踏み台サーバーで複数のアカウントの接続先を制限するには

Question

踏み台サーバーをLinuxで構築する準備を行っています。
やりたいことは
・接続ユーザー毎にアカウントを管理する
・接続ユーザーグループ毎に　sshの接続先を制御する
なんですが・・・
実際の用途は、本番環境と開発環境への接続なので2通りなんです。
sshの接続先には、個別のアカウントを作りません。

ローカル権限や監査ログについてはここを参考にしたいと考えていますが、
リンク内容
接続先の制限は考慮されていません。

どういった方法が考えられますでしょうか？

Answer 1

SSH接続先ホストで、鍵認証を有効にして、ログインパスワードを教えない。
踏み台サーバーの各ユーザーの公開鍵を、SSH接続を許可する接続先ホストのみに登録することで、許可するホストには SSHログインでき、許可しないホストには SSHログインできない。

秘密鍵・公開鍵のペアは、踏み台サーバーの各ユーザーごとに作成してもいいし、グループごとに共通のものにしてもいいかもしれません。

Comments

[boyon]

ありがとうございます。
実は１つ問題が出てきました。というか失念していました。
ターミナルソフトでポート転送も使うんですが、よく考えたら1台でユーザーによって2系統に切り分けるのって無理じゃないですかね。
性善説的にはよいけども、例えば開発系アカウントでログオンしてもターミナルで本番系にポート転送したらセキュリティ的にはアウトだなぁと。
2台構成が必要でしょうかね。
cloud上のVMなんで増やすことはできるけど、その分課金されてしまうんです。

[TaichiYanagiya]

踏み台サーバーの sshd でポートフォワードしているのであれば、SSH接続先ホスト側では制限できませんので、踏み台サーバーを分けるしかないかもしれません。

踏み台サーバーを常時起動しておく必要がなければ、都度、起動するように運用すれば料金を抑えられると思いますが、その管理を自動化する仕組みが必要です。
手動管理コスト(人件費)の方が高いと思われますので。

[boyon]

うーん、そうでしたか。
せっかくよい案をいただいたので、とりあえず本番系だけでも構築してみます。
teratailの通知メールが迷惑フォルダ行きになっており気づくのが遅れました。
ありがとうございました。

Answer 2

私の考慮漏れで、解決はしていませんが、質問に対する回答としては良いと思います、
参考にさせていただきます。ありがとうございます。