📄 کلیدها و توکن‌ها

۱. راهنمای کار با توکن‌ها

برای استفاده از سرویس IAM لازم است که کاربران مورد اعتماد باشند. برای انجام احراز هویت کاربران، مفهومی به نام توکن در سرویس IAM ایجاد شده است. در واقع راه اثبات اینکه یک کاربر هویت معتبر و دسترسی‌های لازم را دارد، داشتن توکن است. ورود به همه‌ی سرویس‌های ستون به غیر از سرویس ذخیره‌سازی ستون، با استفاده از توکن IAM انجام می‌شود. لازم به ذکر است که بعد از هر بار ورود به پنل کاربری ستون هم به صورت خودکار یک توکن موقت ایجاد شده و پس از مدتی غیرفعال خواهد شد. اما توکن‌هایی که توسط کاربران ایجاد می‌شوند دارای تاریخ انقضا هستند و تا زمانی که خود کاربر آن‌ها را حذف نکرده یا منقضی نشده‌اند فعال خواهند ماند. همچنین توکن‌های ایجاد شده توسط کاربران، کاربردهای بیشتری در سرویس IAM دارند.

توجه

ستون به منظور افزایش امنیت کاربران، از توکن‌های امن استفاده می‌کند. اطلاعات توکن پس از ساخت آن به کاربر نمایش داده خواهد شد و پس از آن وظیفه نگهداری توکن با کاربر خواهد بود و این اطلاعات دیگر در ستون نگهداری و به کاربر نمایش داده نخواهد شد.

چطور یک توکن ایجاد کنم؟

1. پس از ورود به پنل اوشن، وارد پروفایل کاربری خود شوید.
2. در قسمت توکن‌ها روی دکمه افزودن توکن کلیک کنید. در پنجره باز شده، می‌توانید:

• نامی برای توکن خود انتخاب کنید.
• تاریخ انقضای توکن را مشخص کنید.

برای حذف توکن مورد نظر، کافی است روی آیکون حذف که در مقابل نام هر توکن قرار دارد کلیک کنید.

پس از کلیک روی دکمه ایجاد توکن، اطلاعات توکن به شما نمایش داده خواهد شد. این اطلاعات پس از بستن صفحه به شما نمایش داده نخواهد شد. حتما اطلاعات توکن را کپی و در محلی امن ذخیره کنید.

توجه

• توکن‌ها را به اشتراک نگذارید و از آنها به طور امن استفاده کنید.
• اطلاعات توکن خود را در جای امنی ذخیره‌سازی کنید.
• اطلاعات توکن شما تنها یک بار به شما نمایش داده خواهد شد و توسط ستون نگهداری نمی‌شود.
• قبل از انقضای تاریخ توکن، آن را تمدید کنید یا توکن جدیدی ایجاد کنید.

۲. راهنمای کار با کلیدها

کلیدهای عمومی چیست؟

نکته مهم

کلیدهای عمومی تنها در ماشین‌هایی کاربرد دارد که در هنگام ساخت، گزینه‌ی IAM SSH برای آن‌ها فعال شده است.

کلید عمومی، مفهومی است که در سرویس ماشین مجازی مورد استفاده قرار می‌گیرد. به کمک کلید عمومی:

• زمانی که کاربری درخواست SSH دارد، ماشین مجازی نام کاربری و کلید عمومی را برای سرویس IAM ارسال می‌کند.
• سرویس IAM بر اساس اطلاعاتی که از کاربران دارد می‌تواند احراز هویت را انجام دهد.
• در صورت تایید این مورد، امکان اتصال SSH برای کاربر فراهم خواهد شد. و در صورتی که درستی نام کاربری یا کلید عمومی از سمت IAM تایید نشود کاربر در انجام عملیات ورود با خطا مواجه خواهد شد.

موارد مهم

• کلیدهای عمومی باید منحصر به فرد باشند. امکان استفاده از یک کلید با نام مشترک برای دو کاربر مختلف وجود ندارد.
• هر کاربر می‌تواند در فضای سرویس IAM یک یا چند کلید عمومی ایجاد کند.

چگونه می‌توانم یک کلید عمومی ایجاد کنم؟

1. پس از ورود به پنل اوشن، وارد پروفایل کاربری خود شوید.
2. از منوی کناری روی کلیدهای عمومی کلیک کنید.
3. در این بخش، روی دکمه افزودن کلید عمومی کلیک کنید.
4. برای کلید عمومی خود یک نام انتخاب کنید. این نام به شما کمک می‌کند که در آینده موارد استفاده کلیدهای متعدد خود را به راحتی به یاد بیاورید.
5. کلید عمومی خود را طبق راهنمای زیر وارد کنید:

کلید عمومی شما باید به فرمت OpenSSH Public Key باشد، اما شما باید تنها قسمت میانی آن را وارد کنید. به طور کلی کلیدهای عمومی در فرمت OpenSSH شامل سه بخش است:

[type-name] [base64-encoded-ssh-public-key] [comment]

تنها کافی‌است بخش میانی، یا base64-encoded-ssh-public-key را وارد کنید. به طور مثال کلید زیر را در نظر بگیرید:

ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCba21UHE+VbDTpmYYFZUOV+OQ8AngOCdjROsPC0KiEfMvEaEM3NQl58u6QL7G7QsErKViiNPm9OTFo6HF5JijfWzK7haHFuRMEsgI4VwIYyhvqlJDfw/wt0AiVvSmoMfEQn1p1aiaO4V/RJSE3Vw/uz2bxiT22uSkSqOyShyfYE6dMHnuoBkzr4jvSifT+INmbv6Nyo4+AAMCZtYeHLrsFeSTjLL9jMPjI4ZkVdlw2n3Xn9NbltF3/8Ao8dQfElqw+LIQWqU0oFHYNIP4ttfl5ObMKHaKSvBMyNruZR0El/ZsrcHLkAHRCLj07KRQJ81l5CUTPtQ02P1Eamz/nT4I3 root@localhost

برای وارد کردن کلید، شما باید حتما دو بخش ssh-rsa و همچنین root@localhost یا هر عنوان جایگزین دیگر را از کلید خود حذف کنید و بخش باقی‌مانده میانی را در بخش کلید SSH وارد کنید.

توجه

• مطمئن شوید که از یک رمز عبور قوی برای حساب کاربری خود استفاده می‌کنید.
• کلید عمومی خود را به اشتراک نگذارید و از آن به طور امن استفاده کنید.

کلید عمومی FIDO2 چیست؟

در برخی سازمان‌ها، سیاست امنیتی ممکن است استفاده از کلیدهای عمومی بر پایه‌ی FIDO2 را الزامی کند. در این حالت:

• همه‌ی کلیدهای عمومی باید از نوع ed25519-sk باشند و با کلید امنیتی سخت‌افزاری (مانند YubiKey) ساخته شوند.
• هنگام ساخت کلید و استفاده از آن، تایید هویت کاربر با PIN یا اثرانگشت انجام می‌شود.

موارد مورد نیاز برای ساخت کلید عمومی FIDO2

• یک کلید امنیتی سخت‌افزاری FIDO2 (مانند YubiKey سری ۵) که روی آن PIN یا اثرانگشت فعال شده باشد.
• نسخه‌ی ۸.۴ یا جدیدتر OpenSSH روی سیستم شما نصب باشد.
• نسخه‌ی فریمور کلید سخت‌افزاری به آخرین نسخه بروزرسانی شده باشد.
• کلید امنیتی در هنگام ساخت کلید و در هر بار اتصال SSH به کامپیوتر متصل باشد.

چگونه یک کلید عمومی FIDO2 ایجاد کنم؟

برای ساخت یک کلید عمومی FIDO2 مراحل زیر را دنبال کنید:

1. کلید امنیتی سخت‌افزاری FIDO2 خود را به کامپیوتر متصل کنید.
2. یک فایل چالش (Challenge.bin) با محتوای تصادفی بسازید. این فایل برای اثبات این که کلید در همین ثبت‌نام تولید شده است، استفاده می‌شود:

head -c 32 /dev/urandom > Challenge.bin

در ویندوز می‌توانید از دستور زیر استفاده کنید:

openssl rand -out Challenge.bin 32

3. کلید را با دستور زیر بسازید:

ssh-keygen -t ed25519-sk -O verify-required -O resident -O challenge=Challenge.bin -O write-attestation=Attestation.bin

توضیح گزینه‌های دستور:

• verify-required: الزام تایید هویت کاربر با PIN یا اثرانگشت در هر بار استفاده از کلید.
• challenge: فایل چالشی که در مرحله‌ی قبل ساخته‌اید.
• write-attestation: مسیر ذخیره‌ی فایل تصدیق (Attestation.bin).
• resident: الزام ذخیره‌ی کلید‌ خصوصی روی کلید امنیتی سخت‌افزاری

4. در حین ساخت کلید، در صورت درخواست، PIN کلید امنیتی را وارد کنید و زمانی که چراغ کلید چشمک می‌زند، آن را لمس کنید.
5. پس از پایان این مرحله، فایل‌های زیر تولید می‌شوند:

• ~/.ssh/id_ed25519_sk: کلید خصوصی. این فایل روی سیستم شما و کلید امنیتی باقی می‌ماند و هرگز بارگذاری نمی‌شود
• ~/.ssh/id_ed25519_sk.pub: کلید عمومی
• Attestation.bin: فایل تصدیق
• Challenge.bin: فایل چالش

6. حالا کلید را در پنل اوشن ثبت کنید:

• پس از ورود به پنل اوشن، وارد پروفایل کاربری خود شوید و از منوی کناری روی کلیدهای عمومی کلیک کنید.
• روی دکمه‌ی افزودن کلید عمومی کلیک کنید و برای کلید خود یک نام انتخاب کنید.
• سه فایل id_ed25519_sk.pub، Attestation.bin و Challenge.bin را بارگذاری کنید و روی دکمه‌ی افزودن کلیک کنید.

توجه

• فایل Challenge.bin باید همان فایلی باشد که در هنگام ساخت کلید استفاده کرده‌اید؛ در غیر این صورت ثبت کلید رد می‌شود.
• کلید خصوصی (id_ed25519_sk) هرگز بارگذاری نمی‌شود و باید آن را در جای امنی نگهداری کنید.
• برای اتصال SSH با کلید FIDO2، کلید امنیتی باید به کامپیوتر متصل باشد و در هر بار ورود، وارد کردن PIN و لمس کلید لازم است.

کلیدهای پشتیبان چیست؟

کلید پشتیبان، مشابه کلید عمومی است با این تفاوت که اگر در لحظه، به هر دلیلی ارتباط بین ماشین و سرویس IAM برقرار نشود امکان اتصال شما از طریق کلید پشتیبان برقرار خواهد شد.

این امکان برای برخی از ماشین‌ها که بسیار حساس و مهم هستند ایجاد شده است تا دسترسی به ماشین تحت تاثیر قرار نگیرد.

موارد مهم

• کلید پشتیبان مستقل از کاربر بوده و در سطح فضای کاری تعریف می‌شود. برای اتصال از طریق کلید پشتیبان، دیگر نیازی به اتصال به IAM وجود ندارد و هدف از ایجاد این کلید، بالا بردن دسترسی‌پذیری ماشین‌های مجازی حساس است.
• با استفاده از یک کلید پشتیبان می‌توان به همه‌ی ماشین‌های مجازی موجود در یک فضای کاری متصل شد.
• ایجاد کلید پشتیبان تنها منحصر به کاربران با نقش workspace-admin است و برای انجام این کار لازم است که راهنمایی‌های مربوطه را از پشتیبانی دریافت کنید.