sudo と SSH 鍵でアクセスを固める

ssh ops@<Proxmox管理IP>

qm list | grep learner01
qm config <VMID> | grep -E '^(scsi|virtio|sata|ide|efidisk|tpmstate)[0-9]*:'   # 全ボリューム
pvesm status                                                                  # 保存先の空き容量

SNAP="ch4-$(date +%Y%m%d-%H%M%S)"; echo "$SNAP"     # ★この名前を控える
qm snapshot <VMID> "$SNAP" --description "Ch4 演習開始前のクリーン状態"
qm listsnapshot <VMID>

ch4-20260728-101147
`-> ch4-20260728-101147 2026-07-28 10:11:47 Ch4 演習開始前のクリーン状態
 `-> current                                  You are here!

sudo useradd -m -s /bin/bash labuser01
sudo useradd -m -s /bin/bash labuser02
echo 'labuser02:Ch4-Throwaway-Pass' | sudo chpasswd
id labuser01; id labuser02

sudo tee /etc/ssh/sshd_config.d/50-ch4-lab.conf > /dev/null << 'EOF'
Match User labuser02
    PubkeyAuthentication yes
    PasswordAuthentication yes
    KbdInteractiveAuthentication yes
EOF
sudo chmod 644 /etc/ssh/sshd_config.d/50-ch4-lab.conf
sudo sshd -t && sudo systemctl reload ssh

for U in ops labuser02; do
  echo "--- user=$U ---"
  sudo sshd -T -C user=$U,host=workstation01,addr=<workstation01のIP> \
    | grep -iE '^(passwordauthentication|kbdinteractiveauthentication)'
done

--- user=ops ---
passwordauthentication yes
kbdinteractiveauthentication no
--- user=labuser02 ---
passwordauthentication yes
kbdinteractiveauthentication yes

ssh-keygen -t ed25519 -N '' -C 'ch4-labuser01' -f ~/.ssh/ch4_labuser01_ed25519
cat ~/.ssh/ch4_labuser01_ed25519.pub     # この1行をコピーする

sudo -u labuser01 mkdir -p /home/labuser01/.ssh
sudo chmod 700 /home/labuser01/.ssh
sudo -u labuser01 tee /home/labuser01/.ssh/authorized_keys << 'EOF'
<ここに公開鍵を貼り付ける>
EOF
sudo chmod 600 /home/labuser01/.ssh/authorized_keys
sudo chown -R labuser01:labuser01 /home/labuser01/.ssh

# ★プレースホルダのまま貼っていないかを確認する（1 が出れば正しい）
sudo grep -c '^ssh-ed25519 ' /home/labuser01/.ssh/authorized_keys

# labuser01 は鍵で入れる
ssh -o IdentitiesOnly=yes -o PasswordAuthentication=no -o KbdInteractiveAuthentication=no \
    -i ~/.ssh/ch4_labuser01_ed25519 labuser01@learner01 'id -un'

# labuser02 はパスワードで入れる（この後これを奪う）
ssh -o PubkeyAuthentication=no -o IdentitiesOnly=yes -o PreferredAuthentications=password \
    -o NumberOfPasswordPrompts=1 labuser02@learner01 'echo LABUSER02_PASSWORD_LOGIN_OK'

TMPW="$(mktemp)"
cat > "$TMPW" << 'EOF'
#!/bin/sh
set -eu
exec /usr/bin/journalctl -u ssh -n 20 --no-pager
EOF
sudo install -o root -g root -m 0755 "$TMPW" /usr/local/sbin/ch4-ssh-log
rm -f "$TMPW"
ls -l /usr/local/sbin/ch4-ssh-log

-rwxr-xr-x 1 root root 67 7月 28 10:13 /usr/local/sbin/ch4-ssh-log

TMP="$(mktemp)"
printf '%s\n' 'labuser01 ALL=(root) NOPASSWD: /usr/local/sbin/ch4-ssh-log ""' > "$TMP"
sudo visudo -cf "$TMP"                                                    # ① 単独検査
sudo install -o root -g root -m 0440 "$TMP" /etc/sudoers.d/10-ch4-labuser01  # ② 配置
rm -f "$TMP"
sudo visudo -c                                                            # ③ ★全体検査
ls -l /etc/sudoers.d/10-ch4-labuser01

/tmp/tmp.rzysBWype4: 正しく構文解析されました
/etc/sudoers: 正しく構文解析されました
/etc/sudoers.d/10-ch4-labuser01: 正しく構文解析されました
（中略）
-r--r----- 1 root root 62 7月 28 10:13 /etc/sudoers.d/10-ch4-labuser01

K="-o IdentitiesOnly=yes -i $HOME/.ssh/ch4_labuser01_ed25519"

ssh $K labuser01@learner01 'sudo -l'

# 許可されたラッパーは通る
ssh $K labuser01@learner01 'sudo -n /usr/local/sbin/ch4-ssh-log >/dev/null 2>&1; echo "wrapper exit=$?"'

# ★ラッパーの中身に直接オプションを渡す経路が無い
ssh $K labuser01@learner01 \
  'sudo -n /usr/bin/journalctl -u ssh --output=cat >/dev/null 2>&1; echo "直接実行 exit=$? (0以外なら設計通り)"'

ユーザー labuser01 は learner01 上で コマンドを実行できます
    (root) NOPASSWD: /usr/local/sbin/ch4-ssh-log ""
wrapper exit=0
直接実行 exit=1 (0以外なら設計通り)

sudo tee /etc/ssh/sshd_config.d/50-ch4-lab.conf > /dev/null << 'EOF'
Match User labuser02
    PubkeyAuthentication yes
    PasswordAuthentication no
    KbdInteractiveAuthentication no
EOF
sudo sshd -t && sudo systemctl reload ssh

# labuser02 だけが変わり、ops は不変であることを確認する
for U in ops labuser02; do
  echo "--- user=$U ---"
  sudo sshd -T -C user=$U,host=workstation01,addr=<workstation01のIP> \
    | grep -iE '^(passwordauthentication|kbdinteractiveauthentication)'
done

--- user=ops ---
passwordauthentication yes
kbdinteractiveauthentication no
--- user=labuser02 ---
passwordauthentication no
kbdinteractiveauthentication no

# ポートは開いているか
timeout 30 bash -c 'until (echo > /dev/tcp/learner01/22) 2>/dev/null; do sleep 2; done' \
  && echo "port 22 OPEN"

# サーバが提示する認証方式を見る
ssh -vv -o PubkeyAuthentication=no -o IdentitiesOnly=yes \
    -o PreferredAuthentications=password,keyboard-interactive \
    -o NumberOfPasswordPrompts=0 -o ConnectTimeout=10 \
    labuser02@learner01 'echo SHOULD_NOT_APPEAR' 2>&1 \
  | grep -E 'Authentications that can continue|Permission denied'

port 22 OPEN
debug1: Authentications that can continue: publickey
labuser02@learner01: Permission denied (publickey).

sshd_config    … 最初に現れた値が勝つ（後から同じ設定を書いても無視される）
sudoers        … 最後にマッチしたルールが勝つ（後から書いたルールが上書きする）

ops        ALL=       (ALL)      !ALL
 │          │           │          └─ 実行してよいコマンド ＝「どれも許可しない」
 │          │           └──────────── どのユーザーとして実行してよいか
 │          └──────────────────────── どのホストで
 └─────────────────────────────────── 誰が

# 演習用ファイルを作る（構文は完全に正しい）
TMPF="$(mktemp)"
printf '%s\n' 'ops ALL=(ALL) !ALL' > "$TMPF"

# ★ 検査は通る。visudo は「文法」しか見ない
sudo visudo -cf "$TMPF"; echo "visudo -cf exit=$?"

# 90-ops より後に読ませるため 99- で始まる名前にする
sudo install -o root -g root -m 0440 "$TMPF" /etc/sudoers.d/99-ch4-lab
rm -f "$TMPF"

# 何が起きたか
sudo -n id -un 2>&1; echo "exit=$?"

visudo -cf exit=0
sudo: パスワードが必要です
exit=1

# 1. sudo で演習ファイルを消せるか
sudo -n rm /etc/sudoers.d/99-ch4-lab 2>&1 | tail -2

# 2. 一般ユーザの権限で消せるか
rm /etc/sudoers.d/99-ch4-lab 2>&1

# 3. root のパスワード認証へ切り替えられるか
echo "" | timeout 5 su - root -c "id" 2>&1 | tail -2

# 4. polkit 経由で昇格できるか
timeout 5 pkexec --disable-internal-agent id 2>&1 | tail -2

# 5. SSH アクセス自体は残っているか
whoami

echo "$SNAP"                  # 巻き戻し先を確認（空なら qm listsnapshot で再設定）
qm shutdown <VMID>            # 正常停止（ゲストへ ACPI 停止要求）
qm status <VMID>              # stopped を確認

qm rollback <VMID> "$SNAP"
qm start <VMID>
qm status <VMID>

status: stopped
Logical volume "vm-<VMID>-disk-0" successfully removed.
Logical volume "vm-<VMID>-disk-0" created.
rollback done in 1s
status: running

ssh ops@learner01

# ★まず sudo が生き返っていることを確認する
sudo -n true; echo "sudo exit=$?"

# ②の時点＝何も作っていない状態に戻っている
for p in /etc/ssh/sshd_config.d/50-ch4-lab.conf /etc/sudoers.d/10-ch4-labuser01 \
         /etc/sudoers.d/99-ch4-lab /usr/local/sbin/ch4-ssh-log; do
  [ -e "$p" ] && echo "残存: $p" || echo "消えた: $p"
done
for u in labuser01 labuser02; do
  id "$u" >/dev/null 2>&1 && echo "残存: $u" || echo "消えた: $u"
done

sudo exit=0
消えた: /etc/ssh/sshd_config.d/50-ch4-lab.conf
消えた: /etc/sudoers.d/10-ch4-labuser01
消えた: /etc/sudoers.d/99-ch4-lab
消えた: /usr/local/sbin/ch4-ssh-log
消えた: labuser01
消えた: labuser02

sudo useradd -m -s /bin/bash labuser02
sudo tee /etc/ssh/sshd_config.d/50-ch4-lab.conf > /dev/null << 'EOF'
Match User labuser02
    PubkeyAuthentication yes
    PasswordAuthentication no
    KbdInteractiveAuthentication no
EOF
sudo chmod 644 /etc/ssh/sshd_config.d/50-ch4-lab.conf

ssh-keygen -t ed25519 -N '' -C 'ch4-labuser02' -f ~/.ssh/ch4_labuser02_ed25519
cat ~/.ssh/ch4_labuser02_ed25519.pub

sudo -u labuser02 mkdir -p /home/labuser02/.ssh
sudo chmod 700 /home/labuser02/.ssh
sudo -u labuser02 tee /home/labuser02/.ssh/authorized_keys << 'EOF'
<ここに公開鍵を貼り付ける>
EOF
sudo chmod 600 /home/labuser02/.ssh/authorized_keys
sudo chown -R labuser02:labuser02 /home/labuser02/.ssh
sudo grep -c '^ssh-ed25519 ' /home/labuser02/.ssh/authorized_keys      # 1 を確認

sudo sshd -t && sudo systemctl reload ssh

pubkeyauthentication yes
passwordauthentication no
kbdinteractiveauthentication no

pubkeyauthentication yes
passwordauthentication yes
kbdinteractiveauthentication no

# 1. 鍵は通る（今回は締め出されない）
ssh -o IdentitiesOnly=yes -o PasswordAuthentication=no -o KbdInteractiveAuthentication=no \
    -i ~/.ssh/ch4_labuser02_ed25519 labuser02@learner01 'id -un; echo KEY_AUTH_OK'

# 2. パスワード経路は閉じている
ssh -vv -o PubkeyAuthentication=no -o IdentitiesOnly=yes \
    -o PreferredAuthentications=password,keyboard-interactive \
    -o NumberOfPasswordPrompts=0 -o ConnectTimeout=10 \
    labuser02@learner01 'echo SHOULD_NOT_APPEAR' 2>&1 \
  | grep -E 'Authentications that can continue|Permission denied'

labuser02
KEY_AUTH_OK

debug1: Authentications that can continue: publickey
labuser02@learner01: Permission denied (publickey).

sudo rm -f /etc/ssh/sshd_config.d/50-ch4-lab.conf
sudo userdel -r labuser02 2>/dev/null; sudo rm -f /var/mail/labuser02
sudo sshd -t && sudo systemctl reload ssh

# ①の記録と一致するかを差分で確認する
sudo sshd -T -C user=ops,host=workstation01,addr=<workstation01のIP> \
  | grep -iE '^(passwordauthentication|kbdinteractiveauthentication|pubkeyauthentication|allowusers|allowgroups|denyusers|denygroups|usepam)' \
  > /tmp/ch4-after-sshd.txt
diff ~/ch4-baseline-sshd.txt /tmp/ch4-after-sshd.txt && echo "baseline へ復帰しました"

# この章で足した鍵行だけを消す（他の行は残す）
sed -i '/ch4-ops-recovery/d' ~/.ssh/authorized_keys
rm -f ~/ch4-baseline-sshd.txt /tmp/ch4-after-sshd.txt

rm -f ~/.ssh/ch4_labuser01_ed25519 ~/.ssh/ch4_labuser01_ed25519.pub \
      ~/.ssh/ch4_labuser02_ed25519 ~/.ssh/ch4_labuser02_ed25519.pub \
      ~/.ssh/ch4_ops_ed25519 ~/.ssh/ch4_ops_ed25519.pub
ls ~/.ssh/ch4_* >/dev/null 2>&1 && echo "NG: 演習鍵が残っています" || echo "演習鍵 削除済み"

echo "$SNAP"; qm delsnapshot <VMID> "$SNAP"; qm listsnapshot <VMID>