如何设置 Openssh 和 Mit kerberos（从 Windows 到 Linux 服务器）？

Question

我添加了一个晚答案，因为这个问题仍然是通过 kerberos 连接到 OpenSSH SSH / SFTP / SCP 服务器的顶级谷歌搜索结果之一。

简短的回答是尝试ssh -K MyServer，然后完成！在 Windows 10/Windows Server 中执行此操作的当前方法只需要：

启用 openssh 客户端工具，或者下载它们（如果需要）。
openssh_for_windows 的最新版本。我在这里使用 8.1p1。
运行你想使用的任何终端作为如果远程用户与您当前的凭据不同。

# Check if the openssh tools are present:
Get-WindowsCapability -online -name OpenSSH.Client* | Select State

State : NotPresent
 
# You may or may not need to restart after enabling the client
Add-WindowsCapability -Online -Name OpenSSH.Client

Online        : True
RestartNeeded : False

# Make sure you're running as the correct user:
PS C:\> whoami
domain\MyUser

然后你就可以直接通过 kerberos 连接了。下面是我的连接的简化调试：

PS C:\> ssh -Kv my-server.domain.tld
OpenSSH_for_Windows_8.1p1, LibreSSL 3.0.2
debug1: Connecting to my-server.domain.tld [10.0.0.1] port 22.
debug1: Connection established.
debug1: Authenticating to my-server.domain.tld:22 as 'MyDomain\\MyUser'
debug1: Next authentication method: gssapi-with-mic
debug1: Authentication succeeded (gssapi-with-mic).
[MyUser@MyServer ~]$

瞧！

更多细节：

如果您没有 Kerberos 票证，则成功连接后会为您创建一张新的 Kerberos 票证。请注意，这些票证会被标记为

pre_authent，这意味着您和 SSH 服务器在建立连接时需要能够连接到 AD 域控制器。
forwardable，允许将身份验证转发到Server:ID，而无需再次输入密码。

# trimmed klist output on windows after connecting successfully:
PS C:\> klist

#0>     Client: MyUser @ DOMAIN.TLD
        Server: krbtgt/DOMAIN.TLD @ DOMAIN.TLD
        Ticket Flags 0x40e10000 -> forwardable renewable initial pre_authent name_canonicalize

#1>     Client: MyUser @ DOMAIN.TLD
        Server: host/myserver @ DOMAIN.TLD
        Ticket Flags 0x40a10000 -> forwardable renewable pre_authent name_canonicalize

请注意，如果不手动创建新的票证，这些票证将不允许您再次跳转，例如：

# MyLaptop -> MyServer -> MySecureServer

# double-hop prompts for password, fails
PS C:\MyLaptop\> ssh -K MyServer
[myuser@myserver ~]$ ssh -k MySecureServer
myuser@mysecureserver's password:

# Generate a new ticket manually, and success:
PS C:\MyLaptop\> ssh -K MyServer
[myuser@myserver ~]$ kinit
Password for [email protected]:
[myuser@myserver ~]$ ssh -k MySecureServer
[myuser@mysecureserver ~]$

同样的规则也适用于 PS-Sessions。

Answer 1

我添加了一个晚答案，因为这个问题仍然是通过 kerberos 连接到 OpenSSH SSH / SFTP / SCP 服务器的顶级谷歌搜索结果之一。

简短的回答是尝试ssh -K MyServer，然后完成！在 Windows 10/Windows Server 中执行此操作的当前方法只需要：

启用 openssh 客户端工具，或者下载它们（如果需要）。
openssh_for_windows 的最新版本。我在这里使用 8.1p1。
运行你想使用的任何终端作为如果远程用户与您当前的凭据不同。

# Check if the openssh tools are present:
Get-WindowsCapability -online -name OpenSSH.Client* | Select State

State : NotPresent
 
# You may or may not need to restart after enabling the client
Add-WindowsCapability -Online -Name OpenSSH.Client

Online        : True
RestartNeeded : False

# Make sure you're running as the correct user:
PS C:\> whoami
domain\MyUser

然后你就可以直接通过 kerberos 连接了。下面是我的连接的简化调试：

PS C:\> ssh -Kv my-server.domain.tld
OpenSSH_for_Windows_8.1p1, LibreSSL 3.0.2
debug1: Connecting to my-server.domain.tld [10.0.0.1] port 22.
debug1: Connection established.
debug1: Authenticating to my-server.domain.tld:22 as 'MyDomain\\MyUser'
debug1: Next authentication method: gssapi-with-mic
debug1: Authentication succeeded (gssapi-with-mic).
[MyUser@MyServer ~]$

瞧！

更多细节：

如果您没有 Kerberos 票证，则成功连接后会为您创建一张新的 Kerberos 票证。请注意，这些票证会被标记为

pre_authent，这意味着您和 SSH 服务器在建立连接时需要能够连接到 AD 域控制器。
forwardable，允许将身份验证转发到Server:ID，而无需再次输入密码。

# trimmed klist output on windows after connecting successfully:
PS C:\> klist

#0>     Client: MyUser @ DOMAIN.TLD
        Server: krbtgt/DOMAIN.TLD @ DOMAIN.TLD
        Ticket Flags 0x40e10000 -> forwardable renewable initial pre_authent name_canonicalize

#1>     Client: MyUser @ DOMAIN.TLD
        Server: host/myserver @ DOMAIN.TLD
        Ticket Flags 0x40a10000 -> forwardable renewable pre_authent name_canonicalize

请注意，如果不手动创建新的票证，这些票证将不允许您再次跳转，例如：

# MyLaptop -> MyServer -> MySecureServer

# double-hop prompts for password, fails
PS C:\MyLaptop\> ssh -K MyServer
[myuser@myserver ~]$ ssh -k MySecureServer
myuser@mysecureserver's password:

# Generate a new ticket manually, and success:
PS C:\MyLaptop\> ssh -K MyServer
[myuser@myserver ~]$ kinit
Password for [email protected]:
[myuser@myserver ~]$ ssh -k MySecureServer
[myuser@mysecureserver ~]$

同样的规则也适用于 PS-Sessions。

如何设置 Openssh 和 Mit kerberos（从 Windows 到 Linux 服务器）？

答案1

更多细节：

相关内容