Conohaでサーバ構築（その2） Ubuntu初期設定編

さてようやくサーバができたけど、そのままではセキュアじゃないので
最低限のセキュリティは保っておこうということで、初期設定
#となっているところはrootユーザで作業、$は一般ユーザで作業

1.ユーザの追加
　ConohaのUbuntuはrootユーザしかない状態なのでユーザを追加する。

# sudo adduser "追加したいユーザ名"

2.root昇格ユーザの制限

# vi /etc/pam.d/su
# usermod -G adm "追加したユーザ"

・viで編集する箇所
=================================================
 auth       required   pam_wheel.so group=adm　　　←追記

=================================================

・実験(権限がないとのことでOK)

# su - testuser01
$ su -
Password:
su: Permission denied

3.sudo権限を追加したユーザに付与する。

# gpasswd -a opadministrator sudo
Adding user opadministrator to group sudo
# gpasswd -a opadministrator adm
Adding user opadministrator to group adm

・sudoできるか実験(編集権限付きでファイルオープンできた)

# su - "追加したユーザ名"
$ sudo vi /etc/hosts
sudo: unable to resolve host "ホスト名"
[sudo] password for "追加したユーザ名":
$

4.SSHでrootの直接ログインを禁止

$ sudo vi /etc/ssh/sshd_config
$ sudo reload ssh

・viで編集する箇所
=================================================
PermitRootLogin no　　←noに修正
AllowUsers "追加したユーザ名"　←追記
PasswordAuthentication yes　←yesに修正

=================================================

・Teratermでもう一度接続しrootでログインできないことを確認する。

5.ホスト名を修正する。

$ sudo vi /etc/hosts
$ sudo vi /etc/hostname

$ sudo reboot

・hostsの修正

==========================================================

127.0.0.1       localhost

127.0.1.1       "ホスト名"

グローバルIP  ホスト名.ドメイン名　←追記

# The following lines are desirable for IPv6 capable hosts

::1     localhost ip6-localhost ip6-loopback

ff02::1 ip6-allnodes

ff02::2 ip6-allrouters

~

==========================================================

・hostnameの修正
==========================================================
ホスト名.ドメイン名　←修正する
==========================================================

6.不要デーモンの停止(参考)

$ sudo aptitude -y install sysv-rc-conf
$ sudo sysv-rc-conf dns-clean off
$ sudo sysv-rc-conf grub-common off
$ sudo sysv-rc-conf ondemand off
$ sudo sysv-rc-conf pppd-dns off
$ sudo sysv-rc-conf rsync off

7.不要コンソールを無効にする

$ sudo vi /etc/init/tty2.conf
$ sudo vi /etc/init/tty3.conf
$ sudo vi /etc/init/tty4.conf
$ sudo vi /etc/init/tty5.conf
$ sudo vi /etc/init/tty6.conf

・コメントアウトする。
==========================================================

#

# This service maintains a getty on tty4 from the point the system is

# started until it is shut down again.

#start on runlevel [23] and (

#            not-container or

#            container CONTAINER=lxc or

#            container CONTAINER=lxc-libvirt)　　←ここまでコメントアウト

stop on runlevel [!23]

============================================================

8.パッケージ類の最新化

$ sudo aptitude update
$ sudo aptitude upgrade

9.SSHを鍵認証に設定
　下記らへん参照にして登録
　http://webkaru.net/linux/putty-ssh-login-public-key/
　http://takuya-1st.hatenablog.jp/entry/20100622/1277229826　

$ mkdir .ssh
$ chmod 700 .ssh
$ ssh-keygen -i -f cert.pub >> pub_keys
$ mv pub_keys .ssh/
$ chmod 600 .ssh/pub_keys
$ rm cert.pub
opadministrator@websrv:~$ sudo vi /etc/ssh/sshd_config
opadministrator@websrv:~$ sudo reload ssh

・Viで編集する箇所
============================================================
# Change to no to disable tunnelled clear text passwords
PasswordAuthentication no　←noに修正
===========================================================

・Teratermで鍵ファイルがなければアクセスできないことを確認する。

ひとまずはこんなところかな。
弱っちいけどまぁましな状況にはなりました。