CHAVES A PARTIR DE CERTIFICADOS

Adicionalmente às chaves SSH públicas para o utilizador UTILIZADOR o sss_ssh_authorizedkeys também pode retornar chaves SSH públicas derivadas da chave pública de um certificado X.509.

Para activar isto a opção “ssh_use_certificate_keys” tem de ser definida para true (predefinição) na secção [ssh] do sssd.conf. Se a entrada do utilizador conter certificados (veja “ldap_user_certificate” em sssd-ldap(5) para detalhes) ou existir um certificado numa entrada de sobreposição para o utilizador (veja sss_override(8) ou sssd-ipa(5) para detalhes) e o certificado for válido, o SSSD irá extrair a chave pública a partir do certificado e converte-lo num formato esperado pelo sshd.

Além de “ssh_use_certificate_keys” as opções

pode ser usadas para controlar como o certificados são validados (veja sssd.conf(5) para detalhes).

A validação é o benefício de se usar certificados X.509 em vez de chaves SSH directamente porque, ex., oferece um melhor controle do tempo de vida das chaves. Quando o cliente ssh é configurado para usar as chaves privadas de uma Smartcard com a ajuda de uma biblioteca partilhada PKCS#11 (veja ssh(1) para detalhes) pode ser irritante ver a autenticação ainda a funcionar mesmo que o certificado X.509 relacionado na Smartcard esteja já expirado porque nem o ssh nem o sshd irá olhar sequer olhar para o certificado.

Tem de ser notado que a chave SSH pública derivada pode ainda ser adicionada ao ficheiro authorized_keys do utilizador ao contornar a validação do certificado se a configuração do sshd permitir isto.