17 lines
1.1 KiB
Markdown
17 lines
1.1 KiB
Markdown
# Запретить SSH-вход под root
|
|
|
|
**Приоритет:** высокий
|
|
|
|
`playbook-system.yml:34` переопределяет дефолт роли на
|
|
`security_ssh_permit_root_login: "yes"`. Парольная аутентификация выключена (вход
|
|
только по ключу), но root — единственный аккаунт, который брутфорсят все боты на
|
|
открытом 22/tcp, и компрометация ключа сразу даёт uid 0 без следа sudo. Деплой
|
|
идёт под отдельным непривилегированным пользователем с become (`production.yml`),
|
|
root-логин для Ansible не нужен. Поставить `"no"`, либо `prohibit-password`, если
|
|
root-ключ нужен для аварийного доступа (то же поведение по ключу, но явный запрет
|
|
пароля на будущее).
|
|
|
|
Из sec-ревью (fable, 2026-07-13).
|
|
|
|
Связано: playbook-system.yml, production.yml, galaxy.roles/geerlingguy.security.
|