踏み台経由でサーバーに接続する際、秘密鍵をクライアントへの登録のみで行う。SPS設定

皆さんこんにちは

本稿では秘密鍵をクライアント側にのみ設定する形でのSPSを利用した接続方法・設定をご紹介します。

本ブログではSPSを踏み台サーバーとして構成しています。

SPSとはOneIdentity社のSafeguard製品の1モジュール(Safeguard for Priviledged Session)であり、特権セッションを監視・制御するアプライアンス製品です。

(詳しくは:こちらのブログを参照してください。)

今回この設定が必要になる背景として、踏み台サーバーを経由して接続するサーバーが複数あり、かつそれに公開鍵設定がある場合、踏み台サーバーへの登録作業がかなり手間になってしまいます。

そこで、今回は秘密鍵をクライアントPCにのみ設定し、踏み台サーバーへの登録作業が必要ない設定を説明します。

下図が今回の構成です。すでに公開鍵が接続先サーバーに設定してあることが前提となり、公開鍵と秘密鍵の生成手順は省きます。

 

設定が必要な個所については3つあります。

1.      
サーバー設定:サーバーに踏み台サーバー経由でのアクセス許可設定(agent
forwarding
)をします。

2.      
SPS設定SPSにクライアントでの秘密鍵の使用を許可する設定をします。

3.      
クライアント設定:クライアントPCで接続するためにクライアントソフトを導入後、踏み台サーバーの設定(agent forwarding)とpageantに秘密鍵の登録を行います。

1.サーバー設定

最初にサーバーについて説明します。

今回使用しているのはCent OS 7の接続先サーバーで、公開鍵が登録済みであることが前提です。

まず、sshdの設定を行います。

サーバーログイン後にetc>sshとディレクトリを移動し、sshdの設定ファイルを編集します。

 

 

次に「agent forwarding」を有効にします。

デフォルトではオフになっていますので、「AllowAgentForwarding」を編集して「#」を外します。

 

これでサーバー側の設定は完了です。

 2.SPS設定

 SPS側の設定について説明します。

 SPSでは認証ポリシーである、Authentication
Policies
の設定を行います。

 SPSのwebインターフェースにて、SSH Control > Authentication
Policies
を選択します。

新規のポリシーを作成し、「Relayed authentication methods」下の「public key」にチェックを入れて、「Agent」を選択します。

 

設定が終わったらcommitボタンを押して保存します。

次に、現在接続している設定に反映させます。

 

SSH Control > Connection に移動して現在接続先サーバーに接続予定のポリシーを選択して「Authentication Policies」の欄を先ほど作成したポリシーに変更します。

設定が終わったらcommitボタンを押して保存します。

以上でSPS側における設定は終了です。

3.クライアント設定

 最後にクライアントPCで使用するクライアントソフトの設定を説明します。

まずpageantのインストールを行います。

Puttyに付属しているソフトですが、単独でのインストールも可能です。

Webからインストール可能です。

インストールが完了しましたら、起動してキーの登録を行います。Add Keyボタンより秘密鍵の登録を行うことができます。

 

キーの登録が完了しましたらクライアントソフトにagent forwardingの設定を行います。

Teratermを起動して最初の接続画面を右上の×ボタンでキャンセルします。

上のメニューから設定>SSH認証を選択して画面を開いて「pageantを使う」を選択します。

 

OKボタンを押して新しく接続を開始します。

ホストの欄にSPSIPアドレスを入力します。

 

OKボタンを押すと下のような画面になりますのでpageantを使うが選択されていることを確認し、ユーザー名を入力してください(接続先サーバーのユーザー名です)。

「エージェント転送する」のチェックボックスにチェックを入れて、OKを押します。

 

すると踏み台サーバー経由でサーバーに接続する設定となり下のように接続先サーバーにつながります。

以上です。

今回はSPSを踏み台サーバーとして設定している際、秘密鍵登録をクライアントPCにのみ設定させる方法について説明しました。

このように設定することで、SPSにすべての鍵を登録する手間とコストを省いて運用することが可能になります。

こんな記事も読まれています

最新記事

おすすめ記事

  1. 「リモートデスクトップの操作が遅い!」の原因を高速特定!ntopngによる輻輳原因の究明アプローチを実例でご紹介

  2. フリーWi-Fiに潜む悪魔の双子(エビルツイン)とは。加害者・被害者にならないために知るべきこと

  3. Syslogサーバー構築手順~インストールから初期設定まで~WinSyslogの使い方

製品カテゴリー

JTC IT用語集
TOP