認証方式には、パスワード・公開鍵以外にも、証明書ベースの認証が可能です。署名されているかチェックするだけです。システム管理者はユーザーの公開鍵の管理から開放され、有効期限が短いエフェメラルな証明書を発行すれば、証明書の漏洩リスクも軽減できます。依存するため、オンプレ・クラウドやOSを透過にSSH接続できます。開発したサーバーレスな証明書発行基盤のBLESSについて解説します。接続する際には公開鍵認証がよく利用されますが、管理サーバーが多い場合、運用負荷が高い傾向があります。先の各サーバーで作業する必要があります。鍵が漏洩した場合はまさに悲劇です。鍵の管理はスケールしにくいことから、アカウント・鍵を一元管理すべくLDAP・Kerberosが導入されることもありますが、これらを正しく運用するのはそう簡単では有りません。ような証明書ベースの認証にも対応しました。証明書ベースの認証はユーザー認証とホスト認証の2種類があり、ユーザー認証はサーバーが接続してくるユーザーを認証し、ホスト認証はユーザーが接続先のホストを認証します。今回はユーザー認証に限定して解説します。ユーザー認証をやってみた認証局(CA)ユーザーホストの3台のサーバーを用意し、実際にユーザー認証をやってみます。用の公開鍵のペアを作成します。ユーザーの公開鍵をCA秘密鍵で署名して証明書を返し、ホストでは、証明書をCA公開鍵で検証します。パスフレーズ付きで、公開鍵ペアを作成します。証明書の検証のために、ホストサーバーにCAの公開鍵(bless-ca.pub)を展開します。この公開鍵のパスを指定します。デーモンを再起動します。公開鍵ペアを作成します。CA向けの鍵ペアと異なり、パスフレーズは不要です。サーバーに転送します。CA:クライアントの公開鍵から証明書を作成ユーザーの公開鍵(bless-client.pub)をCAの秘密鍵(bless-ca-)で署名して、証明書を作成します。証明書bless-client.pub証明書を確認します。~]$ログから、証明書ベースの認証が成功したことがわかります。ユーザー認証をより便利に上記手順では、証明書の発行手順が煩雑です。Service)です。署名した証明書を取得できます。ファイルで用意します。渡すと、証明書を受け取れます。アドレスからアクセスすると、エラーが発生します。(ip=172.31.34.109).証明書の有効期限(デフォルトは4分)が過ぎていると、エラーが発生します。BLESSはアーカイブモードでメンテされていないため、現在は動かなくなっている箇所を修正します。コンテナ経由でビルドされます。実行時に以下のエラーが発生します。以下の通り変更します。実行時に以下のエラーが発生します。バージョンを3未満に指定します。キーペアの秘密鍵が必要です。