原始答案

Question 1

2019 年更新：此答案和问题已过时。请参阅 Bill_Stewart 的回答。

从man 5 sshd_config

 UsePrivilegeSeparation
     Specifies whether sshd separates privileges by creating an
     unprivileged child process to deal with incoming network traffic.
     After successful authentication, another process will be created
     that has the privilege of the authenticated user.  The goal of
     privilege separation is to prevent privilege escalation by con-
     taining any corruption within the unprivileged processes.  The
     default is "yes".

所以 sshd 需要两种类型的账户：

有能力的人setuid。
一个非特权帐户。

安装脚本解释说，通常的 SYSTEM 帐户没有setuid权限，因此需要额外的特权帐户。

Answer

2019 年更新：此答案和问题已过时。请参阅 Bill_Stewart 的回答。

从man 5 sshd_config

 UsePrivilegeSeparation
     Specifies whether sshd separates privileges by creating an
     unprivileged child process to deal with incoming network traffic.
     After successful authentication, another process will be created
     that has the privilege of the authenticated user.  The goal of
     privilege separation is to prevent privilege escalation by con-
     taining any corruption within the unprivileged processes.  The
     default is "yes".

所以 sshd 需要两种类型的账户：

有能力的人setuid。
一个非特权帐户。

安装脚本解释说，通常的 SYSTEM 帐户没有setuid权限，因此需要额外的特权帐户。

Question 2

至于为什么ssh-host-config要创建两个用户帐户，大部分答案都由 Dan 回答。有关为什么需要单独帐户的更多信息，setuid请参见这是一个复杂的过程。

至于您的第一个子问题，我相信它也是默认设置，例如密码过期 - 在/usr/share/csih/cygwin-service-installation-helperssh-host-config 中使用，用户是这样创建的（使用 Windows net 命令），其中${unpriv_user}是您选择的名称，例如 sshd，并且${dos_var_empty}是 Windows/DOS 样式的路径/var/empty：

net user "${unpriv_user}" /add /fullname:"${unpriv_user} privsep" \
"/homedir:${dos_var_empty}" /active:no

Microsoft 提供的文档表示/passwordreq，如果需要密码，则的默认值为是，并且似乎 Windows 会分配一些默认密码（可能是因为未指定密码，可能特别是因为/active:no）。

对于您的第二个子问题，就像您在第二次编辑中所说的那样，至少对于 Windows 8.1 Pro，默认设置似乎是密码在 42 天后过期，尽管我的帐户或新帐户肯定没有启用该设置cyg_server。这可能是因为相同的组合 -cyg_server指定密码并且处于活动状态，但 sshd 未指定密码并且处于非活动状态（也许这是为了在激活帐户时强制分配密码）。如果您想知道确切的详细信息，我可能会尝试创建更多类似的帐户，关闭过期时间/指定密码，然后看看会发生什么。

Answer

至于为什么ssh-host-config要创建两个用户帐户，大部分答案都由 Dan 回答。有关为什么需要单独帐户的更多信息，setuid请参见这是一个复杂的过程。

至于您的第一个子问题，我相信它也是默认设置，例如密码过期 - 在/usr/share/csih/cygwin-service-installation-helperssh-host-config 中使用，用户是这样创建的（使用 Windows net 命令），其中${unpriv_user}是您选择的名称，例如 sshd，并且${dos_var_empty}是 Windows/DOS 样式的路径/var/empty：

net user "${unpriv_user}" /add /fullname:"${unpriv_user} privsep" \
"/homedir:${dos_var_empty}" /active:no

Microsoft 提供的文档表示/passwordreq，如果需要密码，则的默认值为是，并且似乎 Windows 会分配一些默认密码（可能是因为未指定密码，可能特别是因为/active:no）。

对于您的第二个子问题，就像您在第二次编辑中所说的那样，至少对于 Windows 8.1 Pro，默认设置似乎是密码在 42 天后过期，尽管我的帐户或新帐户肯定没有启用该设置cyg_server。这可能是因为相同的组合 -cyg_server指定密码并且处于活动状态，但 sshd 未指定密码并且处于非活动状态（也许这是为了在激活帐户时强制分配密码）。如果您想知道确切的详细信息，我可能会尝试创建更多类似的帐户，关闭过期时间/指定密码，然后看看会发生什么。

Question 3

原始答案

Cygwin 中实际上不使用单独的禁用sshd帐户（只有一个例外；见下文）。我在 Cygwin 邮件列表中询问了这个问题：

sshd 禁用用户帐户是否仍然需要？

Corinna Vinschen (Cygwin 维护者) 的回应如下：

不，实际上并非如此。目前，sshd 服务器会检查是否应使用 privsep chrrot [sic] 环境，以及进程是否在“root:root”下启动。这在 Cygwin 下永远不会匹配，因此我们可以放弃 sshd 用户要求。

（看https://cygwin.com/ml/cygwin/2019-01/msg00120.html）

关于 sftp-only 的更新

上述说法是正确的，因为sshd帐户并非严格要求。唯一需要它的情况是，如果你想使用设置ChrootDirectory将sshd_config帐户限制为仅用于 SFTP。

值得一提的是，我创建了一个软件包，它提供了一个易于使用的安装程序，用于配置 Cygwin 版本的 OpenSSH（以及包括在内的一些其他工具rsync）。如果有人感兴趣，它可以在 GitHub 上找到：

https://github.com/Bill-Stewart/CygSSH

sshd包中的文档描述了帐户的使用情况。

Answer

原始答案

Cygwin 中实际上不使用单独的禁用sshd帐户（只有一个例外；见下文）。我在 Cygwin 邮件列表中询问了这个问题：

sshd 禁用用户帐户是否仍然需要？

Corinna Vinschen (Cygwin 维护者) 的回应如下：

不，实际上并非如此。目前，sshd 服务器会检查是否应使用 privsep chrrot [sic] 环境，以及进程是否在“root:root”下启动。这在 Cygwin 下永远不会匹配，因此我们可以放弃 sshd 用户要求。

（看https://cygwin.com/ml/cygwin/2019-01/msg00120.html）

关于 sftp-only 的更新

上述说法是正确的，因为sshd帐户并非严格要求。唯一需要它的情况是，如果你想使用设置ChrootDirectory将sshd_config帐户限制为仅用于 SFTP。

值得一提的是，我创建了一个软件包，它提供了一个易于使用的安装程序，用于配置 Cygwin 版本的 OpenSSH（以及包括在内的一些其他工具rsync）。如果有人感兴趣，它可以在 GitHub 上找到：

https://github.com/Bill-Stewart/CygSSH

sshd包中的文档描述了帐户的使用情况。

原始答案

答案1

答案2

答案3

原始答案

关于 sftp-only 的更新

相关内容