序章

新しいDebian11サーバーを最初に作成するとき、基本的なセットアップの一部として早い段階で実行する必要のあるいくつかの設定手順があります。 これにより、サーバーのセキュリティと使いやすさが向上し、後続のアクションの強固な基盤が提供されます。

このチュートリアルでは、 root ユーザーとしてサーバーにログインし、管理者権限を持つ新しいユーザーを作成し、基本的なファイアウォールを設定する方法を学習します。

ステップ1—ルートとしてログインする

サーバーにログインするには、サーバーのパブリックIPアドレスを知っている必要があります。 パスワード、または認証用にSSHキーをインストールした場合は、rootユーザーのアカウントの秘密キーも必要になります。 サーバーにまだログインしていない場合は、 SSH を使用してDropletに接続する方法に関するガイドに従ってください。このガイドでは、このプロセスについて詳しく説明しています。

サーバーにまだ接続していない場合は、次のコマンドを使用して root ユーザーとしてログインします(コマンドの強調表示された部分をサーバーのパブリックIPアドレスに置き換えます)。

  1. ssh [email protected]your_server_ip

ホストの信頼性に関する警告が表示された場合は、それを受け入れます。 パスワード認証を使用している場合は、rootパスワードを入力してログインします。 パスフレーズで保護されたSSHキーを使用している場合、セッションごとに初めてキーを使用するときにパスフレーズの入力を求められる場合があります。 パスワードを使用してサーバーに初めてログインする場合は、rootパスワードを変更するように求められることもあります。

ルートについて

root ユーザーは、非常に幅広い特権を持つLinux環境の管理ユーザーです。 root アカウントの特権が強化されているため、定期的に使用することは推奨されていません。 これは、 root アカウントに固有の機能の一部が、偶然であっても非常に破壊的な変更を加えることができるためです。

次のステップは、日常業務への影響範囲を減らした代替ユーザーアカウントを設定することです。 後で、必要なときに特権を増やす方法について説明します。

ステップ2—新しいユーザーを作成する

root としてログインすると、これからログインするために使用する新しいユーザーアカウントを追加する準備が整います。

この例では、 sammy という新しいユーザーを作成しますが、次のようなユーザー名に置き換える必要があります。

  1. adduser sammy

アカウントのパスワードから始めて、いくつかの質問があります。

強力なパスワードを入力し、オプションで、必要な追加情報を入力します。 これは必須ではなく、スキップしたい任意のフィールドでENTERを押すだけです。

次に、この新しいユーザーに管理者権限を設定します。

ステップ3—管理者権限を付与する

これで、通常のアカウント権限を持つ新しいユーザーアカウントが作成されました。 ただし、それを使用して管理タスクを実行する必要がある場合があります。

通常のユーザーからログアウトしてrootアカウントとして再度ログインする必要がないように、スーパーユーザーまたはroot特権と呼ばれるものを設定できます。私たちの通常のアカウント。 これにより、通常のユーザーは、コマンドの前にsudoという単語を置くことで、管理者権限でコマンドを実行できるようになります。

これらの特権を新しいユーザーに追加するには、新しいユーザーをsudoグループに追加する必要があります。 デフォルトでは、Debian 11では、sudoグループに属するユーザーはsudoコマンドを使用できます。

root として、次のコマンドを実行して、新しいユーザーを sudo グループに追加します(強調表示された単語を新しいユーザーに置き換えます)。

  1. usermod -aG sudo sammy

これで、通常のユーザーとしてログインしたときに、コマンドの前にsudoと入力して、スーパーユーザー権限でコマンドを実行できます。

ステップ4—基本的なファイアウォールの設定

Debianサーバーはファイアウォールを使用して、特定のサービスへの特定の接続のみが許可されるようにすることができます。 このガイドでは、UFWファイアウォールをインストールして使用し、ファイアウォールポリシーの設定と例外の管理を支援します。

aptパッケージマネージャーを使用してUFWをインストールできます。 ローカルインデックスを更新して利用可能なパッケージに関する最新情報を取得し、次のように入力してUFWファイアウォールソフトウェアをインストールします。

  1. apt update
  2. apt install ufw

注:サーバーがDigitalOceanで実行されている場合は、UFWファイアウォールの代わりに DigitalOcean CloudFirewallsをオプションで使用できます。 デバッグが困難な可能性のあるルールの競合を回避するために、一度に1つのファイアウォールのみを使用することをお勧めします。

ファイアウォールプロファイルにより、UFWはインストールされたアプリケーションのファイアウォールルールの名前付きセットを管理できます。 一部の一般的なソフトウェアのプロファイルはデフォルトでUFWにバンドルされており、パッケージはインストールプロセス中に追加のプロファイルをUFWに登録できます。 現在サーバーに接続できるサービスであるOpenSSHには、使用できるファイアウォールプロファイルがあります。

次のように入力して、使用可能なすべてのアプリケーションプロファイルを一覧表示します。

  1. ufw app list
Output
Available applications: . . . OpenSSH . . .

次回ログインできるように、ファイアウォールでSSH接続が許可されていることを確認する必要があります。 次のように入力して、これらの接続を許可できます。

  1. ufw allow OpenSSH

その後、次のように入力してファイアウォールを有効にできます。

  1. ufw enable

yと入力し、ENTERを押して続行します。 次のように入力すると、SSH接続が引き続き許可されていることがわかります。

  1. ufw status
Output
Status: active To Action From -- ------ ---- OpenSSH ALLOW Anywhere OpenSSH (v6) ALLOW Anywhere (v6)

ファイアウォールは現在SSHを除くすべての接続をブロックしているため、追加のサービスをインストールして構成する場合は、で許容できるトラフィックを許可するようにファイアウォール設定を調整する必要があります。 当社のUFWエッセンシャルガイドでいくつかの一般的なUFW操作を学ぶことができます。

ステップ5—通常のユーザーの外部アクセスを有効にする

日常的に使用する通常のユーザーがいるので、アカウントに直接SSHで接続できることを確認する必要があります。

注:ログインして新しいユーザーでsudoを使用できることを確認するまで、rootとしてログインしたままにすることをお勧めします。 このように、問題が発生した場合は、トラブルシューティングを行い、rootとして必要な変更を加えることができます。 DigitalOcean Dropletを使用していて、 root SSH接続で問題が発生した場合は、DigitalOceanConsoleを使用してDropletにログインすることもできます。

新しいユーザーのSSHアクセスを構成するプロセスは、サーバーのrootアカウントが認証にパスワードまたはSSHキーのどちらを使用するかによって異なります。

ルートアカウントがパスワード認証を使用する場合

パスワードを使用してrootアカウントにログインした場合、SSHに対してパスワード認証が有効になります。 新しいターミナルセッションを開き、新しいユーザー名でSSHを使用することにより、新しいユーザーアカウントにSSHで接続できます。

  1. ssh sammy@your_server_ip

通常のユーザーのパスワードを入力すると、ログインします。 管理者権限でコマンドを実行する必要がある場合は、次のように入力する前にsudoと入力してください。

  1. sudo command_to_run

sudoを各セッションで初めて使用するとき(およびその後定期的に)、通常のユーザーパスワードの入力を求められます。

サーバーのセキュリティを強化するために、パスワード認証を使用する代わりにSSHキーを設定することを強くお勧めします。 Debian 11 でのSSHキーの設定に関するガイドに従って、キーベースの認証を構成する方法を学習してください。

ルートアカウントがSSHキー認証を使用する場合

SSHキーを使用してrootアカウントにログインした場合、SSHのパスワード認証は無効になります。 正常にログインするには、ローカル公開鍵のコピーを新しいユーザーの~/.ssh/authorized_keysファイルに追加する必要があります。

公開鍵はすでにサーバー上のrootアカウントの~/.ssh/authorized_keysファイルにあるため、 [を使用した既存のセッションで、そのファイルとディレクトリ構造を新しいユーザーアカウントにコピーできます。 X201X]コマンド。 その後、chownコマンドを使用してファイルの所有権を調整できます。

以下のコマンドの強調表示された部分を、通常のユーザーの名前と一致するように変更してください。

  1. cp -r ~/.ssh /home/sammy
  2. chown -R sammy:sammy /home/sammy/.ssh

cp -rコマンドは、ディレクトリ全体を新しいユーザーのホームディレクトリにコピーし、chown -Rコマンドは、そのディレクトリ(およびその中のすべて)の所有者を指定されたusername:groupname( Debianは、デフォルトでユーザー名と同じ名前のグループを作成します)。

次に、新しいターミナルセッションを開き、SSH経由で新しいユーザー名でログインします。

  1. ssh sammy@your_server_ip

パスワードを使用せずに、新しいユーザーアカウントにログインする必要があります。 管理者権限でコマンドを実行する必要がある場合は、次のように入力する前にsudoと入力してください。

  1. sudo command_to_run

sudoを各セッションで初めて使用するとき(およびその後定期的に)、通常のユーザーパスワードの入力を求められます。

ここからどこへ行くの?

この時点で、サーバーの強固な基盤ができています。 今すぐサーバーに必要なソフトウェアをインストールできます。