Habilitar autenticação multifator para acesso SSH

Para maior segurança, o Adobe Commerce na infraestrutura em nuvem fornece imposição de autenticação de vários fatores (MFA) para gerenciar requisitos de autenticação para acesso SSH a ambientes em nuvem.

Quando o MFA é ativado em um projeto, todas as contas de usuário com acesso SSH exigem um código de autenticação de dois fatores (TFA) ou um token de API e certificado SSH para acessar o ambiente.

Certificados para acesso SSH

O MFA permite que os usuários troquem um token de acesso OAUTH com um certificado SSH de curta duração gerado pela API do Adobe Cloud Certifier. Se o usuário tiver a função de Administrador ou Colaborador, uma chave SSH válida e um código TFA ou token de API válido, o Adobe Commerce na infraestrutura em nuvem usará essas credenciais para gerar o certificado SSH temporário. A expiração do certificado é definida como uma hora, mas é atualizada automaticamente durante a sessão atual.

Depois de fazer logon em um projeto com o MFA, os usuários devem usar o magento-cloud CLI para gerar o certificado SSH:

magento-cloud ssh-cert:load

A variável ssh-cert:load O comando gera o certificado SSH e o instala no agente SSH do usuário local.

Gerar certificado automaticamente ao fazer logon

Você pode configurar o ambiente local para gerar o certificado SSH automaticamente ao autenticar na magento-cloud CLI.

Para adicionar a geração automática do certificado SSH ao magento-cloud Configuração da CLI:

Conectar-se a um ambiente usando SSH com TFA

Quando o MFA é habilitado em um projeto, você deve ter o TFA habilitado em sua conta antes de poder se conectar a um ambiente remoto usando um SSH. Consulte Ativar TFA.

Pré-requisitos:

Para projetos habilitados com imposição de MFA, o acesso SSH requer as seguintes permissões e configurações de conta:

Para se conectar usando SSH com as credenciais da conta de usuário do TFA:

Gerenciar código-fonte usando SSH com TFA

Ao gerenciar o código-fonte para o Adobe Commerce em projetos de infraestrutura em nuvem, use o SSH para autenticar no repositório Git do projeto. Se o projeto tiver a imposição de MFA habilitada, gere um certificado SSH antes de executar operações de linha de comando usando o repositório Git.

Para se conectar usando SSH com as credenciais da conta de usuário do TFA:

Conectar-se a um ambiente usando SSH com um token de API

Quando o MFA é ativado em um projeto, os processos automatizados que exigem acesso SSH a um ambiente em nuvem exigem um token de API. Você pode gerar o token de uma conta do Adobe Commerce na infraestrutura em nuvem com acesso de Administrador ou Colaborador no projeto.

A autenticação com um token de API ainda requer a geração de um certificado SSH. Os processos automatizados também devem automatizar a geração de um certificado SSH.

Pré-requisitos:

Para se conectar usando SSH com uma credencial de token de API:

Exemplo: script SSH automatizado

Há duas opções para armazenar o token da API.

Opção 1: criar uma variável de ambiente para armazenar o token da API

Escreva o token no seu bash_profile

echo "export MAGENTO_CLOUD_CLI_TOKEN=<your api token>" >> ~/.bash_profile

Opção 2: adicione o token à tag config.yaml arquivo

Exemplo de script bash

#!/bin/bash
magento-cloud ssh-cert:load
ssh abcdef7uyxabce-master-7rqtabc--mymagento@ssh.us-3.magento.cloud "tail -n 10 ~/var/log/cloud.log"

Solução de problemas

Use as seguintes informações para resolver falhas de solicitações de conexão SSH devido a erros de autenticação, como access requires MFA ou permission denied.

Sua solicitação não fornece um certificado válido

Se sua solicitação não fornecer um certificado válido, uma mensagem semelhante à seguinte será exibida:

to Hello user-test (UUID: abaacca12-5cd1-4b123-9096-411add578998), you successfully
authenticated, but could not connect to service abcdef7uyxabce-master-7rqtabc--mymagento@ssh.us-3.magento.cloud:>
(reason: access requires MFA)

Tente executar os seguintes procedimentos de solução de problemas para resolver o problema de conexão:

Para verificar a configuração e a autenticação do TFA:

Para autenticar e recarregar o certificado SSH:

Permissão negada

Se a chave SSH estiver ausente ou for inválida, a solicitação de conexão SSH retornará um Permission denied (publickey) erro.

Hello user-test (UUID: abaacca12-5cd1-4b123-9096-411add578998), you successfully authenticated, but could not connect to service oh2wi6klp5ytk-mc-35985-integration-nnulm4a--mymagento (reason: service doesn't exist or you do not have access to it)
oh2wi6klp5ytk-mc-35985-integration-nnulm4a--mymagento@ssh.eu-3.magento.cloud: Permission denied (publickey).

Para corrigir o problema, adicione a chave SSH à sua sessão atual ou atualize o arquivo de configuração SSH para carregar suas chaves SSH automaticamente. Consulte Adicionar uma chave SSH pública.

Não é possível acessar projetos sem MFA

Se você autenticar em um projeto com a autenticação multifator (MFA) habilitada, poderá receber o seguinte erro ao se conectar a outros projetos que não exigem a MFA:

ssh abcdef7uyxabce-master-7rqtabc--mymagento@ssh.us-3.magento.cloud

Exemplo de resposta:

abcdef7uyxabce-master-7rqtabc--mymagento@ssh.us-3.magento.cloud: Permission denied (publickey).

Durante a geração do certificado SSH, a variável magento-cloud A CLI adiciona uma chave SSH adicional ao ambiente local. Essa chave é usada por padrão se a configuração SSH local não incluir a chave SSH para acesso ao projeto.

Para adicionar sua chave SSH à configuração local: