和权限：

PS C:\>(get-acl .\users\username\.ssh\authorized_keys).owner
username
PS C:\>icacls .\users\username\.ssh\authorized_keys
ssh_host_dsa_key   BUILTIN\Administrators:(F)
                   username:(F) 
                   otheruser1:(IR)
                   otheruser2:(R)

设置正确的所有权和权限authorized_keys：

PS C:\>icacls .\users\username\.ssh\authorized_keys /inheritance:r
PS C:\>icacls .\users\username\.ssh\authorized_keys /remove otheruser2

在以下位置搜索并评论群组匹配政策sshd_config：

#Match Group administrators
#       AuthorizedKeysFile __PROGRAMDATA__/ssh/administrators_authorized_keys

（可选）启用基于密钥的身份验证。搜索并将文本更改为：

PubkeyAuthentication yes

（可选）禁用基于密码的身份验证。搜索并将文本更改为：

PasswordAuthentication no

将用户的公钥复制并粘贴到authorized_keys您想要连接的用户中。
重启sshd服务。现在您应该使用密钥认证连接到该主机。

更详细的内容请参考以下链接（本答案来自）：

Answer

尝试在这里提供更多详细信息，如果有人在 Windows 10（版本 1809 或更高版本，或 Server 2016）中安装了内置程序openssh server，无论是否遵循 Microsoft 的文档：安装，配置和密钥管理。看起来它们相当旧了或者有些不完整，需要更新。

安装此服务后，启动它，您应该通过从本地主机连接它ssh username@localhost，假设您的 Windows 登录名是username。但我们希望基于密钥的身份验证，并且我们必须仅根据上面列出的 Microsoft 文档失败：

我们不能依赖Repair-AuthorizedKeyPermission修复的权限，因为我们现在authorized_keys无法安装模块。OpenSSHUtils原因在这里，看来签名已经过时了。
sshd_config正如@Bob 指出的，如果我们没有为管理员设置密钥对，我们必须发表评论。

如果只想使用单个用户的基于密钥的身份验证，我们只需执行以下操作（需要管理员权限，全部基于默认内置的 openssh 服务器安装）：

由于我们无法安装OpenSSHUtils模块，我们手动设置权限。检查authorized_keys的所有权和权限：

PS C:\>(get-acl .\users\username\.ssh\authorized_keys).owner
username
PS C:\>icacls .\users\username\.ssh\authorized_keys
ssh_host_dsa_key   BUILTIN\Administrators:(F)
                   username:(F) 
                   otheruser1:(IR)
                   otheruser2:(R)

设置正确的所有权和权限authorized_keys：

PS C:\>icacls .\users\username\.ssh\authorized_keys /inheritance:r
PS C:\>icacls .\users\username\.ssh\authorized_keys /remove otheruser2

在以下位置搜索并评论群组匹配政策sshd_config：

#Match Group administrators
#       AuthorizedKeysFile __PROGRAMDATA__/ssh/administrators_authorized_keys

（可选）启用基于密钥的身份验证。搜索并将文本更改为：

PubkeyAuthentication yes

（可选）禁用基于密码的身份验证。搜索并将文本更改为：

PasswordAuthentication no

将用户的公钥复制并粘贴到authorized_keys您想要连接的用户中。
重启sshd服务。现在您应该使用密钥认证连接到该主机。

更详细的内容请参考以下链接（本答案来自）：

Question 4

感谢@user159960 提供的链接，我发现我没有启用 ssh-agent，启用该链接可以使基于密钥的登录正常工作。

Set-Service -Name ssh-agent -StartupType ‘Automatic’
Set-Service -Name sshd -StartupType ‘Automatic’
Start-Service ssh-agent
Start-Service sshd

我还注意到我的C:\ProgramData\ssh\administrators_authorized_keys所有者不是管理员，一旦我更正后，我就可以通过 ssh 进入我的管理员帐户。

来源：https://techcommunity.microsoft.com/t5/itops-talk-blog/installing-and-configuring-openssh-on-windows-server-2019/ba-p/309540

Answer

感谢@user159960 提供的链接，我发现我没有启用 ssh-agent，启用该链接可以使基于密钥的登录正常工作。

Set-Service -Name ssh-agent -StartupType ‘Automatic’
Set-Service -Name sshd -StartupType ‘Automatic’
Start-Service ssh-agent
Start-Service sshd

我还注意到我的C:\ProgramData\ssh\administrators_authorized_keys所有者不是管理员，一旦我更正后，我就可以通过 ssh 进入我的管理员帐户。

来源：https://techcommunity.microsoft.com/t5/itops-talk-blog/installing-and-configuring-openssh-on-windows-server-2019/ba-p/309540

Windows SSH 服务器拒绝客户端基于密钥的身份验证

答案1

答案2

答案3

答案4

相关内容