macからwindows server にSSH公開鍵認証で接続したいが、Permission deniedに阻まれます

Question

#行いたいこと
macからconoha で契約したwindows server にSSH公開鍵認証で接続

分からないこと

Permission denied (publickey)で接続できない理由

行ってきたこと

1. windowsの「オプション機能の管理」から「OpenSSHクライアント」と「OpenSSHサーバー」をインストール

ポート22の設定などを行う。

1. macからパスワード認証で接続

→　ここまで成功

---

次に公開鍵認証の設定を行う

1. macでssh-keygenを行い、下記をを作成。

公開鍵: ~/.ssh/id_rsa.pub
秘密鍵: ~/.ssh/id_rsa

1. 公開鍵を対象サーバーへ持って行ってauthorized_keysへ

scp ~/.ssh/id_rsa.pub [e-mail]:  
ssh [e-mail]
# ログイン後
mv id_rsa.pub .ssh/authorized_keys

権限は、

cacls .ssh
C:\Users\Administrator.ssh 1XX-X7-7X-XX\Administrator:(OI)(CI)F

cacls .\authorized_keys
C:\Users\Administrator.ssh\authorized_keys 1XX-X7-7X-XX\Administrator:(DENY)(特殊なアクセス:)
                                                                       DELETE
                                                                       READ_CONTROL
                                                                       FILE_READ_DATA
                                                                       FILE_WRITE_DATA
                                                                       FILE_APPEND_DATA
                                                                       FILE_READ_EA
                                                                       FILE_WRITE_EA
                                                                       FILE_EXECUTE
                                                                       FILE_READ_ATTRIBUTES
                                                                       FILE_WRITE_ATTRIBUTES
                                            1XX-X7-7X-XX\Administrator:(ID)F

1. この時点で、macからssh接続　

user/yyyy/.ssh/config

Host 1XX-X7-7X-XX
    HostName 1XX.X7.7X.XX
    User administrator
    Port 22
    IdentityFile ~/.ssh/id_rsa

ssh 1XX-X7-7X-XX

パスワードを求められるたので入力したら、接続には成功

1. サーバーのsshd_configを編集

windows serverはC:\ProgramData\ssh\sshd_configここらしいのでこれを以下に編集

# This is the sshd server system-wide configuration file.  See
# sshd_config(5) for more information.

# The strategy used for options in the default sshd_config shipped with
# OpenSSH is to specify options with their default value where
# possible, but leave them commented.  Uncommented options override the
# default value.

#Port 22
#AddressFamily any
#ListenAddress 0.0.0.0
#ListenAddress ::

#HostKey __PROGRAMDATA__/ssh/ssh_host_rsa_key
#HostKey __PROGRAMDATA__/ssh/ssh_host_dsa_key
#HostKey __PROGRAMDATA__/ssh/ssh_host_ecdsa_key
#HostKey __PROGRAMDATA__/ssh/ssh_host_ed25519_key

# Ciphers and keying
#RekeyLimit default none

# Logging
#SyslogFacility AUTH
#LogLevel INFO

# Authentication:

#LoginGraceTime 2m
#PermitRootLogin prohibit-password
#StrictModes yes
#MaxAuthTries 6
#MaxSessions 10
############################
PubkeyAuthentication yes
############################

ChallengeResponseAuthentication no
# The default is to check both .ssh/authorized_keys and .ssh/authorized_keys2
# but this is overridden so installations will only check .ssh/authorized_keys
AuthorizedKeysFile	.ssh/authorized_keys


#AuthorizedPrincipalsFile none

# For this to work you will also need host keys in %programData%/ssh/ssh_known_hosts
#HostbasedAuthentication no
# Change to yes if you don't trust ~/.ssh/known_hosts for
# HostbasedAuthentication
#IgnoreUserKnownHosts no
# Don't read the user's ~/.rhosts and ~/.shosts files
#IgnoreRhosts yes

# To disable tunneled clear text passwords, change to no here!

############################
PasswordAuthentication no
PermitEmptyPasswords no
############################

#AllowAgentForwarding yes
#AllowTcpForwarding yes
#GatewayPorts no
#PermitTTY yes
#PrintMotd yes
#PrintLastLog yes
#TCPKeepAlive yes
#UseLogin no
#PermitUserEnvironment no
#ClientAliveInterval 0
#ClientAliveCountMax 3
#UseDNS no
#PidFile /var/run/sshd.pid
#MaxStartups 10:30:100
#PermitTunnel no
#ChrootDirectory none
#VersionAddendum none

# no default banner path
#Banner none

# override default of no subsystems
Subsystem	sftp	sftp-server.exe

# Example of overriding settings on a per-user basis
#Match User anoncvs
#	AllowTcpForwarding no
#	PermitTTY no
#	ForceCommand cvs server

Match Group administrators
       AuthorizedKeysFile __PROGRAMDATA__/ssh/administrators_authorized_keys

触ったのは、############################に囲まれた部分。

PowershellでRestart-Service sshdして、sshdを更新

1. 再度macからsshで接続

すると

hoge@d1ew88 ~ % ssh 1XX-X7-7X-XX
[e-mail]: Permission denied (publickey).

となりました。

sshd_configを色々触りましたが、解決せず。
keyが間違えている可能性があるのかと再度作っても同じ結果です。

何が原因と考えられるのでしょうか？

追記　接続キー周りの確認

ここを参考に。
ただ、windows serverだと、調べてもログファイルの場所が不明。
mac側で、authorized_keysの権限をchmod 600 にしましたが、windowsに移動した時点で変わることはないはずと思ってますが、権限を見てもよく分からないです。

Answer 1

sshd_config の一番下の

Match Group administrators
       AuthorizedKeysFile __PROGRAMDATA__/ssh/administrators_authorized_keys

この2行があるため、administratorsのグループのアカウントでは、~/.ssh/authorized_keysではなく、%PROGRAMDATA%/ssh/administrators_authorized_keysが参照されてしまいます。

この2行をコメントアウトしてしまえばいいようです。

あと、ファイルパーミッション関係では、FixHostFilePermissions.ps1を使うとよいです。
https://github.com/PowerShell/Win32-OpenSSH/wiki/OpenSSH-utility-scripts-to-fix-file-permissions

Answer 2

Permission denied (publickey).

ってのは、接続鍵が間違ってるときに出ます。
そこらへん見直してみよう

Comments

[Yuiti628]

何度確認しても変な触り方はしていないはずなんです、、

何が設定などが足りないのかと思うのですが、よくある設定漏れはありますのでしょうか？