OpenSSH 的公钥认证 Windows 端口

Question 1

哇。我花了几个小时调试这个。

因此，打开 ssh 服务器的日志记录：

编辑/ProgramData/ssh/sshd_config
- 确保您已SyslogFacility LOCAL0
- 确保您已LogLevel DEBUG3
重新启动OpenSSH SSH 服务器在服务
- 命令：
  C:> net stop sshd
  C:>net start sshd
- GUI：一种快速到达的方式服务是按下Windows+R组合键，然后输入services.msc结果跑步对话。

现在你会发现完整的调试信息正在写入/ProgramData/ssh/logs/sshd.log。尝试后，只需查看日志文件即可远程控制放入机器。

我遇到了两个问题：

问题 1：正确的 authorized_keys 文件

调试日志说：

2019-03-08 … debug1: trying public key file __PROGRAMDATA__/ssh/administrators_authorized_keys

啊，那就不是了.ssh/authorized_keys。我在管理员组，并且sshd_config为我们大家准备了一个特殊的节。我将文件的内容复制.ssh/authorized_keys到/ProgramData/ssh/administrators_authorized_keys，然后重新启动服务器。

问题 2：权限松散

现在我有了

2019-03-08 … debug3: Bad permissions. Try removing permissions for user: S-1-9-22 on file C:/ProgramData/ssh/administrators_authorized_keys.

伊卡克尔斯说

C:\ProgramData\ssh> icacls administrators_authorized_keys
administrators_authorized_keys NT AUTHORITY\SYSTEM:(F)
                           BUILTIN\Administrators:(F)
                           NT AUTHORITY\SYSTEM:(I)(F)
                           BUILTIN\Administrators:(I)(F)
                           NT AUTHORITY\Authenticated Users:(I)(RX)

有很多权限继承自文件夹及其上级（这就是所(I)表示的意思）。删除继承。/inheritance:r是您的朋友。

C:\ProgramData\ssh> icacls administrators_authorized_keys /inheritance:r
processed file: administrators_authorized_keys
Successfully processed 1 files; Failed processing 0 files

现在看起来不错：

C:\ProgramData\ssh> icacls administrators_authorized_keys
administrators_authorized_keys NT AUTHORITY\SYSTEM:(F)
                           BUILTIN\Administrators:(F)

所以我重启了服务器，现在它又能正常工作了。天哪。

不要忘记撤消对日志级别和系统日志工具在sshd_config。

编辑

当然，只要我知道文件在哪里，这些侦探工作就不需要了。见

https://docs.microsoft.com/en-us/windows-server/administration/openssh/openssh_server_configuration

叹。

Answer

哇。我花了几个小时调试这个。

因此，打开 ssh 服务器的日志记录：

编辑/ProgramData/ssh/sshd_config
- 确保您已SyslogFacility LOCAL0
- 确保您已LogLevel DEBUG3
重新启动OpenSSH SSH 服务器在服务
- 命令：
  C:> net stop sshd
  C:>net start sshd
- GUI：一种快速到达的方式服务是按下Windows+R组合键，然后输入services.msc结果跑步对话。

现在你会发现完整的调试信息正在写入/ProgramData/ssh/logs/sshd.log。尝试后，只需查看日志文件即可远程控制放入机器。

我遇到了两个问题：

问题 1：正确的 authorized_keys 文件

调试日志说：

2019-03-08 … debug1: trying public key file __PROGRAMDATA__/ssh/administrators_authorized_keys

啊，那就不是了.ssh/authorized_keys。我在管理员组，并且sshd_config为我们大家准备了一个特殊的节。我将文件的内容复制.ssh/authorized_keys到/ProgramData/ssh/administrators_authorized_keys，然后重新启动服务器。

问题 2：权限松散

现在我有了

2019-03-08 … debug3: Bad permissions. Try removing permissions for user: S-1-9-22 on file C:/ProgramData/ssh/administrators_authorized_keys.

伊卡克尔斯说

C:\ProgramData\ssh> icacls administrators_authorized_keys
administrators_authorized_keys NT AUTHORITY\SYSTEM:(F)
                           BUILTIN\Administrators:(F)
                           NT AUTHORITY\SYSTEM:(I)(F)
                           BUILTIN\Administrators:(I)(F)
                           NT AUTHORITY\Authenticated Users:(I)(RX)

有很多权限继承自文件夹及其上级（这就是所(I)表示的意思）。删除继承。/inheritance:r是您的朋友。

C:\ProgramData\ssh> icacls administrators_authorized_keys /inheritance:r
processed file: administrators_authorized_keys
Successfully processed 1 files; Failed processing 0 files

现在看起来不错：

C:\ProgramData\ssh> icacls administrators_authorized_keys
administrators_authorized_keys NT AUTHORITY\SYSTEM:(F)
                           BUILTIN\Administrators:(F)

所以我重启了服务器，现在它又能正常工作了。天哪。

不要忘记撤消对日志级别和系统日志工具在sshd_config。

编辑

当然，只要我知道文件在哪里，这些侦探工作就不需要了。见

https://docs.microsoft.com/en-us/windows-server/administration/openssh/openssh_server_configuration

叹。

Question 2

只是想添加一些简短的注释来赞美@bobbogo 的精彩回答。

每： https://github.com/PowerShell/Win32-OpenSSH/wiki/Security-protection-of-various-files-in-Win32-OpenSSH#administrators_authorized_keys

我能够将我的私钥推送到工作组（未加入域）工作站：

:From WSL(linux) --> Win10 machine
scp ./my/public/key someadmin@somedesktop:'C:\ProgramData\ssh\administrators_authorized_keys'

然后我通过 WinRM/PSRemoting 运行以下命令（尽管使用密码的 ssh 可能也可以运行）：

PS C:\> cd C:\programdata\ssh

PS C:\programdata\ssh>icacls administrators_authorized_keys /inheritance:r
PS C:\programdata\ssh>icacls administrators_authorized_keys /grant SYSTEM:`(F`)
PS C:\programdata\ssh>icacls administrators_authorized_keys /grant BUILTIN\Administrators:`(F`)

PS C:\programdata\ssh>net stop sshd
PS C:\programdata\ssh>net start sshd

然后我就能像预期的那样使用 keyauth 进行 ssh 了。

注意：由于这未加入域，在第一次尝试时，我失去了访问权限，因为第一个命令删除了继承，这禁用了我的 1909 OOBE 管理员对 Administrators_authorized_keys 文件的权限。接下来授予并重新启动服务使其按预期工作。

Answer

只是想添加一些简短的注释来赞美@bobbogo 的精彩回答。

每： https://github.com/PowerShell/Win32-OpenSSH/wiki/Security-protection-of-various-files-in-Win32-OpenSSH#administrators_authorized_keys

我能够将我的私钥推送到工作组（未加入域）工作站：

:From WSL(linux) --> Win10 machine
scp ./my/public/key someadmin@somedesktop:'C:\ProgramData\ssh\administrators_authorized_keys'

然后我通过 WinRM/PSRemoting 运行以下命令（尽管使用密码的 ssh 可能也可以运行）：

PS C:\> cd C:\programdata\ssh

PS C:\programdata\ssh>icacls administrators_authorized_keys /inheritance:r
PS C:\programdata\ssh>icacls administrators_authorized_keys /grant SYSTEM:`(F`)
PS C:\programdata\ssh>icacls administrators_authorized_keys /grant BUILTIN\Administrators:`(F`)

PS C:\programdata\ssh>net stop sshd
PS C:\programdata\ssh>net start sshd

然后我就能像预期的那样使用 keyauth 进行 ssh 了。

注意：由于这未加入域，在第一次尝试时，我失去了访问权限，因为第一个命令删除了继承，这禁用了我的 1909 OOBE 管理员对 Administrators_authorized_keys 文件的权限。接下来授予并重新启动服务使其按预期工作。

Question 3

修改 sshd 配置（C:\ProgramData\ssh\sshd_config）

注释掉这些行（应该是 sshd_config 的最后几行）

#Match Group administrators
#    AuthorizedKeysFile __PROGRAMDATA__/ssh/administrators_authorized_keys

此后，像往常一样添加您的公钥__HOME__/.ssh/authorized_keys。

Answer

修改 sshd 配置（C:\ProgramData\ssh\sshd_config）

注释掉这些行（应该是 sshd_config 的最后几行）

#Match Group administrators
#    AuthorizedKeysFile __PROGRAMDATA__/ssh/administrators_authorized_keys

此后，像往常一样添加您的公钥__HOME__/.ssh/authorized_keys。

Question 4

除了其他答案之外，我刚刚还发现了另一个值得添加到此主题的“陷阱”：如果您尝试以在 Linux 中执行的方式在 Powershell/CMD 中创建文件（例如echo "mypublickeyoisjoisjsfsj" > admin_authorized_keys），这将创建一个 UTF-16 编码的文件。但是，sshd需要 UTF-8，因此即使文件看起来完全正常，您也会收到“不允许使用 RSA 密钥”警告。

如果您有 GUI，您可以在记事本的右下角检查编码。如果显示UTF-16，则需要更正编码（最简单的方法是删除文件并从记事本中保存一个新文件）。

感谢这条评论帮助我们弄清楚了这一点：https://github.com/PowerShell/Win32-OpenSSH/issues/1434#issuecomment-522658936

Answer

除了其他答案之外，我刚刚还发现了另一个值得添加到此主题的“陷阱”：如果您尝试以在 Linux 中执行的方式在 Powershell/CMD 中创建文件（例如echo "mypublickeyoisjoisjsfsj" > admin_authorized_keys），这将创建一个 UTF-16 编码的文件。但是，sshd需要 UTF-8，因此即使文件看起来完全正常，您也会收到“不允许使用 RSA 密钥”警告。

如果您有 GUI，您可以在记事本的右下角检查编码。如果显示UTF-16，则需要更正编码（最简单的方法是删除文件并从记事本中保存一个新文件）。

感谢这条评论帮助我们弄清楚了这一点：https://github.com/PowerShell/Win32-OpenSSH/issues/1434#issuecomment-522658936

OpenSSH 的公钥认证 Windows 端口

本地（Linux 主机）配置

远程（Windows 主机）配置

sshd.log

ssh -v 输出

答案1

问题 1：正确的 authorized_keys 文件

问题 2：权限松散

编辑

答案2

答案3

答案4

相关内容