SSHの秘密鍵を失くした：入り直す手順

レン

パソコンを買い替えたら、SSHの鍵を移し忘れてた…！もうサーバーに入れない！

プロクラ

落ち着いて。SSHでは入れないけれど、入り口はもう一つある。多くの事業者が、管理画面からサーバーの画面へ直接つなぐ機能を用意しているんだ。

コンソールから入り直す

• 管理画面からコンソールを開く
• ユーザー名とパスワードでログインする
• 新しい鍵を作り、その公開鍵を登録する
• SSHで入れることを確認してから、古い鍵の登録を消す

プロクラ

ここで問題になるのが、2つめだよ。鍵だけで運用していると、パスワードを設定していない、あるいは忘れていることがある。そうなると、この入り口も使えない。

パスワードも分からない場合

• 事業者によっては、パスワードを再設定する機能がある
• 復旧用の起動方法が用意されていることもある
• どちらも無い場合、作り直すことになる
• その場合、バックアップがあるかどうかがすべてを分ける

プロクラ

4つめが現実だね。鍵を失うこと自体は取り返しがつくけれど、データが戻せないと取り返しがつかない。バックアップは、こういう場面でも効いてくる。

失う前の備え

プロクラ

鍵はいつか失うもの、という前提で用意しておこう。手間はかからないし、失ったときの差は大きい。

• 秘密鍵の控えを、安全な場所に保管する（パスワード管理ツールなど)
• 予備の鍵をもう1本登録しておく（別の端末に置く)
• コンソール用のパスワードを設定し、管理ツールに記録する
• コンソールの入り方を、一度だけ試しておく

ウィルスン

…その控え、どこに置くつもりだ。誰でも読める場所に置いてくれるなら、ワタシとしては歓迎だがな。

プロクラ

そこは注意だね。秘密鍵の控えは、暗号化された保管場所へ。メールで自分へ送る、クラウドに平文で置く、といった方法は避けよう。鍵に自体にパスワードを設定しておくのも有効だよ。

レン

コンソールのパスワードを設定しておく。それが最後の入り口なんだね。

鍵は端末ごとに分ける

プロクラ

1本の鍵を全部の端末で使い回すより、端末ごとに作るほうが安全だし、失ったときも楽だよ。1台を紛失しても、その分だけを無効にすれば済む。

• 端末ごとに鍵を作り、それぞれの公開鍵を登録する
• 登録するときにコメントを付けておく（どの端末のものか分かる）
• 端末を手放すときは、その鍵だけを削除する
• 秘密鍵そのものを、端末間でコピーしない

パスフレーズを付けるかどうか

プロクラ

秘密鍵自体にパスフレーズを設定できる。付けておけば、鍵ファイルが漏れても、それだけでは使えない。毎回入力するのが面倒なら、記憶しておく仕組みを併用すればいい。

• 鍵が漏れたときの被害を抑えられる
• 持ち歩く端末では、特に付けておきたい
• 一度入力すれば、しばらく再入力を省ける仕組みがある
• パスフレーズ自体も、管理ツールに記録しておく