SSH 키 및 인증서 인증

네 단계로 구성을 완료합니다. 키／인증서 생성 → 장치 구성 → 클라우드 업로드 → 연결 검증.

준비 사항: 장치가 활성화되어 Online 상태이고 OpenSSH Server가 실행 중이어야 합니다. 플릿의 Master / Admin이 HTTPS를 통해 JelinaCloud를 구성합니다.

1단계: SSH 키 / OpenSSH 사용자 인증서 생성

일반 키 로그인은 사용자 키만 생성하면 됩니다. 인증서 로그인은 사용자 키를 먼저 생성한 뒤 사용자 인증서를 발급해야 합니다.

사용자 키 생성
사용자 인증서 발급

컴퓨터에 JelinaSSH 같은 빈 폴더를 새로 만들고 연 뒤, 운영체제에 맞는 터미널을 열어 실행합니다.

Windows
Linux

폴더 주소 표시줄에 powershell를 입력하고 Enter를 누른 뒤 실행합니다.

ssh-keygen -t ed25519 -a 64 -f jelina_operator -C "JelinaCloud-operator"

명령을 찾을 수 없다면 Windows의 「선택적 기능」에서 「OpenSSH 클라이언트」를 설치하고 PowerShell을 다시 엽니다.

폴더의 빈 공간을 마우스 오른쪽 버튼으로 클릭하여 「터미널에서 열기」를 선택한 뒤 실행합니다.

ssh-keygen -t ed25519 -a 64 -f jelina_operator -C "JelinaCloud-operator"

명령을 찾을 수 없다면 OpenSSH 클라이언트를 먼저 설치합니다. Ubuntu / Debian은 openssh-client, Fedora / RHEL은 openssh-clients입니다.

Enter passphrase가 표시되면 개인 키 암호문구를 설정하고, Enter same passphrase again에서 다시 입력합니다. 입력한 문자는 표시되지 않습니다. 암호문구를 설정하지 않으려면 두 번 모두 Enter를 누릅니다. Overwrite (y/n)?가 표시되면 n을 입력하여 기존 파일을 보존합니다.

완료되면 현재 폴더에 다음 파일이 생성됩니다.

파일	용도와 사용 위치
`jelina_operator`(확장자 없음)	로그인용 사용자 개인 키. 클라우드 개인 키 필드에 업로드
`jelina_operator.pub`	사용자 공개 키. 일반 키 로그인 시 장치에 내용을 추가하고, 인증서 로그인 시 CA에 전달하여 발급 요청

장치에서 RSA 키를 요구하는 경우

다음 명령을 대신 사용합니다. Windows / Linux 공통입니다.

ssh-keygen -t rsa -b 3072 -a 64 -f jelina_operator_rsa -C "JelinaCloud-operator"

jelina_operator_rsa와 jelina_operator_rsa.pub이 생성됩니다. 이후 단계에서도 이 파일 이름을 사용합니다.

jelina_operator.pub를 기존 CA 관리자에게 전달하여 발급받습니다. 직접 발급하려면 관리 컴퓨터의 현재 폴더에 해당 공개 키를 준비하고 아래 명령을 순서대로 실행합니다.

Windows
Linux

CA 키를 생성하고 안내에 따라 암호문구를 설정·확인합니다. 기존 CA가 있으면 이 단계를 건너뛰고 이후 실제 CA 파일을 사용합니다.

ssh-keygen -t ed25519 -a 64 -f ca_ed25519 -C "JelinaCloud-customer-CA"

사용자 인증서를 발급하고 안내에 따라 CA 개인 키의 암호문구를 입력합니다.

ssh-keygen -s ca_ed25519 -I operator-access-001 -z 1 -n ops-alice -V "-1m:+8h" jelina_operator.pub

CA 키를 생성하고 안내에 따라 암호문구를 설정·확인합니다. 기존 CA가 있으면 이 단계를 건너뛰고 이후 실제 CA 파일을 사용합니다.

ssh-keygen -t ed25519 -a 64 -f ca_ed25519 -C "JelinaCloud-customer-CA"

사용자 인증서를 발급하고 안내에 따라 CA 개인 키의 암호문구를 입력합니다.

ssh-keygen -s ca_ed25519 -I operator-access-001 -z 1 -n ops-alice -V "-1m:+8h" jelina_operator.pub

Signed user key가 표시되면 완료된 것입니다. 관련 파일은 다음과 같습니다.

파일	용도와 사용 위치
`ca_ed25519`	발급용 CA 개인 키. 발급자만 보관하며 클라우드나 장치에 업로드하지 않음
`ca_ed25519.pub`	장치가 해당 CA를 신뢰하도록 하는 CA 공개 키. 2단계에 따라 내용 추가
`jelina_operator-cert.pub`	사용자 인증서. 사용자 개인 키와 함께 클라우드에 업로드

이 예제의 주체는 ops-alice이며 인증서는 발급 후 8시간 뒤 만료됩니다. -V "-1m:+8h"를 -V "-1m:+7d" 같은 유한한 기간으로 변경할 수 있습니다. 일련번호 -z 1은 발급자가 할당하고 기록합니다. 인증서 내용을 확인합니다.

ssh-keygen -L -f jelina_operator-cert.pub

2단계: 장치 구성

JelinaOS(Linux) 장치에서 실제 로그인 계정의 authorized_keys를 편집합니다. 예제에서는 operator를 사용하므로 장치에 존재하는 계정으로 바꾸세요.

로그인 계정	권한 파일 위치
`operator`, 홈 디렉터리 `/home/operator`	`/home/operator/.ssh/authorized_keys`
`root`	`/root/.ssh/authorized_keys`

파일이 없으면 먼저 생성합니다. .ssh 디렉터리 권한은 700, 파일 권한은 600이며 소유자는 대상 계정이어야 합니다. 기존 내용을 보존하고 끝에 새 줄을 추가하여 권한을 덧붙입니다. 인증서 파일을 장치에 복사할 필요는 없습니다.

SSH 키
OpenSSH 사용자 인증서

컴퓨터에서 텍스트 편집기로 **jelina_operator.pub**를 열고 한 줄 전체를 복사하여 위 권한 파일의 끝에 붙여넣습니다.

ssh-ed25519 <사용자_공개키_Base64> JelinaCloud-operator

자리표시자를 복사하지 말고 파일의 실제 내용을 사용하세요. RSA 공개 키는 ssh-rsa로 시작하며 마찬가지로 한 줄 전체를 복사합니다.

텍스트 편집기로 **ca_ed25519.pub**를 열어 한 줄 전체를 복사합니다. 권한 파일의 끝에 먼저 다음 접두사를 입력하고 공백 하나를 넣은 뒤 CA 공개 키를 붙여넣습니다.

cert-authority,principals="ops-alice",no-agent-forwarding

최종 결과는 한 줄이어야 합니다.

cert-authority,principals="ops-alice",no-agent-forwarding ssh-ed25519 <CA_공개키_Base64> JelinaCloud-customer-CA

자리표시자를 실제 CA 공개 키 내용으로 바꿉니다. ops-alice는 발급할 때의 -n와 같아야 합니다. 장치에 추가하는 것은 CA 공개 키와 권한 접두사이며, 사용자 인증서와 사용자 개인 키는 다음 단계에서 클라우드에 업로드합니다.

Windows에서는 공개 키 파일을 마우스 오른쪽 버튼으로 클릭하고 「연결 프로그램 → 메모장」을 선택할 수 있습니다. authorized_keys만 수정하면 일반적으로 SSH를 재시작할 필요가 없습니다. 사용자 지정 권한 경로는 장치 구성을 따릅니다.

3단계: JelinaCloud 구성 및 자격 증명 업로드

자격 증명 업로드

플릿의 「원격 접속 관리 → 키 관리」 또는 장치의 「원격 접속 관리」를 열고 「SSH 자격 증명 추가」를 클릭합니다.
이름과 장치 시스템 계정(예: operator 또는 root)을 입력하고 인증 방식을 선택한 뒤 파일을 업로드합니다.

인증 방식	업로드 내용
SSH 키	개인 키 필드: `jelina_operator`
OpenSSH 사용자 인증서	개인 키 필드: `jelina_operator`, 사용자 인증서 필드: `jelina_operator-cert.pub`

개인 키에 암호문구가 있으면 사용자 개인 키 암호문구를 입력하고, 사용 가능한 구성원과 기본 항목을 설정한 뒤 저장합니다.

공유 자격 증명은 플릿에, 단일 장치 전용 자격 증명은 장치에 저장합니다. CA 개인 키는 업로드하지 않습니다. 저장한 뒤 호스트 신원 확인을 계속 진행합니다.

장치 호스트 신원 확인

호스트 공개 키는 대상 장치를 확인하는 용도로 사용되며 사용자 키나 CA와 다릅니다. 장치에서 기존 공개 키를 읽습니다.

cat /etc/ssh/ssh_host_*_key.pub

장치의 「원격 접속 관리 → 장치 호스트 신원」에서 한 줄씩 등록하고 해당하는 전체 SHA256: 지문을 대조합니다. 일치하면 「검증 및 확인」을 클릭합니다. 장치가 여러 지원 알고리즘을 제공하면 각각 등록하고 검증합니다.

장치 호스트 공개 키 지문 확인

장치 로컬 또는 신뢰할 수 있는 관리 채널에서 실제 존재하는 파일별로 실행합니다. 없는 파일은 건너뜁니다.

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub -E sha256

ssh-keygen -lf /etc/ssh/ssh_host_ecdsa_key.pub -E sha256

ssh-keygen -lf /etc/ssh/ssh_host_rsa_key.pub -E sha256

장치를 재설치하거나 호스트 키가 변경되면 지문을 다시 검증합니다.

4단계: 자격 증명 선택 후 로그인 및 검증

장치 개요 → 「원격 데스크톱」을 열고 「SSH」를 선택한 뒤 장치 시스템 계정을 입력합니다.
「SSH 키」 또는 「OpenSSH 사용자 인증서」를 선택한 뒤 저장된 자격 증명을 선택합니다.
유휴 시 연결 종료와 최대 연결 시간을 확인하고 「연결」을 클릭합니다. 파일을 다시 업로드하거나 개인 키 암호문구를 입력할 필요가 없습니다.
터미널이 나타나면 다음 명령을 실행하여 예상한 장치 계정이 반환되는지 확인합니다.

whoami

동일한 계정과 인증 방식에서는 장치 자격 증명이 우선하며, 장치 구성이 없을 때만 플릿 항목을 사용합니다. 장치 자격 증명이 만료·비활성화·폐기되었거나 사용 권한이 없으면 자동으로 대체하지 않습니다.

인증서가 만료되면 다시 발급받고 키 관리에서 「키/인증서 갱신」을 클릭합니다. 플랫폼은 자동 갱신하거나 장치 권한을 수정하지 않습니다.

지원 형식과 자주 묻는 질문

사용자 키와 발급 CA는 Ed25519, RSA 2048～8192비트를 지원합니다. 사용자 개인 키는 OpenSSH-v1 형식이어야 하며 개인 키 또는 사용자 인증서 하나의 최대 크기는 64 KiB입니다.
사용자 인증서는 명시적인 유효기간과 비어 있지 않은 주체를 가져야 합니다. 서명은 Ed25519, RSA SHA-256 / SHA-512를 지원합니다. SHA-1, critical options, ECDSA 사용자 키, X.509 또는 SSH 호스트 인증서는 허용하지 않습니다.
호스트 공개 키는 Ed25519, ECDSA nistp256／384／521, RSA 2048～8192비트를 지원합니다. RDP와 VNC는 계속 암호 인증을 사용합니다.

문제	점검 사항
사용 가능한 자격 증명 없음	시스템 계정, 인증 방식, 사용 권한과 장치 재정의 여부
개인 키 또는 암호문구 오류	일치하는 사용자 개인 키를 업로드하고 해당 암호문구 입력. CA 개인 키로 대체할 수 없음
장치에서 인증서 거부	CA 권한 접두사, 인증서 주체, 유효기간, 장치 시간과 SSH 계정 제한
호스트 신원 미확인 또는 변경	실제 협상 알고리즘에 해당하는 장치 호스트 공개 키 재검증
연결 자동 종료	페이지에 표시된 유휴／최대 시간 제한, 인증서 유효기간과 장치 상태

추가 관리 안내는 원격 접속 관리를 참조하세요.