Можно ли использовать общий AuthorizedKeysFile для группы пользователей, не отключая StrictMode в sshd_config?

Question

# rpm --query centos-release
centos-release-7-2.1511.el7.centos.2.10.x86_64

Я хочу использовать общий AuthorizedKeysFile в sshd для нескольких пользователей на моем сервере. Для этого я добавил:

Match Group my-secret-group
        AuthorizedKeysFile /etc/ssh/my-secret-group/common_authorized_keys

в /etc/ssh/sshd_config , а затем добавил всех этих пользователей в группу my-secret-group .

sshd перезапустился нормально, но это не позволило мне войти в учетные записи пользователей my-secret-group с открытым ключом. Однако, когда я установил StrictModes no в /etc/ssh/sshd_config , он наконец заработал. Я обеспокоен тем, что я не должен использовать StrictModes no , но я не уверен, какие файлы должны иметь какие разрешения для этой настройки для работы. В настоящее время у меня есть:

root:/etc/ssh/# ls -al my-secret-group/{.,common_authorized_keys}
-rw-r----- 1 root my-secret-group 2776 Nov  3 07:41 my-secret-group/common_authorized_keys

my-secret-group/.:
total 16
drwxrwx---  2 root my-secret-group   74 Nov  4 10:02 .
drwxr-xr-x. 3 root root            4096 Nov  4 10:33 ..
-rw-r-----  1 root my-secret-group 2776 Nov  3 07:41 common_authorized_keys
-rwxr-xr-x  1 root root            419 Nov  4 09:23 install_ssh_keys
-rw-r--r--  1 root root            274 Nov  3 07:47 README.md

Могу ли я как-то настроить разрешения, чтобы мне не нужно было устанавливать StrictModes no? Я пробовал разные комбинации, но они не работали.

Answer 1

Вместо этого вы можете использовать AuthorizedKeysCommand для получения авторизованных ключей. Эта команда не должна подтверждать эти требования (но вы должны убедиться, что команда вменяема). Например

AuthorizedKeysCommand /usr/bin/cat /etc/ssh/my-secret-group/common_authorized_keys
AuthorizedKeysCommandUser root
# or whatever reasonable user with access to this file

должен сделать работу.