SSH-Schlüssel- und Zertifikatsauthentifizierung

Die Einrichtung erfolgt in vier Schritten: Schlüssel oder Zertifikat erzeugen → Gerät konfigurieren → In die Cloud hochladen → Verbindung prüfen.

Hinweise zur Konfiguration

Die folgenden Schritte sind Konfigurationsbeispiele. Vorhandene Schlüssel, Zertifikate und Geräteberechtigungen können weiterverwendet werden. Alle mit den Befehlen erzeugten Dateien werden im aktuellen Verzeichnis gespeichert. Die Plattform stellt Zertifikate nicht automatisch aus und verlängert sie nicht automatisch.

Voraussetzungen: Das Gerät ist aktiviert, hat den Status Online und betreibt einen OpenSSH-Server. Ein Flotten-Master oder -Admin konfiguriert JelinaCloud über HTTPS.

Schritt 1: SSH-Schlüssel oder OpenSSH-Benutzerzertifikat erzeugen

Für die normale Schlüsselanmeldung genügt ein Benutzerschlüsselpaar. Für die Zertifikatsanmeldung müssen Sie zuerst das Benutzerschlüsselpaar erzeugen und danach das Benutzerzertifikat ausstellen.

Benutzerschlüssel erzeugen

Erstellen und öffnen Sie auf Ihrem Rechner einen leeren Ordner, beispielsweise JelinaSSH. Öffnen Sie entsprechend Ihrem Betriebssystem ein Terminal und führen Sie Folgendes aus:

Windows

Geben Sie in der Adressleiste des Ordners powershell ein und drücken Sie die Eingabetaste. Führen Sie anschließend Folgendes aus:

ssh-keygen -t ed25519 -a 64 -f jelina_operator -C "JelinaCloud-operator"

Falls der Befehl nicht gefunden wird, installieren Sie in den optionalen Windows-Features den „OpenSSH-Client“ und öffnen Sie PowerShell erneut.

Linux

Klicken Sie mit der rechten Maustaste auf eine freie Stelle im Ordner, wählen Sie „Im Terminal öffnen“ und führen Sie Folgendes aus:

ssh-keygen -t ed25519 -a 64 -f jelina_operator -C "JelinaCloud-operator"

Falls der Befehl nicht gefunden wird, installieren Sie zunächst den OpenSSH-Client: openssh-client unter Ubuntu / Debian beziehungsweise openssh-clients unter Fedora / RHEL.

Legen Sie bei Enter passphrase eine Passphrase für den privaten Schlüssel fest und wiederholen Sie sie bei Enter same passphrase again. Während der Eingabe werden keine Zeichen angezeigt. Wenn Sie keine Passphrase verwenden möchten, drücken Sie beide Male direkt die Eingabetaste. Erscheint Overwrite (y/n)?, geben Sie n ein, um vorhandene Dateien zu behalten.

Anschließend enthält der aktuelle Ordner folgende Dateien:

Datei	Zweck und Ziel
jelina_operator (ohne Erweiterung)	Privater Benutzerschlüssel für die Anmeldung; in das Feld für private Schlüssel in der Cloud hochladen
jelina_operator.pub	Öffentlicher Benutzerschlüssel; für normale Schlüsselanmeldung auf dem Gerät hinterlegen, für Zertifikatsanmeldung der CA zur Signierung übergeben

Wenn das Gerät einen RSA-Schlüssel benötigt

Verwenden Sie stattdessen folgenden Befehl, der unter Windows und Linux gilt:

ssh-keygen -t rsa -b 3072 -a 64 -f jelina_operator_rsa -C "JelinaCloud-operator"

Dabei entstehen jelina_operator_rsa und jelina_operator_rsa.pub. Verwenden Sie diese Dateinamen entsprechend in den folgenden Schritten.

Benutzerzertifikat ausstellen

Übergeben Sie jelina_operator.pub dem Administrator einer vorhandenen CA zur Signierung. Wenn Sie selbst signieren, legen Sie diesen öffentlichen Schlüssel im aktuellen Ordner des Verwaltungsrechners ab und führen Sie die folgenden Befehle der Reihe nach aus.

Windows

1. Erzeugen Sie ein CA-Schlüsselpaar und legen Sie nach Aufforderung eine Passphrase fest. Wenn bereits eine CA vorhanden ist, überspringen Sie diesen Schritt und verwenden Sie im weiteren Verlauf deren tatsächliche Dateien.

ssh-keygen -t ed25519 -a 64 -f ca_ed25519 -C "JelinaCloud-customer-CA"

2. Stellen Sie das Benutzerzertifikat aus und geben Sie nach Aufforderung die Passphrase des privaten CA-Schlüssels ein:

ssh-keygen -s ca_ed25519 -I operator-access-001 -z 1 -n ops-alice -V "-1m:+8h" jelina_operator.pub

Linux

1. Erzeugen Sie ein CA-Schlüsselpaar und legen Sie nach Aufforderung eine Passphrase fest. Wenn bereits eine CA vorhanden ist, überspringen Sie diesen Schritt und verwenden Sie im weiteren Verlauf deren tatsächliche Dateien.

ssh-keygen -t ed25519 -a 64 -f ca_ed25519 -C "JelinaCloud-customer-CA"

2. Stellen Sie das Benutzerzertifikat aus und geben Sie nach Aufforderung die Passphrase des privaten CA-Schlüssels ein:

ssh-keygen -s ca_ed25519 -I operator-access-001 -z 1 -n ops-alice -V "-1m:+8h" jelina_operator.pub

Die Meldung Signed user key bestätigt den Abschluss. Die beteiligten Dateien sind:

Datei	Zweck und Ziel
ca_ed25519	Privater CA-Schlüssel zur Signierung; verbleibt ausschließlich beim Aussteller und wird weder in die Cloud noch auf das Gerät hochgeladen
ca_ed25519.pub	Öffentlicher CA-Schlüssel, über den das Gerät dieser CA vertraut; Inhalt in Schritt 2 hinterlegen
jelina_operator-cert.pub	Benutzerzertifikat; gemeinsam mit dem privaten Benutzerschlüssel in die Cloud hochladen

In diesem Beispiel lautet der Principal ops-alice; das Zertifikat läuft 8 Stunden nach Ausstellung ab. Sie können -V "-1m:+8h" durch einen anderen begrenzten Zeitraum wie -V "-1m:+7d" ersetzen. Die Seriennummer -z 1 wird vom Aussteller vergeben und dokumentiert. Zertifikatsinhalt anzeigen:

ssh-keygen -L -f jelina_operator-cert.pub

Schritt 2: Gerät konfigurieren

Bearbeiten Sie auf dem JelinaOS-Gerät (Linux) die Datei authorized_keys des tatsächlichen Anmeldekontos. Im Beispiel wird operator verwendet; ersetzen Sie dies durch ein vorhandenes Gerätekonto:

Anmeldekonto	Speicherort der Berechtigungsdatei
operator mit Home-Verzeichnis /home/operator	/home/operator/.ssh/authorized_keys
root	/root/.ssh/authorized_keys

Legen Sie die Datei an, falls sie noch nicht existiert. Das Verzeichnis .ssh benötigt die Berechtigung 700, die Datei 600; Eigentümer muss das Zielkonto sein. Behalten Sie vorhandene Inhalte bei und fügen Sie die Berechtigung am Ende in einer neuen Zeile hinzu. Die Zertifikatsdatei muss nicht auf das Gerät kopiert werden.

SSH-Schlüssel

Öffnen Sie jelina_operator.pub auf Ihrem Rechner in einem Texteditor, kopieren Sie die vollständige Zeile und fügen Sie sie am Ende der genannten Berechtigungsdatei ein:

ssh-ed25519 <öffentlicher-Benutzerschlüssel-in-Base64> JelinaCloud-operator

Verwenden Sie den tatsächlichen Dateiinhalt und übernehmen Sie keine Platzhalter. Öffentliche RSA-Schlüssel beginnen mit ssh-rsa; kopieren Sie auch hier die vollständige Zeile.

OpenSSH-Benutzerzertifikat

Öffnen Sie ca_ed25519.pub in einem Texteditor und kopieren Sie die vollständige Zeile. Schreiben Sie am Ende der Berechtigungsdatei zunächst das folgende Präfix, dann ein Leerzeichen und anschließend den öffentlichen CA-Schlüssel:

cert-authority,principals="ops-alice",no-agent-forwarding

Das Ergebnis muss in einer einzigen Zeile stehen:

cert-authority,principals="ops-alice",no-agent-forwarding ssh-ed25519 <öffentlicher-CA-Schlüssel-in-Base64> JelinaCloud-customer-CA

Ersetzen Sie den Platzhalter durch den tatsächlichen öffentlichen CA-Schlüssel. ops-alice muss mit dem bei der Signierung angegebenen Wert von -n übereinstimmen. Auf dem Gerät werden der öffentliche CA-Schlüssel und das Berechtigungspräfix hinterlegt. Benutzerzertifikat und privater Benutzerschlüssel werden im nächsten Schritt in die Cloud hochgeladen.

Unter Windows können Sie mit der rechten Maustaste auf die öffentliche Schlüsseldatei klicken und „Öffnen mit → Editor“ wählen. Änderungen ausschließlich an authorized_keys erfordern normalerweise keinen SSH-Neustart. Bei abweichenden Berechtigungspfaden ist die Gerätekonfiguration maßgeblich.

Schritt 3: JelinaCloud konfigurieren und Zugangsdaten hochladen

Zugangsdaten hochladen

1. Öffnen Sie auf Flottenebene „Fernzugriffsverwaltung → Schlüsselverwaltung“ oder auf Geräteebene „Fernzugriffsverwaltung“. Klicken Sie auf „SSH-Zugangsdaten hinzufügen“.
2. Geben Sie Name und Systemkonto des Geräts, etwa operator oder root, an. Wählen Sie das Authentifizierungsverfahren und laden Sie die Dateien hoch:

Authentifizierungsverfahren	Hochzuladende Inhalte
SSH-Schlüssel	Feld für den privaten Schlüssel: jelina_operator
OpenSSH-Benutzerzertifikat	Privater Schlüssel: jelina_operator; Benutzerzertifikat: jelina_operator-cert.pub

3. Falls der private Schlüssel durch eine Passphrase geschützt ist, geben Sie die Passphrase des privaten Benutzerschlüssels an. Legen Sie berechtigte Mitglieder und gegebenenfalls den Standardeintrag fest und speichern Sie.

Gemeinsam verwendete Zugangsdaten werden auf Flottenebene, gerätespezifische auf Geräteebene gespeichert. Laden Sie den privaten CA-Schlüssel nicht hoch. Bestätigen Sie nach erfolgreichem Speichern die Hostidentität.

Gerätehostidentität bestätigen

Der öffentliche Hostschlüssel identifiziert das Zielgerät und ist von Benutzerschlüsseln und CA-Schlüsseln zu unterscheiden. Lesen Sie die vorhandenen öffentlichen Schlüssel auf dem Gerät aus:

cat /etc/ssh/ssh_host_*_key.pub

Erfassen Sie die Schlüssel zeilenweise unter „Fernzugriffsverwaltung → Gerätehostidentität“. Gleichen Sie die vollständigen zugehörigen SHA256:-Fingerabdrücke ab und klicken Sie bei Übereinstimmung auf „Prüfen und bestätigen“. Bietet das Gerät mehrere unterstützte Algorithmen an, erfassen und prüfen Sie diese separat.

Fingerabdrücke der öffentlichen Hostschlüssel anzeigen

Führen Sie die Befehle direkt auf dem Gerät oder über einen vertrauenswürdigen Verwaltungskanal für jede tatsächlich vorhandene Datei aus. Überspringen Sie nicht vorhandene Dateien:

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub -E sha256

ssh-keygen -lf /etc/ssh/ssh_host_ecdsa_key.pub -E sha256

ssh-keygen -lf /etc/ssh/ssh_host_rsa_key.pub -E sha256

Prüfen Sie die Fingerabdrücke nach einer Neuinstallation oder Änderung der Hostschlüssel erneut.

Schritt 4: Mit gespeicherten Zugangsdaten anmelden und prüfen

1. Öffnen Sie Geräteübersicht → „Remote-Desktop“, wählen Sie „SSH“ und geben Sie das Systemkonto des Geräts an.
2. Wählen Sie „SSH-Schlüssel“ oder „OpenSSH-Benutzerzertifikat“ und anschließend die gespeicherten Zugangsdaten.
3. Prüfen Sie die Trennung bei Inaktivität und die maximale Verbindungsdauer. Klicken Sie auf „Verbinden“. Dateien und Passphrase müssen nicht erneut angegeben werden.
4. Führen Sie im geöffneten Terminal folgenden Befehl aus und prüfen Sie, ob das erwartete Gerätekonto ausgegeben wird:

whoami

Bei gleichem Konto und Authentifizierungsverfahren haben gerätespezifische Zugangsdaten Vorrang. Nur wenn keine Gerätekonfiguration vorhanden ist, wird der Flotteneintrag verwendet. Bei abgelaufenen, deaktivierten, widerrufenen oder nicht nutzungsberechtigten Geräteeinträgen erfolgt kein automatischer Rückfall.

Lassen Sie nach Ablauf ein neues Zertifikat ausstellen und wählen Sie in der Schlüsselverwaltung „Schlüssel/Zertifikat aktualisieren“. Die Plattform verlängert Zertifikate nicht automatisch und verändert keine Geräteberechtigungen.

Unterstützte Formate und häufige Probleme

• Benutzer- und CA-Schlüssel unterstützen Ed25519 sowie RSA mit 2048 bis 8192 Bit. Private Benutzerschlüssel müssen im Format OpenSSH-v1 vorliegen. Jede private Schlüsseldatei und jedes Benutzerzertifikat darf höchstens 64 KiB groß sein.
• Benutzerzertifikate benötigen einen ausdrücklich festgelegten Gültigkeitszeitraum und einen nicht leeren Principal. Unterstützte Signaturen sind Ed25519 sowie RSA SHA-256 / SHA-512. Nicht akzeptiert werden SHA-1, critical options, ECDSA-Benutzerschlüssel, X.509- oder SSH-Hostzertifikate.
• Öffentliche Hostschlüssel unterstützen Ed25519, ECDSA nistp256/384/521 und RSA mit 2048 bis 8192 Bit. RDP und VNC verwenden weiterhin Passwortauthentifizierung.

Problem	Prüfen
Keine verfügbaren Zugangsdaten	Systemkonto, Authentifizierungsverfahren, Nutzungsrechte und Vorrang gerätespezifischer Einträge
Privater Schlüssel oder Passphrase falsch	Passenden privaten Benutzerschlüssel hochladen und dessen Passphrase angeben; der private CA-Schlüssel ist kein Ersatz
Gerät lehnt Zertifikat ab	CA-Berechtigungspräfix, Zertifikats-Principals, Gültigkeitszeitraum, Gerätezeit und SSH-Kontobeschränkungen
Hostidentität unbestätigt oder geändert	Öffentlichen Hostschlüssel für den tatsächlich ausgehandelten Algorithmus erneut prüfen
Verbindung wird automatisch getrennt	Angezeigtes Leerlauf- oder Zeitlimit, Zertifikatsgültigkeit und Gerätestatus

Weitere Hinweise finden Sie unter Fernzugriffsverwaltung.