Aggiunta di chiavi SSH a un sito

L'accesso SSH a un sito Kapsule è basato solo su chiavi, quindi prima di poter aprire una shell o una sessione SFTP è necessario registrare una chiave pubblica nel sito in KPanel. Questa guida spiega dove trovarla, come aggiungere una chiave che già possiedi, come far generare una chiave a Kapsule e come revocare una chiave di cui non ti fidi più.

Dove si Trova la Pagina delle Chiavi SSH

Apri Websites, fai clic sul sito, quindi apri il menu Files nella barra delle schede del sito e scegli SSH Keys. La pagina si intitola SSH access e contiene due cose: i dettagli di connessione per questo sito e l'elenco delle chiavi pubbliche attualmente autorizzate a utilizzarli.

Non esiste un elemento SSH di primo livello nella barra laterale principale. Le chiavi sono per sito, quindi una chiave che aggiungi qui viene autenticata solo su questo sito. Se gestisci più siti, ognuno ha bisogno della sua voce, anche se è la stessa chiave sul tuo laptop.

Dettagli di Connessione

La scheda Connection details nella parte superiore della pagina mostra tutto ciò di cui ha bisogno il tuo client:

Ogni riga ha un controllo di copia, e le righe SSH e SFTP copiano l'intero comando anziché solo il valore, così puoi incollare direttamente in un terminale. Usa quei due anziché digitare il comando tu stesso: contengono già l'utente, l'host e la porta corretti.

Se la scheda non appare affatto, il sito non ha ancora completato il provisioning del suo utente shell. L'API restituisce un errore Site has no SSH user in quel caso. Aspetta che la pillola di stato del sito legga Active e ricarica.

Aggiunta di una Chiave che Hai Già

La maggior parte delle persone ha già una coppia di chiavi sul proprio computer. Aggiungi la metà pubblica qui.

1. Sul tuo computer, stampa la tua chiave pubblica. Su macOS e Linux di solito è cat ~/.ssh/id_ed25519.pub, oppure cat ~/.ssh/id_rsa.pub per una chiave RSA più vecchia. Su Windows con OpenSSH è type %USERPROFILE%\.ssh\id_ed25519.pub.
2. Copia l'intera singola riga, che inizia con ssh-ed25519, ssh-rsa o ecdsa-sha2-nistp256.
3. In KPanel, fai clic su Add key.
4. Inserisci qualcosa di memorabile nel campo Label, ad esempio il nome del computer su cui risiede la chiave.
5. Incolla la chiave pubblica nel secondo campo.
6. Fai clic su Add key.

La chiave appare immediatamente nell'elenco Authorised keys, con la sua impronta digitale sotto l'etichetta. Puoi connetterti immediatamente.

Kapsule invia anche un'e-mail all'indirizzo dell'account ogni volta che viene aggiunta una chiave, citando l'etichetta, l'impronta digitale e il sito. Questo messaggio è intenzionale: l'accesso SSH è un'alta fiducia, quindi se appare una chiave che non hai aggiunto, revocala e cambia subito la tua password.

Se Non Hai Ancora una Chiave

Generane una localmente con ssh-keygen -t ed25519 -C "your-label", accetta la posizione del file predefinita e imposta una passphrase quando richiesto. Questo produce ~/.ssh/id_ed25519 (mantienila privata) e ~/.ssh/id_ed25519.pub (incolla quella).

Lasciare che Kapsule Generi la Coppia di Chiavi

Se preferisci non eseguire ssh-keygen, KPanel può creare la coppia per te.

1. Fai clic su Add key.
2. Compila il campo Label. Lascia vuoto il box della chiave pubblica.
3. Fai clic su Generate keypair.

Kapsule crea una coppia Ed25519, installa la metà pubblica nel sito e mostra un banner verde: Keypair generated: download the private key now. Fai clic su Download .pem per salvare la chiave privata. Il file è denominato in base all'etichetta che hai scelto.

Una chiave generata non ha una passphrase su di essa, il che è ciò che la rende utilizzabile da uno script senza richiedere input. Ciò significa anche che il file stesso è l'intera credenziale. Se desideri una passphrase, genera la coppia tu stesso con ssh-keygen invece e incolla la metà pubblica.

Una volta scaricato, sposta il file in un luogo logico e ristrigi i suoi permessi, perché SSH rifiuta di utilizzare una chiave privata leggibile dal mondo:

mv ~/Downloads/my-laptop_id_ed25519.pem ~/.ssh/kapsule-mysite.pem
chmod 600 ~/.ssh/kapsule-mysite.pem
ssh -i ~/.ssh/kapsule-mysite.pem <username>@<host> -p <port>

Sostituisci il nome utente, l'host e la porta dai dettagli di Connection details.

Lettura dell'Elenco delle Chiavi Autorizzate

Ogni riga in Authorised keys mostra:

• L'etichetta che hai assegnato alla chiave.
• L'impronta digitale della chiave, che è come distingui due chiavi quando le etichette sono simili.
• Added con la data in cui è stata registrata.
• Last used con la data dell'autenticazione più recente, o Never used se non si è ancora autenticata.

La colonna Last used è quella utile durante una pulizia. Una chiave che non è mai stata utilizzata o non è stata utilizzata da mesi è di solito un laptop che è stato sostituito o un appaltatore che se ne è andato.

Revoca di una Chiave

Fai clic sull'icona del cestino rosso sulla riga della chiave. KPanel ti chiede di confermare con Revoke SSH key? e una nota che la chiave non si autentica più su questo sito. Fai clic su Revoke per terminare.

La revoca ha effetto per le nuove connessioni. Una sessione SSH già aperta non viene terminata revocando la chiave, quindi se stai rimuovendo l'accesso da qualcuno che potrebbe ancora essere connesso, revoca la chiave e quindi cambia tutto ciò che avrebbe potuto prendere con sé: password del database, segreti dell'applicazione e qualsiasi token archiviato nel sito.

Risoluzione dei Problemi

Permission denied (publickey). La causa più comune è che il tuo client offra una chiave diversa da quella che hai registrato. Forza quella giusta con ssh -i /path/to/private_key ..., oppure controlla con ssh -v quali chiavi vengono offerte.

Connection refused o un timeout. Conferma che stai utilizzando la porta mostrata in Connection details e non la porta predefinita 22. Copia il comando SSH dalla pagina anziché digitarlo.

Bad permissions on the private key. OpenSSH rifiuta una chiave privata che altri utenti possono leggere. Esegui chmod 600 sul file.

La chiave funziona per SSH ma non per SFTP. Condividono le stesse credenziali, quindi questo è quasi sempre il client anziché la chiave. Usa il comando SFTP copiato dalla pagina, che già contiene la porta corretta.

Dove Andare Dopo

• Uploading Files With SFTP descrive il lato del trasferimento di file delle stesse credenziali.
• Connecting To Your Database Over an SSH Tunnel utilizza la chiave che hai appena aggiunto per raggiungere MySQL da un client desktop.
• Site Activity Log registra ogni chiave che aggiungi, così puoi controllare in seguito chi ha aggiunto cosa e quando.