38

由于 /var/log/secure 中的以下错误（根据调试日志），我无法登录 SSH：

Dec 19 18:01:05 hostname sshd[25119]: debug1: trying public key file /root/.ssh/authorized_keys
Dec 19 18:01:05 hostname sshd[25119]: debug1: Could not open authorized keys '/root/.ssh/authorized_keys': Permission denied

我在 root 上设置了以下权限

chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys
chmod go-wrx ~

ls -lah 为这些目录提供以下输出：

drwx------.   6 root root 4.0K Dec 19 17:46 root
drwx------.  2 root root 4.0K Dec 19 17:41 .ssh
-rw-------. 1 root root  416 Dec 19 17:12 authorized_keys

我知道我使用的密钥是正确的，因为我只是用它设置了另一台服务器，没有任何问题。

我正在运行：CentOS 6.4 版（最终版）

我已经添加了我的 sshd 配置，以防其中有可能导致问题的错误配置：

#       $OpenBSD: sshd_config,v 1.80 2008/07/02 02:24:18 djm Exp $

# This is the sshd server system-wide configuration file.  See
# sshd_config(5) for more information.

# This sshd was compiled with PATH=/usr/local/bin:/bin:/usr/bin

# The strategy used for options in the default sshd_config shipped with
# OpenSSH is to specify options with their default value where
# possible, but leave them commented.  Uncommented options change a
# default value.

#Port 22
#AddressFamily any
#ListenAddress 0.0.0.0
#ListenAddress ::

# Disable legacy (protocol version 1) support in the server for new
# installations. In future the default will change to require explicit
# activation of protocol 1
Protocol 2

# HostKey for protocol version 1
#HostKey /etc/ssh/ssh_host_key
# HostKeys for protocol version 2
#HostKey /etc/ssh/ssh_host_rsa_key
#HostKey /etc/ssh/ssh_host_dsa_key

# Lifetime and size of ephemeral version 1 server key
#KeyRegenerationInterval 1h
#ServerKeyBits 1024

# Logging
# obsoletes QuietMode and FascistLogging
#SyslogFacility AUTH
SyslogFacility AUTHPRIV
LogLevel DEBUG

# Authentication:

#LoginGraceTime 2m
PermitRootLogin yes
StrictModes no
#MaxAuthTries 6
#MaxSessions 10

RSAAuthentication yes
PubkeyAuthentication yes
AuthorizedKeysFile      .ssh/authorized_keys
#AuthorizedKeysCommand none
#AuthorizedKeysCommandRunAs nobody

# For this to work you will also need host keys in /etc/ssh/ssh_known_hosts
#RhostsRSAAuthentication no
# similar for protocol version 2
#HostbasedAuthentication no
# Change to yes if you don't trust ~/.ssh/known_hosts for
# RhostsRSAAuthentication and HostbasedAuthentication
#IgnoreUserKnownHosts no
# Don't read the user's ~/.rhosts and ~/.shosts files
IgnoreRhosts yes

# To disable tunneled clear text passwords, change to no here!
#PasswordAuthentication yes
#PermitEmptyPasswords no
PasswordAuthentication yes

# Change to no to disable s/key passwords
#ChallengeResponseAuthentication yes
ChallengeResponseAuthentication no

# Kerberos options
#KerberosAuthentication no
#KerberosOrLocalPasswd yes
#KerberosTicketCleanup yes
#KerberosGetAFSToken no
#KerberosUseKuserok yes

# GSSAPI options
#GSSAPIAuthentication no
GSSAPIAuthentication yes
#GSSAPICleanupCredentials yes
GSSAPICleanupCredentials yes
#GSSAPIStrictAcceptorCheck yes
#GSSAPIKeyExchange no

# Set this to 'yes' to enable PAM authentication, account processing,
# and session processing. If this is enabled, PAM authentication will
# be allowed through the ChallengeResponseAuthentication and
# PasswordAuthentication.  Depending on your PAM configuration,
# PAM authentication via ChallengeResponseAuthentication may bypass
# the setting of "PermitRootLogin without-password".
# If you just want the PAM account and session checks to run without
# PAM authentication, then enable this but set PasswordAuthentication
# and ChallengeResponseAuthentication to 'no'.
#UsePAM no
UsePAM yes

# Accept locale-related environment variables
AcceptEnv LANG LC_CTYPE LC_NUMERIC LC_TIME LC_COLLATE LC_MONETARY LC_MESSAGES
AcceptEnv LC_PAPER LC_NAME LC_ADDRESS LC_TELEPHONE LC_MEASUREMENT
AcceptEnv LC_IDENTIFICATION LC_ALL LANGUAGE
AcceptEnv XMODIFIERS

#AllowAgentForwarding yes
#AllowTcpForwarding yes
#GatewayPorts no
#X11Forwarding no
X11Forwarding yes
#X11DisplayOffset 10
#X11UseLocalhost yes
#PrintMotd yes
#PrintLastLog yes
#TCPKeepAlive yes
#UseLogin no
#UsePrivilegeSeparation yes
#PermitUserEnvironment no
#Compression delayed
#ClientAliveInterval 0
#ClientAliveCountMax 3
#ShowPatchLevel no
UseDNS no
#PidFile /var/run/sshd.pid
#MaxStartups 10:30:100
#PermitTunnel no
#ChrootDirectory none

# no default banner path
#Banner none

# override default of no subsystems
Subsystem       sftp    /usr/libexec/openssh/sftp-server

# Example of overriding settings on a per-user basis
#Match User anoncvs
#       X11Forwarding no
#       AllowTcpForwarding no
#       ForceCommand cvs server

任何想法将不胜感激。

4

12 回答 12

108

如果权限正确，SELinux 可能仍会阻止 sshd 打开文件。

尝试修复 .ssh 目录（可能还有 $HOME）中的标签：

restorecon -FRvv ~/.ssh

（我故意不建议禁用 SELinux 或将其设置为许可模式。）

于 2013-12-28T19:59:32.430 回答
14

如果启用 SELinux：

$ getenforce
Enforcing

临时启用 pub-key ssl 登录到非标准用户主目录位置运行：

$ sudo chcon -t ssh_home_t /srv/jenkins/.ssh/authorized_keys /srv/jenkins/.ssh

$ ls -ldZ /srv/jenkins/.ssh/authorized_keys /srv/jenkins/.ssh/
drwxr-xr-x. jenkins jenkins system_u:object_r:ssh_home_t:s0  /srv/jenkins/.ssh/
-rw-r--r--. jenkins jenkins system_u:object_r:ssh_home_t:s0  /srv/jenkins/.ssh/authorized_keys

有关详细信息，请参阅https://linux.die.net/man/8/ssh_selinux。

要使 SELinux 设置永久运行：

$ sudo semanage fcontext -a -t ssh_home_t /srv/jenkins/.ssh/authorized_keys
$ sudo semanage fcontext -a -t ssh_home_t /srv/jenkins/.ssh
$ sudo restorecon -R -v /srv/jenkins/.ssh/

如果您使用的是现代 RHEL、Oracle Linux、CentOS，您就可以做到这一点。

于 2018-04-10T12:53:50.617 回答
9

我也在努力使用密钥身份验证。

无法打开授权密钥“/home/myUserName/.ssh/authorized_keys2”：权限被拒绝

当我来到这里时检查了上述所有内容（谷歌上的第一个链接）。我意识到这是一篇旧帖子，但我会在此处添加它，以防其他人遇到与我相同的问题并最终出现在这里。

我将 authorized_keys 文件的所有者设置为“root”，因此将其更改为：

chown myUserName authorized_keys2

为我解决了。

于 2016-02-13T12:30:55.850 回答
3

检查 /home 目录权限。它应该是

  • drwxr-xr-x. 9 root root 113 Jun 28 22:57 home

然后是您的主目录详细信息：

  • drwxr----- 5 user group 124 May 18 17:00 User drwx------ 2 user group 29 May 18 12:05 .ssh -rw------- 1 user group 2235 Jun 28 23:09 authorized_keys



我在日志中的错误信息

/var/log/secure > sshd[22565]：错误：收到与 XXXX 的断开连接：14：没有支持的身份验证方法可用 [preauth]

在客户端

ssh user@X.X.X.X Permission denied (publickey). ssh -vvv user@X.X.X.X ... debug2: we did not send a packet, disable method debug1: No more authentication methods to try. Permission denied (publickey).
在服务器端

  • service sshd stop

  • 运行 sshd 调试模式：

  • /usr/sbin/sshd -ddd

    ... debug1: trying public key file /home/USER/.ssh/authorized_keys debug1: Could not open authorized keys '/home/USER/.ssh/authorized_keys': Permission denied ...

于 2018-06-29T09:07:47.180 回答
3

我已经用这个废话花了好几个小时了。阅读大量关于该问题的有启发性的解决方案，这里是他们都没有说清楚的内容的总结。

总结。

以下适用于这些文件：

  • ~/.ssh/
  • ~/.ssh/authorized_keys

所有权

所有者和组必须是登录用户。

权限

组和公共权限必须设置为0（无权限）。是的！sshd默认情况下认为你很愚蠢。

当然，必须允许所有者阅读。

笔记。即使不打开文件是应用程序策略，诸如此类的权限也会777给出与 相同的错误。000这可能是整个努力过程中最大的混乱来源。

用户

所有日志记录用户都必须存在。通过记录用户，我们的意思是：

  • 使用 url 发送的用户ssh root@localhost
  • 或者，公钥中的用户存在于客户端计算机上（~/.ssh/id_rsa.pub在客户端中，而不是在服务器中）
于 2020-04-22T16:05:02.157 回答
0

有几个想法要检查：

  • 你可以 catauthorized_keys 吗？文件长什么样？
  • 您的 sshd 是否配置为允许 root 登录？这通常是不受欢迎的，
  • 您是以 root 身份还是以 sudoer 身份执行此操作？
于 2013-12-19T18:24:52.083 回答
0

  1. 不要chmod做~/.ssh/...。尝试写出确切的路径：/root/.ssh/...，因为有时（使用su等时），~可能设置不正确。再次检查并发布完整路径的权限，而不~在命令中使用。

  2. 一旦你完全确定权限没问题，检查你sshd是否真的在用户 root: 下运行ps -A u | grep sshd。

于 2013-12-23T20:35:07.583 回答
0

需要仔细检查的几件事：

  1. 您确定将 PUBLIC 密钥复制到了 authorized_keys，而不是私钥？:-)
  2. 做cat -tv authorized_keys。^M每行末尾有字符吗？做dos2unix一个authorized_keys
  3. 进行配置更改后是否重新启动了 ssh 守护进程？
于 2013-12-26T16:20:57.590 回答
0

我遇到了同样的问题，并通过同时更改 .ssh 和 authorized_keys 的所有者来解决它： chown MyUsername:Myusername .ssh chown MyUsername:Myusername .ssh/authorized_keys

感谢@niclaslindgren。

顺便说一句，无论authorized_keys中是否有^M，我已经测试并证明了它，它适用于两种方式

于 2017-07-06T02:21:08.083 回答
0

我也将在这里提出我的答案，因为我刚刚浪费了最后一个小时试图找出解决方法，而我之前在 Azure 上浪费了一个小时。

这不起作用：

AuthorizedKeyFiles ~/.ssh/authorized_keys

/usr/sbin/sshd -ddd -p 12345在使用上述配置时，使用备用端口（即）生成服务器端日志会显示以下内容：

debug1: trying public key file /root/.ssh/authorized_keys
debug1: Could not open authorized keys '/root/.ssh/authorized_keys': Permission denied

但是，其中任何一个都是正确的：

AuthorizedKeyFiles /home/%u/.ssh/authorized_keys

AuthorizedKeyFiles .ssh/authorized_keys

另见：https ://www.ssh.com/ssh/authorized_keys/openssh

于 2019-11-03T07:12:30.163 回答
0

对我来说，它也在authorized_keys改变所有权，但不仅仅是目录的所有权：.sdd

chown -R user:user ./home/user/.ssd
于 2021-01-25T10:43:25.760 回答
0

就我而言，主目录位于 NFS 上，这意味着 ~/.ssh 也在 NFS 上。

找到了这个答案，并且确实运行以下（以root身份）解决了这个问题：

setsebool -P use_nfs_home_dirs 1
于 2021-05-20T09:36:14.893 回答