Autenticação por chaves e certificados SSH

Conclua a configuração em quatro etapas: gerar chaves/certificados → configurar o dispositivo → enviar à nuvem → validar a conexão.

Notas de configuração

Os procedimentos abaixo são exemplos. Você pode reutilizar arquivos e autorizações já existentes. Todos os arquivos gerados pelos comandos ficam no diretório atual. A plataforma não emite nem renova certificados automaticamente.

Pré-requisitos: dispositivo ativado, Online e com OpenSSH Server em execução; configuração do JelinaCloud por um Master ou Admin da frota via HTTPS.

Etapa 1: gerar chaves SSH ou certificados de usuário OpenSSH

Para login comum por chave, basta gerar o par de chaves do usuário. Para login por certificado, gere primeiro o par de chaves e depois emita o certificado do usuário.

Gerar chaves do usuário

Crie e abra uma pasta vazia no computador, como JelinaSSH. Abra o terminal adequado ao sistema e execute:

Windows

Digite powershell na barra de endereço da pasta, pressione Enter e execute:

ssh-keygen -t ed25519 -a 64 -f jelina_operator -C "JelinaCloud-operator"

Se o comando não for encontrado, instale “Cliente OpenSSH” em “Recursos opcionais” do Windows e abra novamente o PowerShell.

Linux

Clique com o botão direito em uma área vazia da pasta, selecione “Abrir no terminal” e execute:

ssh-keygen -t ed25519 -a 64 -f jelina_operator -C "JelinaCloud-operator"

Se o comando não for encontrado, instale primeiro o cliente OpenSSH: openssh-client no Ubuntu/Debian ou openssh-clients no Fedora/RHEL.

Quando aparecer Enter passphrase, defina a frase secreta da chave privada e repita-a em Enter same passphrase again. Os caracteres digitados não são exibidos. Para não usar frase secreta, pressione Enter nas duas solicitações. Se aparecer Overwrite (y/n)?, digite n para preservar o arquivo existente.

Ao concluir, os seguintes arquivos serão criados na pasta atual:

Arquivo	Finalidade e destino
jelina_operator (sem extensão)	Chave privada do usuário para login; enviar ao campo de chave privada na nuvem
jelina_operator.pub	Chave pública do usuário; adicionar seu conteúdo ao dispositivo para login por chave ou entregá-la à CA para emissão do certificado

Quando o dispositivo exige uma chave RSA

Use o comando abaixo, válido para Windows e Linux:

ssh-keygen -t rsa -b 3072 -a 64 -f jelina_operator_rsa -C "JelinaCloud-operator"

Serão gerados jelina_operator_rsa e jelina_operator_rsa.pub. Utilize esses nomes de arquivo nas etapas seguintes.

Emitir o certificado do usuário

Entregue jelina_operator.pub ao administrador da CA existente para emissão. Se você for emitir o certificado, coloque essa chave pública na pasta atual do computador de administração e execute os comandos abaixo em ordem.

Windows

1. Gere as chaves da CA e defina e confirme a frase secreta quando solicitado. Se já houver uma CA, pule esta etapa e use seus arquivos reais nas seguintes.

ssh-keygen -t ed25519 -a 64 -f ca_ed25519 -C "JelinaCloud-customer-CA"

2. Emita o certificado do usuário, informando a frase secreta da chave privada da CA quando solicitado:

ssh-keygen -s ca_ed25519 -I operator-access-001 -z 1 -n ops-alice -V "-1m:+8h" jelina_operator.pub

Linux

1. Gere as chaves da CA e defina e confirme a frase secreta quando solicitado. Se já houver uma CA, pule esta etapa e use seus arquivos reais nas seguintes.

ssh-keygen -t ed25519 -a 64 -f ca_ed25519 -C "JelinaCloud-customer-CA"

2. Emita o certificado do usuário, informando a frase secreta da chave privada da CA quando solicitado:

ssh-keygen -s ca_ed25519 -I operator-access-001 -z 1 -n ops-alice -V "-1m:+8h" jelina_operator.pub

A mensagem Signed user key indica a conclusão. Os arquivos envolvidos são:

Arquivo	Finalidade e destino
ca_ed25519	Chave privada da CA, usada para emissão; mantida exclusivamente pelo emissor, sem envio à nuvem ou ao dispositivo
ca_ed25519.pub	Chave pública da CA, usada para estabelecer a confiança do dispositivo nessa CA; adicionar seu conteúdo conforme a etapa 2
jelina_operator-cert.pub	Certificado do usuário; enviar à nuvem junto com a chave privada do usuário

Neste exemplo, o principal é ops-alice, e o certificado expira 8 horas após a emissão. Você pode substituir -V "-1m:+8h" por outro prazo limitado, como -V "-1m:+7d". O número de série -z 1 é atribuído e registrado pelo emissor. Para consultar o conteúdo do certificado:

ssh-keygen -L -f jelina_operator-cert.pub

Etapa 2: configurar o dispositivo

No dispositivo JelinaOS (Linux), edite authorized_keys da conta que será efetivamente usada para login. Este exemplo usa operator; substitua por uma conta existente no dispositivo:

Conta de login	Local do arquivo de autorização
operator, com diretório pessoal /home/operator	/home/operator/.ssh/authorized_keys
root	/root/.ssh/authorized_keys

Crie o arquivo se ele não existir. O diretório .ssh deve ter permissão 700, o arquivo deve ter permissão 600 e ambos devem pertencer à conta de destino. Preserve o conteúdo existente e adicione a autorização em uma nova linha no final. Não é necessário copiar o certificado para o dispositivo.

Chaves SSH

Abra jelina_operator.pub no computador com um editor de texto, copie a linha completa e cole-a no final do arquivo de autorização indicado acima:

ssh-ed25519 <chave_pública_do_usuário_em_Base64> JelinaCloud-operator

Use o conteúdo real do arquivo, sem copiar os marcadores de posição. Chaves públicas RSA começam com ssh-rsa e também devem ser copiadas em uma única linha completa.

Certificado de usuário OpenSSH

Abra ca_ed25519.pub com um editor de texto e copie a linha completa. No final do arquivo de autorização, digite primeiro o prefixo abaixo, acrescente um espaço e cole a chave pública da CA:

cert-authority,principals="ops-alice",no-agent-forwarding

O resultado deve ficar na mesma linha:

cert-authority,principals="ops-alice",no-agent-forwarding ssh-ed25519 <chave_pública_da_CA_em_Base64> JelinaCloud-customer-CA

Substitua o marcador de posição pelo conteúdo real da chave pública da CA. ops-alice deve corresponder ao -n usado na emissão. No dispositivo, são adicionados a chave pública da CA e o prefixo de autorização. O certificado e a chave privada do usuário serão enviados à nuvem na próxima etapa.

No Windows, clique com o botão direito no arquivo de chave pública e selecione “Abrir com → Bloco de Notas”. Alterar apenas authorized_keys normalmente não exige reiniciar o SSH. Se houver um caminho de autorização personalizado, siga a configuração do dispositivo.

Etapa 3: configurar o JelinaCloud e enviar as credenciais

Enviar credenciais

1. Abra “Gestão do acesso remoto → Gestão de chaves” na frota, ou “Gestão do acesso remoto” no dispositivo, e clique em “Adicionar credencial SSH”.
2. Informe um nome e a conta do sistema no dispositivo, como operator ou root, selecione o método de autenticação e envie os arquivos:

Método de autenticação	Arquivos a enviar
Chave SSH	Campo de chave privada: jelina_operator
Certificado de usuário OpenSSH	Campo de chave privada: jelina_operator; campo de certificado de usuário: jelina_operator-cert.pub

3. Se a chave privada tiver uma frase secreta, preencha Frase secreta da chave privada do usuário. Defina os membros autorizados e a opção padrão e salve.

Salve credenciais compartilhadas na frota e credenciais exclusivas no dispositivo. Não envie a chave privada da CA. Após salvar, prossiga para a confirmação da identidade do host.

Confirmar a identidade do host do dispositivo

A chave pública do host identifica o dispositivo de destino e é diferente das chaves de usuário e da CA. Leia as chaves públicas existentes no dispositivo:

cat /etc/ssh/ssh_host_*_key.pub

Em “Gestão do acesso remoto → Identidade do host do dispositivo”, registre uma linha por vez e compare a impressão digital SHA256: completa correspondente. Se coincidir, clique em “Verificar e confirmar”. Se o dispositivo oferecer vários algoritmos suportados, registre e verifique cada um separadamente.

Consultar a impressão digital da chave pública do host

No próprio dispositivo ou por um canal de administração confiável, execute os comandos correspondentes aos arquivos existentes. Ignore os arquivos que não existirem:

ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub -E sha256

ssh-keygen -lf /etc/ssh/ssh_host_ecdsa_key.pub -E sha256

ssh-keygen -lf /etc/ssh/ssh_host_rsa_key.pub -E sha256

Após reinstalar o dispositivo ou alterar a chave do host, verifique novamente a impressão digital.

Etapa 4: selecionar as credenciais e validar o login

1. Abra Visão geral do dispositivo → “Área de trabalho remota”, selecione “SSH” e informe a conta do sistema no dispositivo.
2. Selecione “Chave SSH” ou “Certificado de usuário OpenSSH” e escolha a credencial salva.
3. Confira o tempo de inatividade e a duração máxima e clique em “Conectar”. Não é necessário reenviar arquivos nem informar novamente a frase secreta da chave privada.
4. Quando o terminal aparecer, execute o comando abaixo e confirme que ele retorna a conta esperada no dispositivo:

whoami

Para a mesma conta e método de autenticação, as credenciais do dispositivo têm prioridade. As credenciais da frota só são usadas quando não há uma configuração no dispositivo. Se a credencial do dispositivo estiver expirada, desativada, revogada ou sem permissão de uso, não haverá retorno automático às da frota.

Após o vencimento do certificado, emita outro e clique em “Atualizar chave/certificado” na gestão de chaves. A plataforma não renova certificados automaticamente nem altera autorizações no dispositivo.

Formatos suportados e problemas comuns

• Chaves de usuário e CAs emissoras aceitam Ed25519 e RSA de 2048 a 8192 bits. As chaves privadas de usuário devem estar no formato OpenSSH-v1; cada chave privada ou certificado de usuário pode ter até 64 KiB.
• Certificados de usuário devem ter validade explícita e principal não vazio. São aceitas assinaturas Ed25519 e RSA SHA-256/SHA-512. Não são aceitos SHA-1, critical options, chaves de usuário ECDSA, X.509 ou certificados de host SSH.
• Chaves públicas de host aceitam Ed25519, ECDSA nistp256/384/521 e RSA de 2048 a 8192 bits. RDP e VNC continuam usando senha.

Problema	O que verificar
Nenhuma credencial disponível	Conta do sistema, método de autenticação, permissões de uso e substituição pelas credenciais do dispositivo
Chave privada ou frase secreta incorreta	Envie a chave privada de usuário correspondente e informe sua frase secreta; não use a chave privada da CA
O dispositivo rejeita o certificado	Prefixo de autorização da CA, principal, validade, horário do dispositivo e restrições da conta SSH
Identidade do host não confirmada ou alterada	Verifique novamente a chave pública do host correspondente ao algoritmo efetivamente negociado
A conexão é encerrada automaticamente	Limites de inatividade e duração máxima exibidos, validade do certificado e estado do dispositivo

Consulte mais informações em gestão do acesso remoto.