User certificate OpenSSH: key ID не заменяет разрешённый principal
Фотография конкретного исполнения не приложена.
Пользовательский сертификат OpenSSH удостоверяет пользователя перед сервером и отличается по формату от X.509. Он содержит ключ, identity-информацию, principals и подписанные ограничения. Key identifier используется для журналирования; его удобная подпись не является автоматическим разрешением входить под любой учётной записью.
Допуск связывают с principals, разрешёнными серверной политикой. AuthorizedPrincipalsFile имеет определённую область применения при доверии через TrustedUserCAKeys; для других способов доверия предусмотрены собственные правила. Поэтому один подписанный сертификат нельзя считать достаточным доказательством совместимости с любой настройкой CA на целевом узле.
Сертификат способен ограничивать команду, исходные адреса и возможности сессии. При проектировании сохраняют эти ограничения вместе с назначением доступа и сроком действия. Выдача нового сертификата не должна незаметно расширять возможности обслуживания только потому, что публичный пользовательский ключ остался прежним.
В приёмке проверяют ожидаемый principal, неподходящий principal и предусмотренные ограничения на тестовом сервере. Сверяют журнальную идентичность отдельно от разрешения. Верная подпись CA подтверждает происхождение сертификата, но не заменяет серверную проверку того, какой пользователь и какие действия им допускаются.
Основание — OpenSSH current OpenBSD manuals snapshot; portable release10.6 observed, not exact portable manual, разделы AuthorizedPrincipalsFile; CERTIFICATES: user principals, key identifier, restrictions. Сохранён текст публичной справочной публикации; конкретная реализация может поддерживать только часть возможностей. Удалённые узлы, ключи и файлы не проверялись; подключения, копирование и изменение прав не выполнялись. Версии и доступные параметры обеих сторон требуют подтверждения.
