ssh接続可能なユーザの一覧の見方

Linux(CentOS7)のユーザについての質問です。
VPSなどを借りてssh接続する際にrootもしくはadduserで作成したユーザでのログインが可能であると思いますが、cat /etc/passwdで表示される最初から用意されている他のユーザではssh接続はできないのでしょうか。
また、こういった設定はどのファイルで定義されているのでしょうか。
セキュリティの面で気になったので教えて頂きたいです。
よろしくお願い致します。

行動規範の内容に同意します

回答3件

ベストアンサー

sshに限らずログインできるかどうかを見るには、/etc/passwdの内容が参考になります。
たとえば、rootは/etc/passwdでは以下のように末尾に /bin/bash が記載されています。これは、rootでログインでき、ログインシェルがbashであることを意味します。

root:x:0:0:root:/root:/bin/bash

これに対して、daemonは以下のように末尾が/sbin/nologinです。

daemon:x:2:2:daemon:/sbin:/sbin/nologin

この /sbin/nologin は、このユーザーではログインできず、サービスの実行ユーザ等でのみ使われることを意味します。

ちょっと微妙なのは postgres 等でして、

postgres:x:26:26:PostgreSQL Server:/var/lib/pgsql:/bin/bash

このように /bin/bashが指定されていますが、外部から直接postgresユーザでログインすることはできません。その理由は、パスワード等が設定されていないからです。postgresでログインするには、いったん通常のユーザでログインした後、以下のようにします。

$ sudo su - postgres

パスワードが設定されているかは、root権限があれば、/etc/shadowを閲覧するのが簡単です。

$ sudo cat /etc/shadow
...
postgres:!!:18197::::::
...

postgresユーザにはパスワードが設定されていないことが分かります。

また、rootでsshログインできるかどうかは、既に回答があるように、/etc/ssh/sshd_configにより確認できます。

投稿2020/02/21 11:55

ockeghem

総合スコア11701

macasan

2020/02/21 13:20

ご回答有り難うございます。ちゃんと/etc/passwdに記載されていたんですね。とても勉強になりました。

doda

2020/02/22 18:21

ログインシェルが/sbin/nologinで有る事を確認するよりも/etc/shadowでパスワードが無効化されている事を確認するのを先に行う方がいいと思います。ログインシェルを/sbin/nologinにするというのはログイン出来なくするのでは無く、コマンドを実行出来なくする為の設定だからです。 daemon等のログインシェルが/sbin/nologinになっているユーザも、ログイン出来ないのはパスワードが無効化されている為です。これらのユーザにpasswdコマンドでパスワードを設定するとそのパスワードでssh接続が行えるようになります。(ただしログインした直後に切断される) ログインシェルを/sbin/nologinにした効果は「ログイン後にログインシェルとして起動した/sbin/nologinがすぐに終了してログアウトする」という物なので、厳密にはログイン出来ています。ログイン出来てもコマンドが実行出来なければ大きな違いは無さそうに思うかもしれませんが、ログインシェルが起動されない状況では大きく変わってきます。例えば ssh -N でログインシェルを起動しないようにすれば接続が維持出来てポート転送等が行えますし、設定によってはsftpによるファイル転送も可能となります。

ockeghem

2020/02/23 01:20

dodaさん、ご指摘ありがとうございます。確かに、運用上ログインできるかではなく、セキュリティ上の質問をしているわけですから、/etc/shadowを先に見たほうがいいですね。

行動規範の内容に同意します

sshdでつなぐんなら、sshd_configでしょうね。
CentOS7なら /etc/ssh/sshd_config に定義ファイルがあるので、
sshd_configの設定例をネット上で検索して設定を追い込んでください。

例えば、AllowUsers っていう定義で、
sshd経由の接続を許可するユーザーを指定したりとか、
あるいは、DenyUsers っていう定義で、
sshd経由の接続を拒否するユーザーを指定したりとか。
また、PermitRootLogin っていう定義でrootユーザーの接続を許可したり拒否したり。
原則 no ですけども。

Amazon EC2向けだけど、様々な設定項目に触れて解説している記事：
セキュアなSSHサーバの設定 - Qiita

Slackware向けだけど、こちらも説明いろいろ：
sshd の設定（sshd_config）

CentOS7向けの事例だけど、あまり掘り下げてない：
CentOS 7 : SSHサーバー : SSH 鍵認証 : Server World

投稿2020/02/21 10:24

編集2020/02/21 11:11