【開発日誌 #39】ssh を使いこなそう！（初級編）

こんにちは。コムデインフラ事業部の鳴海です。

今日はサーバーの保守運用者にとっては必須といってもよい ssh(Secure Shell) 接続について解説します。名前に「Shell（シェル）」とついているようにクライアントとサーバー間のコマンド(CLI)操作を安全に行うための暗号化された通信プロトコルとなります。

前提条件

通信先のサーバーでsshサーバーが起動している
通信先のサーバーでアカウントが作成されている
接続を行う端末にsshクライアントが入っている

この3つだけです。そしてほぼ全てのインストールが終わったサーバーではsshサーバーが起動しています。端末にsshクライアントが入っているかはターミナルやパワーシェルから以下のコマンドで確認できます。

PS C:\Users\user> ssh -V
OpenSSH_for_Windows_8.6p1, LibreSSL 3.4.3

ちなみにこれはバージョンを確認するコマンド「ssh -V」をWindows11で実行したものとなります。

それでは実際にサーバーに接続してみましょう！

「ssh -l アカウント名サーバーのIPアドレス」とターミナルに入力します。

PS C:\Users\user> ssh -l user-name 10.0.0.1
user-name@10.0.0.1's password:

はい。パスワードの入力画面が返ってきましたね。

サーバー管理者にパスワード発行をしてもらっている場合はここでパスワードを入力すると無事ログイン完了となります。

しかし。。。

PS C:\Users\user> ssh -l user-name 10.0.0.1

user-name@10.0.0.1: Permission denied (publickey,gssapi-keyex,gssapi-with-mic).

と返ってきた場合はパスワード認証が許可されていません。

パスワードなしでどうやってログインするの？と疑問に思わるでしょうが返ってきたメッセージをよく見てみると。。。

publickey,gssapi-keyex,gssapi-with-mic

はい。それらしいことが書いてありますね。英語が苦手な方でもなんとなく分かるかと思います。

「publickey?」公開鍵？

そうです。正解です。

最近は脆弱性と運用の観点からアカウントにパスワードを発行せず全て公開鍵認証としているケースがほとんどです。

そして一度公開鍵を作ってしまえばサーバー管理者にそれを渡すだけでパスワードを覚えておく必要がないためとても楽ちんな仕組みとなっています。

公開鍵を作ろう！

さて。ここからが本題です。まず公開鍵認証に必要なもの。

それが「秘密鍵」です！いわゆるパスワードのようなものでこれは誰にも渡してはいけません。ましてやネットに公開など絶対にしてはいけません。

それでは作成してみましょう。ssh-keygen とターミナルに入力します。

PS C:\Users\user> ssh-keygen

Generating public/private rsa key pair.

Enter file in which to save the key (C:\Users\user/.ssh/id_rsa):

Enter passphrase (empty for no passphrase):

Enter same passphrase again:

Your identification has been saved in C:\Users\user/.ssh/id_rsa

Your public key has been saved in C:\Users\user/.ssh/id_rsa.pub

The key fingerprint is:

SHA256:ZFv8e8miOeQsJrJqVB0DMsb5HOBiHWZHujhz80Ntc6o user@win11-home

The key's randomart image is:

+---[RSA 3072]----+

| .=*o+           |

| o*o= o  .       |

|...= o oo o      |

|... = oo o .     |

| + = . +S.  .    |

|  = + . + .  o . |

| .   o . +  o +  |

|  . . + o +o o   |

| ....E o .o.     |

+----[SHA256]-----+

はい。これで自分のホームディレクトリ配下に .ssh というフォルダが作成されそこに id_rsa (秘密鍵) とid_rsa.pub (公開鍵) という二つの鍵が作成されていると思います。

id_rsa       
id_rsa.pub

作成時に名前を指定することもできますがとりあえず作成してあとから名前を変えましょう。この名前のままにしておくと再作成した時に同じ名前で上書きされてしまったりと事故のもとです。

PS C:\Users\user> cd ~/.ssh
PS C:\Users\user\.ssh> mv id.rsa my-rsa.pem
PS C:\Users\user\.ssh> mv id_rsa.pub my-rsa.pub

それではそれぞれの中身を見てみましょう。

公開鍵 (my-rsa.pub)

ssh-rsa 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 user@win11-home

秘密鍵 (my-rsa.pem)

はい。問題なく作成されていますね！（今回はテスト用に作成したので秘密鍵を公開しています。この後間違えて使わないように削除してます）

ちなみに拡張子は何でもいいのですが(なくてもよい)分かりやすいように

.pem (秘密鍵)
.pub (公開鍵)

とつけるのがお約束となっています。

※推しの名前などでも何でもいいです！が間違えて公開すると大事故になるので分かりやすいのが一番です。

さてここまできたら。あとは公開鍵 (my-rsa.pub)をサーバー管理者に送ってサーバー側に登録してもらうだけとなります。

共有チャットでも個人チャットでも何でもいいので公開鍵 (my-rsa.pub)の内容をチャットに貼り付けるか添付ファイルとして送りましょう。

ここでサーバー管理者が何をやっているかというと

公開鍵の登録

ログインアカウントのホームにも .ssh フォルダがありそこに authorized_keys というファイルがあります。そこにもらった公開鍵を追加します。

[user-name@ip-10-0-0-1 ~]$ cat my-rsa.pub >> ~/.ssh/authorized_keys

authorized_keys

ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABgQCVQzi5jAId+G1sU/ij/KSeihNGkxIwsJ8DV7mHL0bnXOrbkjakCOeXmOrAzVlEVAXaM3wgJbKvjnsqFGSXxUBJaqzD/IzI11B5w2iPqUjmabLwIkP68DTfg7G1oLvW/oGwM/yljtHdHzgfnyoJ1Rsn+jHV+t9CfXaWvTMwHl/x2j0+XiPwUragaRg/eacbFW+p4HVUP779C+fzUcE7uS7Vx/VcBmvwg3Oa0lBxabM3DL5cgMzQ9E06TeClTxqyj1tYEsly04vF3Oa/bTSE2c2sUkTF2qfV23jqUNrUVx+GDRaXbX5lOh/An5La5jYkXexHs1VBvi6bRFi8yhfcumuMknaqZpMrJAc242f8bBHeN5TAER0L6ZdIsjvAXmWgih8Q29De/Hbb1gRM7axEraPDSjdCg5dAziRn5JtkCoxhLG6HcZfrrz6lgboleHPlu5gJilRn29d+XA0V2waqpDwmpLoFDYNRe1MCEQGQ8aoKyMWA7QX2oojiS745CjREaFk= user@win11-home

今回は一行だけですが下にどんどん追加していけば複数登録が可能です。たとえば www-user のようなアカウントを１つ作成して開発者やデザイナーなど複数の人が利用する場合などは複数登録します。

さて全ての準備が整いました！ターミナルから「ssh -i 秘密鍵 -l アカウント名サーバーのIPアドレス」を入力して接続してみましょう。

PS C:\Users\user> ssh -i ~/.ssh/my-key.pem -l user-name 10.0.0.1
ED25519 key fingerprint is SHA256:******************************************.

This key is not known by any other names

Are you sure you want to continue connecting (yes/no/[fingerprint])?

はい。何やらでてきましたね。初回はフィンガープリントの確認メッセージが表示されますが慌てず「yes」と入力します。

Are you sure you want to continue connecting (yes/no/[fingerprint])? yes

はい。これで無事接続されたかと思います！（フィンガープリントは ~/.ssh/known_hosts へ保存されます。サーバーのIPなどが変更された際は差異がエラーとなりますのでこちらのファイルを編集します。登録が一台だけならファイルを削除してもかまいません）

たしかに接続はされたけど。。。

毎回この長ったらしいコマンドを入力するのは億劫だしそもそもサーバーのIPアドレスなんてお昼ご飯を食べたらもう忘れてるし。。。ごもっともです。そしてだれもこんな使い方はしていません。

config を作ろう！

鍵が置いてある .ssh の中に以下のような config ファイルを作成します。Host のところは好きな名前でかまいせん。それこそ推しの名前でも何でも。色々な名前を付けたい場合はスペースで区切って名前をつづけて入力します。

PS C:\Users\user> cat ~/.ssh/config
Host my-server

    HostName 10.0.0.1

    User user-name

    Port 22

    IdentityFile ~/.ssh/my-key.pem

config

Host my-server

    HostName 10.0.0.1

    User user-name

    Port 22

    IdentityFile ~/.ssh/my-key.pem

それでは接続してみましょう。ターミナルで「ssh my-server」と入力します。

PS C:\Users\user> ssh my-server

はい。おつかれさまでした！無事接続できましたでしょうか？

最後に接続したいサーバーはどんどん増えていくと思います。その場合は config の下に同じような記載を続けて登録していきます。またサーバー毎にアカウント名が違う場合も User をそれに合わせて入力します。

config (複数ある場合)

Host my-server1

    HostName 10.0.0.1

    User user-name1

    Port 22

    IdentityFile ~/.ssh/my-key.pem
    
Host my-server2

    HostName 10.0.0.2

    User user-name2

    Port 22

    IdentityFile ~/.ssh/my-key.pem