Hilfe

Schlüssel erzeugen und hinterlegen

Auf Ihrem Rechner (Linux, macOS oder Windows-Terminal):

ssh-keygen -t ed25519 -C "rechner-1"

Dabei entstehen zwei Dateien: ~/.ssh/id_ed25519 (privat – bleibt auf Ihrem Rechner) und ~/.ssh/id_ed25519.pub (öffentlich). Laden Sie unter „Meine Schlüssel“ nur die Datei mit Endung .pub hoch oder fügen Sie deren Inhalt ein. Für jeden Rechner einen eigenen Schlüssel anlegen.

Den Fingerprint eines Schlüssels prüfen Sie mit ssh-keygen -lf ~/.ssh/id_ed25519.pub; er muss mit der Anzeige hier übereinstimmen.

Drei getrennte Zugänge

• Diese Webseite: Anmeldung mit Ihrem Google-Konto. Das Google-Passwort geben Sie nur bei Google ein.
• Download-Zugang (setup): nur für den Abruf auf den Servern, ausschließlich lesend.
• Linux-Zugang: Anmeldung per SSH-Schlüssel; sudo verlangt Ihr persönliches Passwort auf dem jeweiligen Server.

Ein Wechsel des Google- oder Download-Passworts ändert keine Linux-Passwörter.

Server einrichten und aktualisieren

Administratoren finden unter „Server“ für jeden Zielserver den Einrichtungsbefehl. Er wird als root ausgeführt, lädt das Einrichtungsskript nach /root/nf-start und startet es nur nach erfolgreichem Download. Das Skript installiert sich als /usr/local/sbin/netzfabrik-ssh.

• netzfabrik-ssh sync – neue Schlüssel übernehmen (ändert keine Passwörter, keine sudo-Regeln)
• netzfabrik-ssh setup – neu freigegebene Personen interaktiv einrichten
• netzfabrik-ssh status – Zuordnung und eingetragene Schlüssel anzeigen

Nach der Einrichtung die bestehende Root-Sitzung offen lassen und in einem zweiten Terminal ssh BENUTZER@SERVER und sudo -i testen.

Schlüssel widerrufen

Ein hier entfernter Schlüssel wird nicht mehr ausgeliefert, bleibt aber auf bereits eingerichteten Servern gültig. Bewusster Widerruf:

1. Ersatz-Zugang einrichten: neuen Schlüssel hinterlegen und auf den Servern netzfabrik-ssh sync ausführen.
2. Anmeldung und sudo testen – mit dem neuen Schlüssel, in einem zweiten Terminal.
3. Alten Schlüssel auf allen betroffenen Servern entfernen (als root):

   netzfabrik-ssh revoke SHA256:…fingerprint…

   Der Befehl entfernt den Schlüssel bei allen eingerichteten Netzfabrik-Benutzern und legt vorher eine Sicherung an. netzfabrik-ssh sync listet Schlüssel, die nicht mehr ausgeliefert werden.
4. Sicherungen berücksichtigen: Die Sicherungen unter /var/backups/netzfabrik-ssh/ enthalten den alten Schlüssel weiterhin; nach erfolgreichem Test können sie gelöscht werden. Gleiches gilt für Server-Snapshots und Backups.

Bei Verlust oder Verdacht auf Kompromittierung eines privaten Schlüssels sofort Schritt 3 auf allen Servern ausführen.

Wiederherstellung

• Alle Schlüssel verloren: neuen Schlüssel hier hinterlegen. Eine Person mit funktionierendem Zugang (oder Root-Zugang des Hosters) führt auf dem Server netzfabrik-ssh sync aus.
• Linux-Passwort vergessen: als root passwd BENUTZER auf dem jeweiligen Server.
• Abgebrochene Einrichtung: den Einrichtungsbefehl einfach erneut ausführen; bereits erledigte Schritte werden erkannt.
• authorized_keys beschädigt: die letzte Sicherung liegt unter /var/backups/netzfabrik-ssh/.
• Neues Google-Konto: Ein Administrator löst unter „Konten“ die Bindung; danach erneut anmelden.