SSH鍵ベース認証

ようこそ。このレッスンでは、SSH 鍵ベース認証について学びます。この方法は、従来のパスワードを使ってサーバーにログインするよりも、はるかに安全で便利です。

SSH 鍵はデジタル上の握手のように機能し、毎回パスワードを入力しなくても本人確認を行えます。

SSH 鍵認証では、暗号鍵のペアを使用します。

• 秘密鍵：ローカルマシンに保存し、秘密にしておく必要がある鍵です。デジタルロック専用の唯一の鍵だと考えてください。
• 公開鍵：アクセスしたいサーバーに配置する鍵です。秘密鍵でしか開けられない特殊なロックのようなものです。

接続しようとすると、サーバーがクライアントにチャレンジを送り、クライアントは秘密鍵を使って自分の身元を証明します。

ローカルマシンで ssh-keygen コマンドを使うと、SSH 鍵ペアを生成できます。デフォルトでは RSA 鍵ペアが作成されます。

プロンプトが表示されたら、秘密鍵を保護するパスフレーズを設定できます。これによりセキュリティがさらに強化され、鍵を使用する前にパスフレーズの入力が必要になります。

セキュリティを強化するには、ED25519 などの新しい鍵タイプを使用することをおすすめします。鍵のファイル名をカスタマイズすることもできます。

• -t ed25519：ED25519 アルゴリズムを指定します。
• -f ~/.ssh/my_server_key：my_server_key と my_server_key.pub という名前のファイルを作成します。

秘密鍵には必ず強力なパスフレーズを設定してください。

生成した鍵は通常、ローカルマシンの ~/.ssh/ ディレクトリに保存されます。次の 2 つのファイルが作成されます。

• id_ed25519（または id_rsa）：これは秘密鍵です。厳重に管理し、決して共有しないでください。
• id_ed25519.pub（または id_rsa.pub）：これは公開鍵です。このファイルをサーバーにコピーします。

これらのファイルの権限も、セキュリティ上とても重要です。

公開鍵をサーバーに配置する最も簡単な方法は、ssh-copy-id コマンドを使うことです。このコマンドは公開鍵をサーバーの ~/.ssh/authorized_keys ファイルに安全にコピーします。

新しいサーバーでこのコマンドを初めて実行するときは、パスワードの入力が必要です。その後は、パスワードでのログインが不要になることが多いです。

ssh-copy-id を利用できない場合や、手動での方法を使いたい場合は、自分で公開鍵をサーバーにコピーできます。

まず、サーバー上に ~/.ssh ディレクトリが存在し、適切な権限（700）になっていることを確認します。次に、公開鍵を ~/.ssh/authorized_keys ファイルに追記し、権限を 600 に設定します。

公開鍵をサーバーに配置したら、SSH で接続できます。デフォルトの鍵名（例：id_rsa や id_ed25519）を使用した場合、SSH が自動的に鍵を見つけます。

カスタムの鍵名（例：my_server_key）を使用した場合は、-i フラグで鍵を指定する必要があります。

セキュリティを強化するため、鍵ベースのログインが機能することを確認したら、サーバーでのパスワード認証を無効にすることを強くおすすめします。

サーバー上の SSH デーモン設定ファイル（/etc/ssh/sshd_config）を編集し、PasswordAuthentication yes を no に変更して、SSH サービスを再起動します（例：sudo systemctl restart sshd または sudo service ssh restart）。

SSH 鍵ベース認証の仕組み、鍵の生成方法、鍵の配置方法を学びました。理解度を確認してみましょう。

よくできました。SSH 鍵ベース認証を習得しました。次のことを学びました。

• 公開鍵と秘密鍵の違い。
• ssh-keygen を使った鍵ペアの生成方法。
• ssh-copy-id または手動でサーバーに公開鍵を配置する方法。
• パスワードを使わずに安全に接続する方法。
• サーバーでパスワード認証を無効にする理由と方法。

SSH 鍵は、安全で効率的なサーバー管理に欠かせない基本ツールです。練習を続けていきましょう。