UNIX および Linux® オペレーティング・システムでの RSA 鍵ベースの認証の使用可能化

単純なパスワード認証の代わりに RSA 鍵ベースの認証を使用できます。

このタスクについて

Tivoli® Directory Integrator がインストールされているマシンで ssh-keygen が使用可能であるかどうかに応じて、以下のいずれかのマシンでこのタスクを実行します。

Tivoli Directory Integrator がインストールされているマシンに ssh-keygen がインストールされていない、または当該マシンでこれを使用できない場合は、管理対象リソースでこのタスクを実行します。
ssh-keygen がインストールされている、または使用可能な場合は、Tivoli Directory Integrator がインストールされているマシンでこのタスクを実行します。

手順

ssh-keygen ツールを使用して、鍵ペアを作成します。
1. サービス・フォームに定義されている管理者ユーザーとしてログインします。
2. ssh-keygen ツールを起動します。以下のコマンドを出します。
```
mydesktop$# ssh-keygen -t rsa
```
3. 以下のプロンプトで、鍵ペアの保存先として、デフォルトを受け入れるかファイル・パスを入力して、Enter キーを押します。
```
Generating public/private dsa key pair.
Enter the file in which to save the key (home/root/.ssh/id_rsa):
```
4. 以下のプロンプトで、デフォルトを受け入れるかパスフレーズを入力して、Enter キーを押します。
```
Enter the passphrase (empty for no passphrase): passphrase
```
5. 以下のプロンプトで、選択したパスフレーズを確認して Enter キーを押します。
```
Enter the same passphrase again: passphrase
```
  これは、システム応答のサンプルです。
```
Your identification was saved in /home/root/.ssh/id_rsa.
Your public key was saved in /home/root/.ssh/id_rsa.pub. 
The key fingerprint is this value:
2c:3f:a4:be:46:23:47:19:f7:dc:74:9b:69:24:4a:44 root@ps701
```
  注: ssh-keygen ツールはブランクのパスフレーズを受け入れますが、サービス・フォームではパスフレーズが必要です。

生成されたキーを検証します。

以下のコマンドを出します。

mydesktop$ cd $HOME/.ssh
  
 mydesktop$ ls -l

以下はシステム応答のサンプルです。

-rw------- 1 root   root   883 Jan 21 11:52 id_rsa
-rw-r--r-- 1 root   root   223 Jan 21 11:52 id_rsa.pub

以下のコマンドを出します。

mydesktop$ cat id_rsa

以下はシステム応答のサンプルです。

以下のコマンドを出します。

mydesktop$ cat id_rsa.pub

以下のメッセージはシステム応答のサンプルです。

ssh-rsaAAB3NzaC1yc2EAAAABIwAAAIEA9xjGJ+8DLrxSQfVxXYUx4lc9copCG4HwD3TLO5i
fezBQx0e9UnIWNFi4Xan3S8mYd6L+TfCJkVZ+YplLAe367/vhc1nDzfNRPJ95YnATefj
YEa48lElu7uq1uofM+sZ/b0p7fIWvIRRbuEDWHHUmneoX8U/ptKFZzRpb/
vTE6nE= root@ps0701

SSH サーバーの /etc/ssh ディレクトリーで、鍵ベースの認証を使用可能にします。

sshd_config ファイルに以下の行が存在することを確認します。

# Should we allow Identity (SSH version 1) authentication?
	RSAAuthentication yes
  
	# Should we allow Pubkey (SSH version 2) authentication?
	PubkeyAuthentication yes
        
	# Where do we look for authorized public keys?
# If it doesn't start with a slash, then it is
# relative to the user's home directory
AuthorizedKeysFile .ssh/authorized_keys

SSH サーバーを再始動します。

rsa.pub ファイルを SSH サーバーにコピーします。
既存の authorized_keys ファイルがある場合、それを編集してすべての no-pty 制限を削除します。
/.ssh ディレクトリーから、公開鍵を authorized_keys ファイルに追加します。
以下のコマンドを出します。
```
ssh-server$ cat ../id_rsa.pub >> authorized_keys
```
注: このコマンドにより、RSA 公開鍵が authorized_keys ファイルに連結されます。
例えば、 $HOME/.ssh/authorized_keys。このファイルが存在しない場合は、コマンドによって作成されます。
id_rsa 秘密鍵ファイルを、Tivoli Directory Integrator が実行されているクライアント・ワークステーションにコピーします。
秘密鍵の所有権値を設定します。Tivoli Directory Integrator サーバーが Unix または Linux である場合は、chmod を使用して秘密鍵の権限値を 600 に設定します。
注:
- 以下のステップを実行します。クライアント・コンピューターからサーバーにログインすると、ユーザー・パスワードではなく、鍵のパスフレーズを求めるプロンプトが出されます。
- インストールされた SSH が AES-128-CBC 暗号を使用する場合、RXA はファイルから秘密鍵をフェッチできません。RSA 鍵ベースの認証は機能しません。 RSA 鍵ベースの認証をサポートするには、以下のいずれかの操作を行います。
  - DES-EDE3-CBC 暗号を使用する SSH をインストールする。
  - 環境に RXA 2.3.0.9 パッケージをインストールする。RXA 2.3.0.9 は、AES-128-CBC 暗号をサポートしています。
    RXA 2.3.0.9 は、Tivoli Directory Integrator バージョン 7.1.1 の基本リリースに含まれており、Tivoli Directory Integrator バージョン 7.0 フィックスパック 8 および Tivoli Directory Integrator バージョン 7.1 フィックスパック 7 でも提供されています。