EC2のサブネットワーク間でSCPコマンドがエラー（Permission denied (publickey).）

Question

OpenVPNをEC2にインストールしたので、クライアント証明書と秘密鍵、CA証明書をPCにSCPしようと思っています。OpenVPNはNAT越しにインストールしましたので、PCからはTeratermのSCPでコピーできません。そこで、Internet-Gatewayと括り付けられているEC2にSCPしてから、PCにTeratermのSCPでコピーしようと思っています。
OpenVPNをインストールしたEC2で次のコマンドを打つとエラーになります。解る方いましたら、ご教授お願いいたします。

$ scp ./pki/private/client.key ec2-user@10.0.1.10:/home/ec2-user
Permission denied (publickey).
lost connection

Answer 1

/home/ec2-user/.ssh/id_rsa が無い、または間違っているのではないでしょうか。
EC2のキーペアのファイルを、上記ディレクトリに保存するか、SSH Agentを使って試してみてください。

Comments

[kuekueee--ww]

双方の/home/ec2-user　を見ると、Webサーバには認証鍵があり、OpenVPNサーバには認証鍵がありません。
Webサーバにも/home/ec2-user/.ssh/id_rsaというディレクトリはありません。認証鍵があるだけです。それで、OpenVPNサーバにはsshログインはできます。

[kuekueee--ww]

SSH Agentを理解するのに一苦労です。(>_<)

[take88]

であれば、SSH Agent は一旦忘れてもらって大丈夫です。ssh接続が可能ならscpも可能になります。方針は2つあると思いますが、まずは↓を試してみてください。

WebサーバからOpenVPNサーバーにSSHログイン可能ということなので、 Webサーバー上で「scp ec2-user@OpenVPNサーバIP:/PATH/to/client.key /home/ec2-user」とすればコピーできる気がします。
※/PATH/to/client.keyはclient.keyのフルパス

[take88]

もう一つの方針ですが、秘密鍵ファイルを正しくサーバーに配置して、適切なオプションを付けてssh/scp で接続してみてください。

・id_rsa は ssh/scp が参照するデフォルトの秘密鍵ファイルです。（ディレクトリではありません）
・秘密鍵ファイルが別にある場合は、「-i 秘密鍵ファイル」というオプションを指定する必要があります。
例）ssh -i 秘密鍵 ec2-user@10.0.0.1
例）scp -i 秘密鍵 hoge ec2-user@10.0.0.1:hoge/foo/bar

id_rsa の場合も、-i で指定した場合も、重要なのはファイルの中身です。
接続先サーバーの秘密鍵を指定してください。
ec2-user の場合は、EC2のキーペアでダウンロードしたファイルのことです。
中身はテキストなので エディタで貼り付けても大丈夫です。

[kuekueee--ww]

一つ目の方法では、以下のようなエラーになりました。（$sudo　を付けなくてもエラーは同じです）

[ec2-user@ip-10-0-1-10 ~]$ sudo scp ec2-user@10.0.3.186:/usr/share/easy-rsa/3/pki/private/client.key /home/ec2-user
The authenticity of host '10.0.3.186 (10.0.3.186)' can't be established.
ECDSA key fingerprint is SHA256:62/iaE+4L5jD62O2m7BGGPqXdhdQh1tPi0ffyu8UVdk.
ECDSA key fingerprint is MD5:6c:4c:bc:34:ab:e0:75:e9:3a:bf:19:5e:9c:8f:3a:8e.
Are you sure you want to continue connecting (yes/no)? yes

Warning: Permanently added '10.0.3.186' (ECDSA) to the list of known hosts.
Permission denied (publickey,gssapi-keyex,gssapi-with-mic).

[kuekueee--ww]

二つ目の方法では、以下のようなエラーになりました。（$sudo　あり/なし　でも同じエラーでした）

[ec2-user@ip-10-0-1-10 ~]$ sudo scp -i my-key.pem ec2-user@10.0.3.186:/usr/share
/easy-rsa/3/pki/private/client.key /home/ec2-user
scp: /usr/share/easy-rsa/3/pki/private/client.key: Permission denied

[ec2-user@ip-10-0-1-10 ~]$ scp -i my-key.pem ec2-user@10.0.3.186:/usr/share/easy
-rsa/3/pki/private/client.key /home/ec2-user
scp: /usr/share/easy-rsa/3/pki/private/client.key: Permission denied

[kuekueee--ww]

Webサーバの　/home/ec2-user（ホームディレクト） には、以下のようにmy-key.pem という鍵ファイルがあります。

[ec2-user@ip-10-0-1-10 ~]$ ls -l
total 11008
-rw-rw-r-- 1 ec2-user ec2-user 11257079 Apr 9 2019 latest-ja.tar.gz
-r-------- 1 ec2-user ec2-user 1692 May 1 2019 my-key.pem
-rw-rw-r-- 1 ec2-user ec2-user 6 Nov 20 13:40 test1.txt
drwxr-xr-x 5 ec2-user ec2-user 4096 Apr 9 2019 wordpress

接続先のOpneVPNサーバには、以下のようにmy-key.pemがありません（t2microでEC2作成するときにキーペアをmy-key.pemとして指定しましたが。。）

[ec2-user@ip-10-0-3-186 3]$ cd /home/ec2-user/
[ec2-user@ip-10-0-3-186 ~]$ ls -l
total 0

[kuekueee--ww]

https://qiita.com/grgrjnjn/items/8ca33b64ea0406e12938

この↑サイトを参考にして、古いリーモトホストを削除してみましたが、古いリモートホストは無いみたいようです(>_<)

[ec2-user@ip-10-0-1-10 .ssh]$ ssh-keygen -R remote_host_name
Host remote_host_name not found in /home/ec2-user/.ssh/known_hosts

[kuekueee--ww]

解決しました(^O^)／

OpneVPNサーバの./pki 以下のディレクトリ及びファイルの権限がユーザ：root、グループ：root 　になっていたのが原因でした。chownコマンドでユーザとグループをec2-user　にしたら、Webサーバにscpできました。多分、OpenVPNサーバのインストールをsudoコマンドで実行していたのが原因ではないかと思っています。有難うございました。

[take88]

ファイルのアクセス権限でしたか。ともあれ解決できてよかったです。

Answer 2

認証鍵が間違ってるんでは。
SSHでログインできるでしょうか

Comments

[kuekueee--ww]

言われるとおり、OpenVPNサーバからInternet-Gatewayに括りつけているEC2サーバ（Webサーバ）には、SSHログインできません。その逆はできるのですが。

Webサーバー　⇒　OpenVPNサーバ　はSSHでログインできる。
OpenVPNサーバ　⇒　Webサーバ　はSSHログインできない。

双方の/home/ec2-user　を見ると、Webサーバには認証鍵があり、OpenVPNサーバには認証鍵がありませんでしたm(_　_)m