sshdでPublickeyをauthorized_keys以外から持ってくる

ちょっと某所で sshd でのPublickey Authentication時のPublickeyを~/.ssh/authorized_keys以外から持ってくる設定について聞かれたので、ちょっと調べてみた。

問題

AuthorizedKeysCommand に公開鍵を引っ張ってくるscriptを指定したんだけど、認証に失敗する
sshd_configに以下の記述
- AuthorizedKeysCommand /tmp/pubkey.sh
- AuthorizedKeysCommandUser hogehoge

pubkey.shは以下の通り

#!/bin/bash -e
echo "ssh-rsa AAAA........."

ssh -v の結果

Permission denied (publickey,gssapi-keyex,gssapi-with-mic).

sshdのlogを見ると、error: Unsafe AuthorizedKeysCommand “/tmp/pubkey.sh”: bad ownership or modes for file /tmp/pubkey.sh が/var/log/auth.logに出力されていた
色々調べてみると、以下が判明
- sshdは以下の条件のうち一つでも満たすと、上記エラーを吐く
  1. 他人に書き換えられる可能性のあるDirectoryに設置されている(/tmpとかはやばい)
  2. Ownerがrootではない
  3. Owner以外が書き換えることができる(g+wとかo+wだとまずい)
  4. AuthorizedKeysCommandUser に指定されたUser Accountで実行できない
というわけで、以下のように修正
- Scriptを/usr/local/bin/pubkey.shに設置
- AuthorizedKeysCommand /usr/local/bin/pubkey.sh としてsshd_configに設定
- chmod 750 /usr/local/bin/pubkey.sh を実行
- chown root:nobody /usr/local/bin/pubkey.sh を実行
- sshdを再起動