HowTo: SSH mit key-pair-Authentifizierung

Der Kommandozeilenadapter bietet mit dem Verbindungstyp “SSH” die Möglichkeit auf einem entfernten System mit installiertem SSH Server Kommandos auszuführen. Neben der Anmeldung mittels Benutzername/Passwort steht auch die Authentifizierung mittels Private-/Public-Key Verfahren zur Verfügung.

Dieser Beitrag erläutert wie sie ein Schlüsselpaar generieren und mit dem Kommandozeilenadapter in TRANSCONNECT® nutzen können.

Bei der Konfiguration des Adapters wird dabei für den entsprechenden Nutzer kein Passwort hinterlegt sondern ein vorab konfiguriertes Zertifikat aus dem Zertifikatseditor.

Das Zertifikat selbst erstellen sie mithilfe der folgenden Schritte.

Üblicherweise verfügt man über ein Schlüsselpaar aus Public-/Private-Key welches man vorab z.B. mit dem folgenden OpenSSH Befehl erzeugt hat:

    ssh-keygen -m pem -t rsa -b 4096 -f id_rsa

Damit dieses Schlüsselpaar im TRANSCONNECT® nutzbar ist muss zunächst der private Schlüssel (id_rsa) in einen PKCS8 Schlüssel im DER Format umgewandelt werden.

    openssl pkcs8 -topk8 -inform PEM -outform DER -in id_rsa -out id_rsa.der -nocrypt

Danach muss mit diesem privaten Schlüssel noch ein X509 Zertifikat ebenfalls im DER Format erzeugt werden.

    openssl req -new -x509 -key id_rsa -out certificate.der -outform DER -days 1095

Als Ergebnis erhält man nun die beiden Dateien

• id_rsa.der (Privatschlüssel im binären DER Format)
• certificate.der (das eigentliche Zertifikat)

Diese beiden Dateien müssen nun im Zertifikatseditor des TRANSCONNECT® Managers importiert werden. Danach muss der Privatschlüssel noch mit dem Zertifikat verknüpft werden. Das geschieht durch Markierung des Zertifikatseintrags und die Auswahl von “Assign Private Key” im Bereich “Private Key” rechts unten.

Das Zertifikat kann dann im letzten Schritt dem SSH-Kommandozeilenadapter zugewiesen werden.

Der Public-Key (id_rsa.pub) muss nun noch in der Datei “.ssh/authorized_keys” auf dem Zielsystem hinterlegt werden und dann sollte der Verbindungstest erfolgreich sein.

Ein Repository mit vorkonfiguriertem Kommandozeilenadapter und entsprechendem Private-Key + Zertifikat befindet sich unten im Download-Bereich.