在Ubuntu Server上创建一个新的SSH用户

刚刚创建了一个新的虚拟Ubuntu服务器，我正在对其进行强化以供生产使用。我目前有一个root帐户。我要执行以下操作：

• 创建一个新用户（jim其余部分称为它们）。我希望他们有一个/home/目录。
• 授予jimSSH访问权限。
• 允许jim以su根，但不执行sudo操作。
• 关闭根SSH访问。
• 将SSHd移至非标准端口以帮助阻止暴力攻击。

我的问题在于前两个项目。我已经找到了，useradd但是由于某种原因，我无法以通过SSH创建的用户身份登录。我是否需要击败SSHd才能做到这一点？

编辑（以root身份）/etc/ssh/sshd_config。附加以下内容：

Port 1234
PermitRootLogin no
AllowUsers jim

Port 1234导致SSH侦听端口1234。您可以使用1到65535之间的任何未使用端口。建议选择特权端口（端口1-1024），该特权端口只能由root用户使用。如果您的SSH守护程序由于某种原因停止工作，那么恶意应用程序将无法拦截该连接。

PermitRootLogin 禁止直接root登录。

AllowUsers jim允许用户jim通过SSH登录。如果不必从任何地方登录，可以通过将jim限制为IP地址（用实际IP地址替换1.2.3.4）来提高安全性：

AllowUsers jim@1.2.3.4

/etc/ssh/sshd_config不会立即应用对配置文件的更改，要重新加载配置，请运行：

sudo service ssh reload

SSH对于目录和文件权限非常挑剔。确保：

1. 目录/home/username/.ssh的权限为“ 700”，归用户所有（不是root！）。
2. / home / username / ssh / authorized_keys的权限为“ 600”，并归用户所有

将您的公钥复制到authorized_keys文件中。

sudo chown -R username:username /home/username/.ssh
sudo chmod 0700 /home/username/.ssh
sudo chmod 0600 /home/username/.ssh/authorized_keys

有否需要将用户添加到/ etc / SSH / ssh_config中。

会有线索/var/log/auth.log说明为什么SSH（或PAM）拒绝登录尝试。通过将-v选项与ssh客户端一起使用，可以找到其他线索。几种常见情况，另一些回答中提到：

• 用户帐户缺少密码，或者被禁用（请参阅man passwd，尝试重设密码或检查的内容/etc/shadow）。
• /etc/ssh/sshd_config配置为不允许登录（DenyUsers，AllowUsers，PasswordAuthentication，PubkeyAuthentication，UsePAM等，见man sshd_config）。
• 用户的外壳未在中列出/etc/shells。
• ：SSH相关操作上的目录或文件的各种权限问题/etc/ssh，/home/jim/.ssh，/home/jim/.ssh/*，等。

我还建议使用adduser（而不是useradd）添加新用户；它对各种默认帐户设置更为友好。

只要用户不属于该admin组，他们将无法sudo到root。为了使他们使用su，您需要设置root密码（passwd root），然后建议PermitRootLogin=no在中设置/etc/ssh/sshd_config。

我可能是错的，但是我总是必须先安装服务器守护程序，然后才能连接（至少在台式机上）默认情况下已安装ssh，但这仅是客户端

此命令安装服务器

sudo apt-get install openssh-server

您可以通过编辑来更改端口并停止root登录

/etc/ssh/sshd_config

但是，这需要您重新启动服务。

sudo service ssh restart

在您设置密码之前，Jim将无法使用SSH访问。以root身份执行：

grep -i "jim" /etc/shadow | awk -F':' '{ print $2 }'

如果此命令返回“！” 字符，则该帐户的登录名被禁用。passwd jim以root用户身份执行将提示您输入一个新的并确认的密码字符串，此后，上面的grep命令应返回一个表示jim密码的哈希字符串。

另外，请确保验证jim是否具有登录外壳程序（默认设置）以及存在的主目录。

请注意lekensteyn的帖子，以获取有关修改SSH服务器设置的信息。

在我的情况下，我有一个允许访问的组，而用户不属于该组。这为我解决了。

将上面的示例与用户一起使用，jim并假设组的成员是jim唯一的组（groups登录时发出命令jim以查找您所属的组）。在我的/etc/ssh/sshd_config文件中，我有AllowGroups sshusers条目，因此需要添加jim到sshusers组中。以下是如何实现此目的：

usermod -a -G sshusers jim

根据您的配置替换组和用户。

在某些情况下，PasswordAuthentication默认情况下会禁用。

请检查/etc/ssh/sshd_config并确保将PasswordAuthentication属性设置为yes。

@Lekensteyn我无法对问题答案发表评论，因为我没有声誉-但我尝试附加

AllowUsers existingUser,newUser

到我的/ etc / ssh / sshd_config文件中，现在我再也不能同时使用我的existingUser或newUser了。