Windows 8.1でのCygwin + SSHの使用に関するいくつかの問題を解決しようとする際に、ssh-Host-config
スクリプトがtwonewを作成する理由を知りたいOpenSSHをゼロから設定するアカウント? (これは必要ですか?)
2つのアカウントは、cyg_server
とsshd
で、デフォルトの選択+特権の昇格とサービスのインストールを使用する場合です。 1つ目はCygwin SSHdサービスを開始するためだけに使用されることは理解していますが、2つ目は機能がわかりません。私はCygwinアーカイブを検索しましたが、開発者の説明は「そうするように設計されているため」でした。これらを実際のログインに使用しないこともお勧めします。
これが私のインストールです:
-----------------------------------------------------------
ssh-keygen: generating new Host keys: RSA1 RSA DSA ECDSA ED25519
*** Info: Creating default /etc/ssh_config file
*** Info: Creating default /etc/sshd_config file
*** Info: Privilege separation is set to yes by default since OpenSSH 3.3.
*** Info: However, this requires a non-privileged account called 'sshd'.
*** Info: For more info on privilege separation read /usr/share/doc/openssh/README.privsep.
*** Query: Should privilege separation be used? (yes/no) yes
*** Info: Note that creating a new user requires that the current account have
*** Info: Administrator privileges. Should this script attempt to create a
*** Query: new local account 'sshd'? (yes/no) yes
*** Info: Updating /etc/sshd_config file
*** Query: Do you want to install sshd as a service?
*** Query: (Say "no" if it is already installed as a service) (yes/no) yes
*** Query: Enter the value of CYGWIN for the daemon: []
*** Info: On Windows Server 2003, Windows Vista, and above, the
*** Info: SYSTEM account cannot setuid to other users -- a capability
*** Info: sshd requires. You need to have or to create a privileged
*** Info: account. This script will help you do so.
*** Info: You appear to be running Windows XP 64bit, Windows 2003 Server,
*** Info: or later. On these systems, it's not possible to use the LocalSystem
*** Info: account for services that can change the user id without an
*** Info: explicit password (such as passwordless logins [e.g. public key
*** Info: authentication] via sshd).
*** Info: If you want to enable that functionality, it's required to create
*** Info: a new account with special privileges (unless a similar account
*** Info: already exists). This account is then used to run these special
*** Info: servers.
*** Info: Note that creating a new user requires that the current account
*** Info: have Administrator privileges itself.
*** Info: No privileged account could be found.
*** Info: This script plans to use 'cyg_server'.
*** Info: 'cyg_server' will only be used by registered services.
*** Query: Do you want to use a different name? (yes/no) no
*** Query: Create new privileged user account 'cyg_server'? (yes/no) yes
*** Info: Please enter a password for new user cyg_server. Please be sure
*** Info: that this password matches the password rules given on your system.
*** Info: Entering no password will exit the configuration.
*** Query: Please enter the password:
*** Query: Reenter:
*** Info: User 'cyg_server' has been created with password 'XXXXXXXXXX'.
*** Info: If you change the password, please remember also to change the
*** Info: password for the installed services which use (or will soon use)
*** Info: the 'cyg_server' account.
*** Info: Also keep in mind that the user 'cyg_server' needs read permissions
*** Info: on all users' relevant files for the services running as 'cyg_server'.
*** Info: In particular, for the sshd server all users' .ssh/authorized_keys
*** Info: files must have appropriate permissions to allow public key
*** Info: authentication. (Re-)running ssh-user-config for each user will set
*** Info: these permissions correctly. [Similar restrictions apply, for
*** Info: instance, for .rhosts files if the rshd server is running, etc].
*** Info: The sshd service has been installed under the 'cyg_server'
*** Info: account. To start the service now, call `net start sshd' or
*** Info: `cygrunsrv -S sshd'. Otherwise, it will start automatically
*** Info: after the next reboot.
*** Info: Host configuration finished. Have fun!
-----------------------------------------------------------
さらに、「cyg_server」はWindowsログインに使用できる可視アカウントですが、「sshd」は隠されているようです。 SSHを適切に使用できるようにするには、もう3つ目のアカウントを追加する必要があるという結論に達しました。
EDIT-1:それだけでなく、sshdアカウントにもパスワードの有効期限が40日設定されていますインストールからパスワードを取得します( [〜#〜] wmic [〜#〜] に従って)。 (sshのセットアップ中に、このアカウントのパスワードの入力を求められることはありませんでした。)
実行中:wmic useraccount get AccountType,...,Status
:
AccountType Disabled Lockout Name PasswordChangeable PasswordExpires PasswordRequired Status
512 FALSE FALSE cyg_server TRUE FALSE TRUE OK
512 TRUE FALSE sshd TRUE TRUE TRUE Degraded
およびNet User sshd
:
User name sshd
Full Name sshd privsep
Comment
User's comment
Country/region code 000 (System Default)
Account active No
Account expires Never
Password last set 2014-03-01 23:20:19
Password expires 2014-04-12 23:20:19
Password changeable 2014-03-01 23:20:19
Password required Yes
User may change password Yes
Workstations allowed All
Logon script
User profile
Home directory C:\cygwin64\var\empty
Last logon Never
Logon hours allowed All
Local Group Memberships *Users
Global Group memberships *None
The command completed successfully.
これにより、これについてさらに2つの質問が開かれます。
EDIT-2:Cygwin開発者リストに到達できなかったため、自分でさらに調査する必要がありました。これまでのところ、質問1に対する答えはありませんが、セットアップに使用されるssh-Host-configスクリプトには他にもいくつかの問題があります。つまり、sshdとcyg_serverの両方のアカウントをいつでも削除し、その設定を参考にして適切な管理者アカウントを1つ設定することができます。
質問2:Windows 8.1のデフォルトのパスワードの有効期限は42日に設定されています。これは、通常のWindowsツール(UI、WMIC、ネットユーザーなど)を使用して、変更するか無効にする必要があります。
2019年更新:この回答と質問は廃止されました。Bill_Stewartの回答を参照してください。
man 5 sshd_config
UsePrivilegeSeparation
Specifies whether sshd separates privileges by creating an
unprivileged child process to deal with incoming network traffic.
After successful authentication, another process will be created
that has the privilege of the authenticated user. The goal of
privilege separation is to prevent privilege escalation by con-
taining any corruption within the unprivileged processes. The
default is "yes".
したがって、sshdには2種類のアカウントが必要です。
setuid
が可能な人。セットアップスクリプトは、通常のSYSTEMアカウントにはsetuid
特権がないため、追加の特権アカウントが必要であることを説明しています。
ssh-Host-config
が2つのユーザーアカウントを作成する理由については、ほとんどDanが回答しています。 setuid
に別のアカウントが必要な理由の詳細については、 ここでは、複雑なプロセスです を参照してください。
最初のサブ質問については、パスワードの有効期限のように、それもデフォルトであると思います-ssh-Host-configによって使用される/usr/share/csih/cygwin-service-installation-helper
では、ユーザーは次のように作成されます(Windows netコマンドを使用)。 ${unpriv_user}
は、選択したsshdなどの名前で、${dos_var_empty}
は/var/empty
へのWindows/DOSスタイルのパスです。
Net User "${unpriv_user}" /add /fullname:"${unpriv_user} privsep" \
"/homedir:${dos_var_empty}" /active:no
Microsoftのドキュメント は、パスワードが必要な場合、/passwordreq
のデフォルト値はyesであり、Windowsがデフォルトのパスワードを割り当てているようです(おそらくパスワードが特に/active:no
)が原因である可能性があります。
2番目のサブ質問では、2番目の編集で述べたように、少なくともWindows 8.1 Proのデフォルトは、42日後にパスワードの有効期限が切れているように見えますが、私のアカウントでは確かに有効になりませんOR新しいcyg_server
アカウント。これはおそらく同じ組み合わせが原因です-cyg_server
はパスワードを指定してアクティブになっていますが、sshdはパスワードを指定せずアクティブではありません(おそらくこれはアカウントがアクティブ化された場合に、パスワードが強制的に割り当てられるようにすることです。正確な詳細を知りたい場合は、有効期限切れ/パスワードを指定して同様のアカウントを作成し、何が起こるか確認してみます。
個別の無効なsshd
アカウントは実際にはCygwinでは使用されていません(1つの例外を除き、以下を参照)。これについてCygwinメーリングリストで質問しました。
Sshdを無効にしたユーザーアカウントは引き続き必要ですか?
Corinna Vinschen(Cygwinのメンテナー)は次のように応答しました:
いいえ、実際にはそうではありません。最近、sshdサーバーは、privsep chrrot [sic]環境を使用する必要があるかどうか、およびプロセスが「root:root」の下で開始されているかどうかを確認します。これはCygwinでは決して一致しないため、sshdユーザー要件を削除できます。
( https://cygwin.com/ml/cygwin/2019-01/msg00120.html を参照)
上記は、sshd
アカウントが厳密に必須ではないという点で正しいです。それでも必要なのは、sshd_config
のChrootDirectory
設定を使用してアカウントをSFTPのみに制限する場合だけです。
FWIW、私はOpenSSHのCygwinバージョン(およびrsync
を含む他のいくつかのツール)を構成する使いやすいインストーラーを提供するパッケージを作成しました。興味のある方はGitHubで公開しています:
https://github.com/Bill-Stewart/CygSSH
パッケージのドキュメントには、sshd
アカウントが使用される状況が記載されています。