script sshpass

[wolly_thel]

Guten Morgen,

auf einem Admin Server (RHEL) wo nur wir Admin Zugriff haben möchte ich gerne ein Script starten, welches über ssh überprüft ob ich mich mit den Daten anmelden kann.

Dazu habe ich ein Script geschrieben und ich wollte euch bitte mir zu sagen was ich besser bzw anders machen kann bzw soll.

Ich fange erst mit Shelscripting an und deswegen bitte nicht zu hart sein

Anbei das Script:

#!/bin/bash

user=$1
passwort=$2
host=$3

function usage()
{
           echo -e "Verwendung: ${bfggrn}$(basename $0: )${normal} \t${bfgred}User${normal}\t${bfgred}Passwort${normal} \t${bfgred}Hostfile${normal}"
           echo -e "example: \t$(basename $0 )\toracle\tsecretpw\tall"
           exit 1
}

if [ $# -lt 1 ]; then
   usage
 fi

 cat $host | while read host; do
         echo $host
         sshpass -p $2  ssh -n -o PreferredAuthentications=password -o PubkeyAuthentication=no  $1@$host echo "Das Passwort am Server $host ist $2" 1>>sshpwcheck_log 2>>sshpwcheck_err
 done

Danke und Lg Wolfgang

 

[hellfire]

Hi Wolfgang,

diese Art und Weise eine SSH-Verbindung aufzubauen ist unsicher. Bitte verwende schlüsselbasierte Authentifikation.

Siehe z. B. hier:

https://www.diemelstadt-rhoden.de/index.php/allgemein/ssh-login-mit-privatem-schluessel-absichern

Eine Passphrase zum Zugriff lässt man idR weg, damit man sich vollautomatisch anmelden kann.

Grüße,
h.

 

[wolly_thel]

Hallo H.

vielen Dank für deine Antwort.

Wir selber springen nur über private Schlüsseln.

Das Problem ist das PWs herumgeistern und wir diese eig gern Testen wollen ob diese noch funktionieren oder nicht.

Die Applikation Leute zb setzten gerne mal das PW wieder zurück und ich will eben Testen ob ich mich noch mit dem alten PW wo anmelden kann oder nicht.

Bei 1300 Linux Server verliert man mal schnell den Überblick.

Danke und Lg Wolfgang

 

[marce]

bei 1300 Linux Server hat man aber eine zentrale Auth-Instanz. Zudem parallel irgendein Orchestrierungs-System, welches einem solche Dinge abnimmt.

 

[wolly_thel]

Für unsere root access richtig, haben wir.

Jedoch wie oben erwähnt machen das andere Abteilungen nicht und somit muss ich auch die anderen Accounts checken...

 

[marce]

Dann setzt das auf ein zentrales System unter euerer Kontrolle um oder schaltet auf "egal".

Ansonsten - wenn das Script an sich das tut was Du willst ist es für eine solche QnD-1x-im-Jahr-Geschichte doch eh egal und den Aufwand nicht wert. Und wenn sowas öfters und regelmäßig auftachen sollte kommt wieder Absatz 1 zum Zuge.