5

例えば以下のように、SSHでログインした後にsudoでroot権限でコマンドを使う場合を考えます。

ホストOS ==(1)SSH==> ゲストOS vagrantユーザー ==(2)sudo==> ゲストOS rootユーザー

(1)のSSHした後もホストOSの秘密鍵を引き継ぐためには、~/.ssh/configのゲストOS vagrantユーザーでのログインのセクションにForwardAgent yesを追加すればよいです。

また(2)のsudo後に秘密鍵を引き継ぐためには、/etc/sudoersDefaults env_keep += "SSH_AUTH_SOCK"を追加すればよいです。

どちらもssh-add -lコマンドで、現在利用できる秘密鍵を確認できます。

現在以下の様な場合で煮詰まっています。

ホストOS ==(1)SSH==> ゲストOS vagrantユーザー ==(3)sudo -u someuser==> ゲストOS someuserユーザー

この(3)の場合、sudo -u someuser ssh-add -lを行ってももとのvagrantユーザーで使っている秘密鍵(=ホストOSの秘密鍵)は表示されず、出力はCould not open a connection to your authentication agent.となります。

sudoにてroot以外のユーザーの権限でコマンドを実行する場合、秘密鍵を引き継ぐ方法はあるのでしょうか?

1 件の回答 1

1

以下は回答ではありません。(頃合いを見て削除します)

ssh-agent が使用する socket ファイルのパーミッションは、まぁ、当然ではありますが、ssh-agent プロセスの実効ユーザのみが読み書き可能となっています(socket ファイルのあるディレクトリも)。

$ ls -l $SSH_AUTH_SOCK
srw------- 1 nemo nemo /tmp/ssh-SnAKKdIr95Ie/agent.1315=
$ ls -ld $(dirname $SSH_AUTH_SOCK)
drwx------ 2 nemo nemo /tmp/ssh-SnAKKdIr95Ie/

ではこのパーミッションを変更したら… 非常に危険な状況になりますよね。

以上です。

3
  • なるほど、基本的にやめたほうがよいが強引にできなくもない、ということですね。 socketファイルを観に行くことはしていませんでした。ありがとうございます。是非削除などしないで残しておいていただきたいです。
    – ikuwow
    Commented 2015年2月10日 11:23
  • @ikuwow ベストアンサーに選んでいただき、どうもありがとうございます。それではこのままにしておきます(少し編集します)。。。
    – user4986
    Commented 2015年2月10日 11:27
  • 2
    chmod ではなく、setfacl で someuser にのみ許可を与えると良いと思います。 Commented 2015年2月12日 6:55

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。