Armazenando chaves SSH no Active Directory para facilitar a implantação

A autenticação de chave pública tem sido considerada um dos métodos mais seguros de autenticação SSH remota. No entanto, o uso do mesmo par de chaves para mais de uma máquina pode representar riscos à segurança, especialmente se essa chave não estiver protegida por uma senha, mas gerenciar chaves exclusivas para cada sistema ao qual o usuário tiver acesso pode ser um pesadelo. Por esse motivo, aproveitamos o Active Directory como nosso armazenamento de chaves públicas SSH. Para os fins deste artigo, você já deve ter suas máquinas Linux puxando dados do usuário do Active Directory , executar o Windows Server 2012 R2 e ter acesso ao Administrator usuário do domínio.

Estendendo o esquema do Active Directory

1. Nossas primeiras tarefas são estender o esquema. Primeiro, inicie um cmdprompt e, em seguida, gere um Administratorcmd executando:

runas /user:DOMAIN\Administrator cmd

2. Agora execute o regedit nesse prompt

#DicaProfissa: Que tal você ter mais segurança no seu trabalho?
Garanta um serviço profissional ao realizar um dos cursos de TI e Software da plataforma de estudos online Udemy.
Acesse aqui e saiba mais!

3. No Editor do Registro, precisamos habilitar as atualizações do esquema.
I. Navegue para HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters
II. Adicione uma nova chave DWORD chamada Schema Update Allowedcom valor1

4. De volta ao prompt de comando do administrador, execute regsvr32 schmmgmt.dllpara ativar o snap-in do Editor de esquema.

5. Execute a mmcpartir do administrador mencionado anteriormente. cmd
6. Pressione Ctrl + M no Console de gerenciamento e adicione o Editor de esquema.

Agora vamos adicionar o novo atributo:

I. Clique com o Attributesbotão direito do mouse e clique em ‘Criar novo atributo’
II. Para ‘Nome comum’ e ‘Nome para exibição LDAP’, insira sshPublicKeys
III. Para ‘ID exclusivo do objeto X500’, insira 1.3.6.1.4.1.24552.1.1.1.13
IV. Para Sintaxe, selecione IA5-String
V. Marque a caixa ‘Multi-Valor’
VI. Mínimo e Máximo podem ser deixados em branco

Agora podemos criar uma nova classe para o atributo:

I. Clique com o botão direito do mouse Classese clique em ‘Criar classe’
II. Para ‘Nome comum’ e ‘Nome para exibição LDAP’, insira ldapPublicKey.
III Para ‘ID exclusivo do objeto X500’, insira 1.3.6.1.4.1.24552.500.1.1.2.0
IV. Para Parent Classinserir ‘top’ e Class Typeselecionar ‘Auxiliar’.

Clique em Avançar.

I. Em opcional, adicione sshPublicKeys

Agora podemos associar essa classe a userobjetos.

#DicaProfissa: Faça um curso profissionalizante!
Garanta um curso certificado na área de TI e Software pela plataforma de estudos online Udemy.
Clique aqui e confira todos os cursos mais recentes em tecnologia!

I. Expanda Classes e clique com o botão direito do mouse em Usuário e selecione propriedades.
II Clique na Relationshipguia e clique Add Classem Auxiliary class
III. Adicione ldapPublicKeye clique em ‘Aplicar’

Feche todas as janelas.

Agora, abra o ADUC (dsa.mmc) e habilite os Recursos avançados

Depois de concluído, procure um usuário e selecione a guia ‘Editor de Atributos’. Agora você poderá adicionar chaves públicas a esse usuário.

A partir daqui, você deve criar um script para extrair automaticamente chaves públicas do AD para uma determinada caixa e agendá-lo via Cron. Lembre-se de desativar sua Administratorconta de domínio quando terminar!

Boa sorte!