☰

Доступ по SSH запрещен для одного пользователя

tag-icon • tag-icon ssh rsa
Доступ по SSH запрещен для одного пользователя

Я сталкиваюсь с ошибкой при попытке подключения по SSH к серверу для одного пользователя. Домашний каталог этого пользователя находится в /opt, с каталогом .ssh (разрешения: 700) и файлом authorized_keys, содержащим открытый ключ. Это работает с другими пользователями, домашние каталоги которых находятся в /home, используя тот же ключ rsa, к которому я могу подключиться как другой пользователь. В /var/log/secure я получаю:

Apr  8 14:48:22 myserver sshd[338949]: pam_sss(sshd:account): Access denied for user myuser: 6 (Permission denied)
Apr  8 14:48:22 myserver sshd[338949]: fatal: Access denied for user myuser by PAM account configuration [preauth]

При использовании ssh -vvv последние строки будут такими:

debug1: Server accepts key: pkalg rsa-sha2-512 blen 535
debug2: input_userauth_pk_ok: fp SHA256:XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
debug3: sign_and_send_pubkey: RSA SHA256:XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
debug3: send packet: type 50
Authentication failed.

Если я подключаюсь к этому серверу как другой пользователь, используя тот же ключ, он работает, единственное отличие, которое я вижу, это то, что домашний каталог находится в /opt вместо /home. И у этого пользователя в имени входа есть подчеркивание. Вы сталкивались с такой ситуацией?

[РЕДАКТИРОВАТЬ] Дополнительная информация:

SELinux отключен

[root@myserver ~]# getenforce
Disabled

[myuser@myserver ~]$ ls -la /opt/myuser/
drwx------ 2 myuser myuser    80 Apr  8 14:46 .ssh

[myuser@myserver ~]# ls -l /opt/myuser/.ssh/authorized_keys
-rw------- 1 myuser myuser  1131 Apr  8 14:46 /opt/myuser/.ssh/authorized_keys

[root@myserver ~]# namei -l /opt/myuser/.ssh/authorized_keys
f: /opt/myuser/.ssh/authorized_keys
dr-xr-xr-x root         root         /
drwxr-xr-x root         root         opt
drwx------ myuser       myuser       myuser
drwx------ myuser       myuser       .ssh
-rw------- myuser       myuser       authorized_keys

[root@myserver ~]# grep -v ^# /etc/ssh/sshd_config
HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_ecdsa_key
HostKey /etc/ssh/ssh_host_ed25519_key

SyslogFacility AUTHPRIV

PermitRootLogin no

AuthorizedKeysFile      .ssh/authorized_keys

PasswordAuthentication yes

ChallengeResponseAuthentication no

GSSAPIAuthentication yes
GSSAPICleanupCredentials no

UsePAM yes

X11Forwarding yes

AcceptEnv LANG LC_CTYPE LC_NUMERIC LC_TIME LC_COLLATE LC_MONETARY LC_MESSAGES
AcceptEnv LC_PAPER LC_NAME LC_ADDRESS LC_TELEPHONE LC_MEASUREMENT
AcceptEnv LC_IDENTIFICATION LC_ALL LANGUAGE
AcceptEnv XMODIFIERS

Subsystem       sftp    /usr/libexec/openssh/sftp-server

[root@myserver ~]# cat /etc/pam.d/sshd
#%PAM-1.0
auth       required     pam_sepermit.so
auth       substack     password-auth
auth       include      postlogin
# Used with polkit to reauthorize users in remote sessions
-auth      optional     pam_reauthorize.so prepare
account    required     pam_nologin.so
account    include      password-auth
password   include      password-auth
# pam_selinux.so close should be the first session rule
session    required     pam_selinux.so close
session    required     pam_loginuid.so
# pam_selinux.so open should only be followed by sessions to be executed in the user context
session    required     pam_selinux.so open env_params
session    required     pam_namespace.so
session    optional     pam_keyinit.so force revoke
session    include      password-auth
session    include      postlogin
# Used with polkit to reauthorize users in remote sessions
-session   optional     pam_reauthorize.so prepare

Также включена аутентификация LDAP через sssd.

решение1

Учитывая, что аутентификация LDAP включена и доступ для данного пользователя запрещен, это означает, что пользователю не предоставлен доступ в LDAP к данному серверу.

Вы можете проверить /etc/sssd/sssd.confдляразрешенные_пользователииразрешенные_группыи затем либо добавьте имя пользователя как запись в «разрешенные_пользователи» или в группу LDAP, указанную в «разрешенные_группы»

Связанный контент