SSH Keys/fr: Difference between revisions

<b>Nous vous recommandons fortement d'utiliser l'authentification par CP</b> qui est habituellement plus sécuritaire qu'un mot de passe.  

==Générer une clé SSH==

Ceci exige du travail de configuration de votre part, mais une fois en place, vous y gagnerez en sécurité et en praticabilité.

Vous devez générer une paire de clés et installer la clé publique sur tous les systèmes auxquels vous voulez vous connecter.

<div class="mw-translate-fuzzy">

  OfJUwHSNqUc6SfIt7w== user@machine

Prenez note que vous devez générer votre propre paire de clés (publique et privée); vous ne pouvez pas copier et utiliser l'exemple ci-dessus. Si le format est différent, ce qui est le cas par exemple quand la clé est générée avec PuTTY, vous pouvez ouvrir PuTTY Key Generator ou MobaxTerm SSH Key Generator et sous ''File'', sélectionner ''Load private key'' puis copier le contenu sous ''Public key for pasting into OpenSSH authorized_keys'' comme [https://docs.computecanada.ca/wiki/File:Puttygen2.png illustré ici].

Voici l'exemple avec une clé publique en format PEM qui doit être convertie avant de passer à l'étape 3&nbsp;:

</div>

Après avoir cliqué sur ''Ajouter la clé'', les informations suivantes seront affichées&nbsp;:<br>

[[File:Ccdb-keys-fig3-FRN.png|400px]]

Une fois que votre clé est enregistrée dans la CCDB, elle peut être utilisée pour vous connecter à toutes nos grappes. Cependant, nos nuages OpenStack n'ont pas accès aux clés enregistrées dans la CCDB.

Le fait d'enregistrer votre clé publique dans la CCDB la rend disponible sur toutes nos grappes, ce qui est pratique et souvent souhaitable.

Cependant, dans certains cas vous pourriez vouloir installer une clé sur juste une grappe particulière. Pour ce faire, ajoutez la clé dans un fichier de votre répertoire /home sur cette grappe. Par exemple, pour une clé qui fonctionne uniquement sur Cedar, copiez votre clé publique dans le fichier <code>~/.ssh/authorized_keys</code> sur Cedar.   

Ceci vous permettra de vous connecter aux nœuds de connexion de Cedar avec le CP.   

Sur nos grappes (et toute autre grappe avec OpenSSH), la commande <code>ssh-copy-id</code> est la façon la plus pratique de procéder.

Le mécanisme <code>authorized_keys</code> est standard et utilisé presque partout sur l'internet, mais il est quelque peu fragile.  

En particulier, SSH est très sensible aux permissions pour le fichier <code>authorized_keys</code>, ainsi que pour votre répertoire /home et sous-répertoire  <code>.ssh</code>.

Pour plus d'information, voyez [[Using_SSH_keys_in_Linux/fr|Utiliser des clés SSH sous Linux]].

== Agent d'authentification ==

{{Warning|title=Attention|content=Cette opération devrait être effectuée sur votre propre mordinateur et '''non sur un ordinateur partagé''' comme une grappe.}}

Quand une clé est générée, les valeurs par défaut conviennent habituellement, mais certaines options sont à considérer. Dans les exemples suivants, nous utilisons <code>ssh-keygen</code> tel que décrit dans [[Using SSH keys in Linux/fr|Utiliser des clés SSH sous Linux]], mais les options s'appliquent également avec une interface graphique tel que décrit dans [[Generating SSH keys in Windows/fr|Générer des clés SSH sous Windows]].

<br>

* pour renforcer certains types de clés tels RSA avec une clé plus longue

  ssh-keygen -t rsa -b 4096

==  Définir des contraintes ==

Dans la syntaxe pour la clé publique, vous pouvez définir des contraintes qui limitent ce que la clé peut faire. Par défaut, une clé sans contrainte peut tout faire.

   restrict,command="/usr/libexec/openssh/sftp-server" ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIGhczaUoV6SzR2VEf9Rp4/P9xHVU8S72CKHrwKU+Yntx

qui permet d'utiliser la clé seulement pour SFTP, (ce qui est la façon dont sshsf fonctionne).

Une contrainte peut aussi limiter les hôtes pouvant se connecter avec la clé  

   restrict,from="d24-141-114-17.home.cgocable.net" ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIGhczaUoV6SzR2VEf9Rp4/P9xHVU8S72CKHrwKU+Yntx

Le fait de limiter les hôtes est un excellent moyen de minimiser le risque que la clé soit compromise.  Le terme ''restrict'' désactive l'allocation pty qui crée un comportement insolite.  Pour définir un seul hôte pour une session interactive et permettre une allocation pty,  

   restrict,from="d24-141-114-17.home.cgocable.net",pty ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIGhczaUoV6SzR2VEf9Rp4/P9xHVU8S72CKHrwKU+Yntx

Il existe plusieurs de ces contraintes qui sont décrites dans la page ''sshd man'' (''man sshd'' sous Linux).

== Meilleures pratiques==

* Remove the compromised key from <i>all</i> services (Alliance or other) to prevent unauthorized access or data breaches.

Security is of paramount importance, and swift action in response to a compromised SSH key is essential to maintain the integrity of digital research and collaboration.