Freigeben über

Verwalten des SSH-Zugriffs für Domänenkonten in Azure HDInsight

Standardmäßig können sich alle Domänenbenutzer in Microsoft Entra Domain Services per SSH auf Haupt- und Edgeknoten anmelden. Diese Benutzer sind nicht Teil der sudo-Gruppe und erhalten keinen Root-Zugriff. Der bei der Clustererstellung erstellte SSH-Benutzer hat Root-Zugriff.

Verwalten des Zugriffs

Um den SSH-Zugriff auf bestimmte Benutzer oder Gruppen zu ändern, aktualisieren Sie /etc/ssh/sshd_config auf den einzelnen Knoten.

  1. Verwenden Sie einen ssh-Befehl zum Herstellen der Verbindung mit dem Cluster. Bearbeiten Sie den folgenden Befehl, indem Sie CLUSTERNAME durch den Namen Ihres Clusters ersetzen, und geben Sie den Befehl dann ein:

    ssh sshuser@CLUSTERNAME-ssh.azurehdinsight.net

  2. Öffnen Sie die Datei ssh_config.

    sudo nano /etc/ssh/sshd_config

  3. Ändern Sie die Datei sshd_config nach Bedarf. Wenn Sie Benutzer auf bestimmte Gruppen beschränken, können die lokalen Konten keine SSH-Anmeldung auf diesen Knoten durchführen. Der folgende Befehl ist nur ein Beispiel für die Syntax:

    AllowUsers useralias1 useralias2

AllowGroups groupname1 groupname2

    Speichern Sie dann die Änderungen wie folgt: STRG+X > Y > EINGABETASTE.

  4. Starten Sie sshd neu.

    sudo systemctl restart sshd

  5. Wiederholen Sie die obigen Schritte für jeden Knoten.

SSH-Authentifizierungsprotokoll

Das SSH-Authentifizierungsprotokoll wird in /var/log/auth.log geschrieben. Wenn Ihnen Anmeldefehler über SSH für lokale Konten oder Domänenkonten auffallen, müssen Sie das Protokoll durchgehen, um die Fehler zu debuggen. Häufig hängt das Problem mit bestimmten Benutzerkonten zusammen, und es hat sich bewährt, andere Benutzerkonten oder SSH über den SSH-Standardbenutzer (lokales Konto) auszuprobieren und dann kinit auszuführen.

SSH-Debugprotokoll

Um die ausführliche Protokollierung zu aktivieren, müssen Sie sshd mit der Option -d neu starten. Beispiel: /usr/sbin/sshd -d. Sie können sshd auch an einem benutzerdefinierten Port (z. B. 2222) ausführen, damit Sie den SSH-Hauptdaemon nicht abbrechen müssen. Außerdem können Sie die Option -v mit dem SSH-Client verwenden, um weitere Protokolle (clientseitige Ansicht der Fehler) zu erhalten.

Nächste Schritte