SSH(1)

SSH(1)                      System Reference Manual                     SSH(1)

名前

ssh - OpenSSH 安全なシェルクライアント（遠隔ログインプログラム）

書式
     ssh [-l login_name] [hostname | user@hostname] [command]

     ssh [-afgknqstvxACNPTX1246] [-c cipher_spec] [-e escape_char] 
         [-i identity_file] [-l login_name] [-m mac_spec] [-o option] 
         [-p port] [-L port:host:hostport] [-R port:host:hostport] 
         [hostname | user@hostname] [command]
説明

ssh (Secure Shell) は、遠隔地のマシンにログインし、遠隔マシン上でコマンドを実行するためのプログラムである。これは rlogin や rsh の代替として開発されたものであり、安全でないネットワーク上にある２台の相互に信頼できないホスト間において、暗号化された安全な通信を提供する。また、X11 の接続や任意の TCP/IP ポートを安全なチャネル上で中継することもできる。

ssh は指定されたホスト名に接続してログインする。ユーザは、いくつかの方式のうちの１つを使って自分のアイデンティティーを証明しなければならないが、この方式は使用するプロトコルのバージョンに依存する。主なものを以下に示す：

SSH プロトコルバージョン１

まず、ログイン元のマシンがログイン先のマシン上の /etc/hosts.equiv または /etc/ssh/shosts.equiv に記述されており、かつユーザ名が両者のマシンで同じであれば、そのユーザはその場でログインを許可される。次に、リモートマシン上の当該ユーザのホームディレクトリに .rhost または .shosts が存在し、かつその中にクライアントのマシン名およびそのマシンにおけるユーザ名を記述した行があれば、そのユーザはログインを許可される。これは安全とはいえないため、この種の認証方式だけの場合は通常認めていない。
２番目の認証方式（そして最初のものも）は、RSA ベースのホスト認証と rhosts や hosts.equiv の方式を組み合わせたものである。これは、 $HOME/.rhosts, $HOME/.shosts, /etc/hosts.equiv, /etc/ssh/shosts.equiv でログインが許可されていても、さらにサーバがクライアントのホスト鍵（「ファイル」の章の /etc/ssh/ssh_known_hosts および $HOME/.ssh/known_hosts を参照）を検査して、それでログインを許可する方式である。この認証方式を使うと、IP 詐称 (spoofing)、DNS 詐称、ルーティング詐称といったセキュリティホールからホストを守れる。 [ 管理者の方へ：一般的に言って /etc/hosts.equiv, $HOME/.rhosts および rlogin/rsh プロトコルはあまり安全なものではないので、特にセキュリティが要求されるところでは使わないようにすべきである。]
３番目の認証方式として、ssh は RSA ベースの認証をサポートしている。このスキームは公開鍵暗号化に基づくものである。いくつかの暗号システムでは暗号化と複合化が各々異なった鍵で行われるが、この場合、暗号化用鍵から復号化用鍵を取り出すのは不可能である。RSA もこのようなもののうちの１つである。考え方としては、各ユーザは認証のための公開／秘密鍵のペアを前もって作成しておく。サーバは公開鍵を知っており、ユーザだけが秘密鍵を知っている。$HOME/.ssh/authorized_keys には、ログインを許されたユーザの公開鍵のリストが入っている。ユーザがログインする際、ssh プログラムはどの鍵のペアを認証用に使用するのかをサーバに知らせる。サーバはその鍵が許可されているかどうかを調べ、許可されていれば、ユーザ（正確にはユーザ側で動いている ssh プログラム）に対してチャレンジを送る。チャレンジとは、ユーザの公開鍵で暗号化された乱数である。チャレンジは、適切な秘密鍵を使ってのみ復号化することができる。ユーザ側のクライアントは自分の秘密鍵でチャレンジを復号化して自分が秘密鍵を知っていることを証明するが、それをサーバに開示することはしない。
ssh は RSA 認証プロトコルを自動的に実装する。ユーザは ssh-keygen(1) を走らせて、自分の RSA 鍵のペアを作成する。これにより秘密鍵はユーザのホームディレクトリの下の $HOME/.ssh/identity に、公開鍵は $HOME/.ssh/identity.pub に格納される。ユーザは、identity.pub をリモートマシン上の自分のホームディレクトリ配下に $HOME/.ssh/authorized_keys としてコピーしなければならない（authorized_keys ファイルは従来の $HOME/.rhosts ファイルに相当するもので、１行に１つの鍵を保持するが、１行は非常に長い）。これ以降、ユーザはパスワードなしでログインできるようになる。RSA 認証は rhosts 認証に比べて格段に安全である。
RSA 認証を使うためのもっとも便利な方式として、認証エージェントを使う方法がある。詳細は ssh-agent(1) を参照されたい。
もし他の認証方式が失敗すると、ssh はパスワード認証を行おうとする。この際チェックのためにパスワードがリモートホストに送られるが、すべての通信は暗号化されており、そのネットワークが誰かに盗聴されてもパスワードが見られてしまうことはない。

SSH プロトコルバージョン２

ユーザが接続をする際、プロトコルバージョン２という異なった認証方式を使うこともできる。まず、クライアントは公開鍵方式による認証を試みる。これに失敗すると、パスワード認証が試される。
公開鍵方式は前節で述べた RSA 認証によく似ているが、DSA または RSA アルゴリズムを使用するところが異なる。クライアントは自分の秘密鍵である $HOME/.ssh/id_dsa を使ってセッション識別子に署名を行い、その結果をサーバに送付する。サーバではそれに合致する公開鍵を $HOME/.ssh/authorized_keys2 から検索し、両方の鍵が登録されていてかつ署名が正しければアクセスを許可する。セッション識別子は共有の Diffie-Hellman 値から取り出されるが、これはクライアントとサーバのみが知っている。
公開鍵認証が失敗するかまたは使用できない場合、パスワードを暗号化してリモートホストに送り、ユーザの独自性を証明してもらうことができる。このプロトコル２の実装では、Kerberos や S/Key 認証はまだサポートされていない。
プロトコル２では追加メカニズムを提供することにより、信頼性（トラフィックは 3DES, Blowfish, CAST128 または Arcfour を使って暗号化される）や完全性（hmac-sha1, hmac-md5）を向上させている。プロトコル１では接続の完全性を確立するための強力なメカニズムが不足していることに注意せよ。

ログインセッションと遠隔実行

サーバによりユーザの正当性が受け入れられると、サーバは与えられたコマンドを実行するか、またはユーザにそのマシンにログインさせ、リモートマシン上でユーザに通常のシェル環境を提供する。リモートコマンドまたはリモートシェルとのすべての通信は自動的に暗号化される。
擬似端末（通常のログインセッション）が与えられている場合は、ユーザは ~. で切断したり、~^Z で ssh を保留したりできる。すべての中継コネクションの一覧は ~# で表示でき、また中継された X11 や TCP/IP コネクションのセッションブロックが終了待ちになっている場合、~& でバックグラウンドに回すことができる（ユーザシェルがアクティブの場合はシェルがハングアップしてしまうので、これは行うべきではない）。使用可能な全エスケープシーケンスは ~? で表示できる。
一つのチルダ文字は ~~ を使って送ることができる（チルダに続くこれ以外の文字についてはすでに前述した）。エスケープ文字の後は、これを特殊文字として扱うために常に改行文字でなければならない。エスケープ文字は設定ファイルやコマンドラインから変更することができる。
擬似 tty が割り当てられなかった場合、そのセッションは透過となり、バイナリデータを安全に転送するのに使えるようになる。ほとんどのシステムにおいて、エスケープ文字を 'none' にすると、たとえ tty が使われていてもそのセッションは透過となる。
リモートマシン上のコマンドまたはシェルが存在し、かつすべての X11 や TCP/IP コネクションが閉じられると、セッションは終了する。リモートプログラムの終了ステータスは ssh の終了ステータスとして返される。

X11 と TCP フォワーディング

ユーザが X11 を使っている（DISPLAY 環境変数がセットされている）場合、X11 ディスプレイへの接続は自動的にリモート側に中継される。動作としては、シェル（またはコマンド）から起動されたすべての X11 プログラムは暗号化された通信路を通り、本当の X サーバへの接続がローカルマシンからなされる。ユーザは DISPLAY 環境変数を手作業でセットするべきではない。X11 接続の中継はコマンドラインと設定ファイルの双方で行える。
ssh によってセットされた DISPLAY の値はサーバマシンを指しているが、画面番号は 0 より大きくなる。これが通常の動作であり、ssh は暗号化された通信路上で接続を中継するためのサーバマシン、サーバマシン上に「プロキシの」 X サーバを生成する。
ssh はサーバマシン上で Xauthority データのセットアップを自動的に行う。この目的のために、ssh はランダムな認証クッキーを生成し、それをサーバ上の Xauthority に格納する。そしてすべての中継された接続がこのクッキーを運ぶことをチェックし、接続がオープンする時それを本当のクッキーで置き換える。本当の認証クッキーがサーバに送られることはない（またクッキーは平文では送られない）。
ユーザが認証エージェントを使っている場合、エージェントへの接続は、コマンドラインや設定ファイルで禁止されていない限り自動的にリモート側へ中継される。
任意の TCP/IP コネクションについて安全な通信路を通るように、コマンドラインまたは設定ファイルで設定することもできる。電子財布への安全なコネクションを取り扱う TCP/IP アプリケーションもあるだろうし、フアーウォールを通過するものもあるだろう。

サーバ認証

ssh では、過去に使用したことのあるすべてのホストに関しての ID を保持しているデータベースを管理しており、その保守と検査が自動的に行われる。 RSA ホスト鍵はユーザのホームディレクトリ配下の $HOME/.ssh/known_hosts に、プロトコルバージョン２で使われる DSA ホスト鍵は $HOME/.ssh/known_hosts2 に格納されている。さらに、既知のホストについては /etc/ssh/ssh_known_hosts と /etc/ssh/ssh_known_hosts2 が自動的に使われる。新しいホストはすべて自動的にユーザのファイルに追加される。あるホストの ID が変更されると、ssh はこれに関する警告を発し、パスワード認証を不可にすることで、ユーザのパスワードを奪おうとするトロイの木馬に備える。このメカニズムはまた、それでもなお man-in-the-middle （訳註：TCP セッションの乗っ取り）アタックで暗号を回避しようとする試みを排除する。StrictHostKeyChecking オプション（後述）により、ホスト鍵が不明または変更されたマシンへのログインを禁止することができる。

オプション

-a
認証エージェント接続の中継を禁止する。
-A

認証エージェント接続の中継を許可する。これは設定ファイル中で各ホスト毎にも指定することができる。
-c blowfish|3des

セッションを暗号化するための暗号化方式を選択する。デフォルトでは 3des が使われる。これは安全であるとされている。3des（トリプル des）は３つの異なった鍵で暗号化−復号化−暗号化を行う。これは、もはや ssh では完全にサポートされなくなった des 暗号化に比べればより安全であると思われる。blowfish は高速なブロック暗号方式であり、非常に安全でかつ 3des よりさらに高速である。
-c cipher_spec

さらにプロトコルバージョン２では、複数の暗号方式を優先度の高い順にカンマ区切りで指定することができる。詳細は暗号方式を参照。
-e ch|^ch|none

pty で動作するセッションのエスケープ文字を設定する（デフォルトは '~'）。エスケープ文字は行の先頭でのみ認識される。エスケープ文字の後にドット（'.'）が続くと接続が閉じられ、コントロール-Z だと接続を保留し、エスケープ文字そのものの場合、エスケープ文字を一文字送信する。エスケープ文字を 'none' にするとすべてのエスープを無効にし、そのセッションを完全に透過にする。
-f

コマンドを実行直前にバックグラウンドに切り替えるように ssh に指示する。これは、ssh がパスワードやパスフレーズを要求するが、これをバックグラウンドで指定したい場合に有用である。これは暗に -n を指定したことになる。リモートサイトで X11 のプログラムを起動する際は、ssh -f host xterm などとする方がよいだろう。
-g

リモートホストからローカルにフォワードされたポートへの接続を許可する。
-i identity_file

RSA または DSA 認証に使われる ID（秘密鍵）ファイルを選択する。デフォルトはユーザのホームディレクトリにある $HOME/.ssh/identity である。ID ファイルは設定ファイルにおいてホスト毎に指定することもできる。複数の -i オプション（および設定ファイルにおいて複数の ID ファイル）を指定することも可能。
-k

ケルベロスのチケットと AFS トークンの中継を禁止する。これは設定ファイル中でホスト毎に指定することもできる。
-l login_name

リモートマシン上でログインする際のユーザ名を指定する。これは設定ファイル中でホスト毎に指定することもできる。
-m mac_spec

さらにプロトコルバージョン２では、MAC（message authentication code -- メッセージ認証コード）アルゴリズムをカンマで区切って優先度の高い順に指定することができる。詳細は MAC というキーワードを調べてみて欲しい。
-n

/dev/null から stdin へリダイレクトする（実際には、stdin からの読み込みを禁止する）。ssh をバックグラウンドで起動する場合はこれが指定されなければならない。このオプションは、リモートマシン上で X11 のプログラムを動かすためのトリックとしてもよく知られている。たとえば ssh -n shadows.cs.hut.fi emacs & とやると shadows.cs.hut.fi 上で emacs が起動するが、同時に暗号化チャネル上で X11 コネクションが自動的に中継されるようになる。ssh プログラムはバックグラウンド上に置かれる。（ssh がパスワードやパスフレーズを問い合わせる場合はこれは動作しない。-f オプションを参照のこと）。
-N

リモートコマンドを実行しない。これは単にポートの中継だけを行いたい場合に役立つ（プロトコルバージョン２のみ）。
-o option

設定ファイル中で使われる書式の中でオプションを与えるのに使用される。これは別々のコマンドラインフラグがない場合にオプションを指定するのに便利である。このオプションの書式は、設定ファイルの各行にある書式と同じである。
-p port

リモートホストへ接続するポート。これは設定ファイル中でホスト毎に指定することもできる。
-P

送出コネクションに関して非特権ポートを使用する。あなたのファイアーウォールが特権ポートからのコネクションを許可していない場合に使用できる。このオプションは、古いサーバのために RhostsAuthentication および RhostsRSAAuthentication をオフにすることに注意せよ。
-q

静粛モード。すべての警告や診断メッセージを抑制する。致命的エラーのみが表示される。
-s

リモートシステムのサブシステムを呼び出すための要求に使われることがある。サブシステムは SSH2 プロトコルの機能であり、SSH を他のアプリケーション（すなわち sftp）のため安全な転送路として使えるというもの。サブシステムはリモートコマンドとして指定される。
-t

強制的に擬似 tty を割り当てる。これは、リモートマシン上でとても便利に使える任意の画面ベースのプログラム、すなわちメニュー形式のサービスを実行するのに使える。-t を複数個指定すると、ssh がローカルの tty を持たない場合でも強制的に tty を割り当てる。
-T

擬似 tty の割り当てを行わない。
-v

冗長モード。ssh の処理について逐次デバッグメッセージを表示させる。これは接続や認証、そして設定の問題をデバッグするのに役立つ。 -v を複数指定すると冗長度が増す。最高は３である。
-x

X11 の中継を行わない。
-X

X11 の中継を行う。これは設定ファイル上でホスト毎に設定される場合もある。
-C

全データ（stdin, stdout, stderr, および中継された X11 や TCP/IP のデータも含む）の圧縮を要求する。圧縮アルゴリズムは gzip(1) で使われるのと同じものであり、圧縮オプション（後述）により 'level' を制御できる。モデム回線やその他の低速回線で圧縮をかけると効果があるが、高速回線ではかえって遅くなる。デフォルト値は設定ファイル上でホスト毎に設定できる。後述の圧縮オプションを参照のこと。
-L port:host:hostport

ローカル（クライアント）ホスト上の指定されたポートを、指定されたリモートホスト上の指定ポートに中継（フォワード）するように指示する。これは以下のように動作する：ローカル側で listen するべきポートのソケットを割り当てておき、このポートに対して接続が行われたら、そのコネクションは安全なチャネルを経由して中継され、リモート側のホスト host の hostport ポートとの間で接続が確立する。ポートの中継は設定ファイルで指定することもできる。特権ポートの中継を行えるのは root のみである。IPv6 アドレスも port/host/hostport という別の書式で指定できる。
-R port:host:hostport

リモート（サーバ）側ホスト上の与えられたポートを、ローカル側の指定ホスト：ポートに中継する。これは以下のように動作する：リモート側で listen するべきポートのソケットを割り当てておき、このポートに対して接続が行われたら、そのコネクションは安全なチャネルを経由して中継され、ローカルマシンからホスト host の hostport ポートとの間で接続が確立する。ポートの中継は設定ファイルで指定することもできる。特権ポートの中継を行えるのは root のみである。
-1

プロトコルバージョン２のみを使用する。
-2

プロトコルバージョン２のみを使用する。
-4

IPv4 アドレスのみを使用する。
-6

IPv6 アドレスのみを使用する。

設定ファイル

ssh はその設定データを、コマンドラインオプション、ユーザの設定ファイル（$HOME/.ssh/config）、システム全体の設定ファイル（ /etc/ssh/ssh_config）のうちのいずれかから、ここで指定された順に取得する。各パラメータは、最初に取得したものが使われる。設定ファイルは `Host' 指定で区切られたセクションで構成されるが、そのセクションの設定値が適用されるのは、指定の中で与えられたパターンにマッチしたホストに対してのみである。指定されたホスト名のパターンはコマンドラインで与えられたホスト名とマッチングされる。
各パラメータのうち最初に現れたものの値が使用されるため、ホスト固有なものほどファイルの先頭に近いところに記述し、一般的なデフォルト値は最後の方に置くようにする。
設定ファイルは以下のような書式で記述する；
空行および '#' で始まる行はコメントである。
それ以外の場合、各行は「キーワード引数」のような書式を持つ。指定可能なキーワードとそれらの意味を以下に示す（設定ファイルでは大文字と小文字を区別することに注意されたい）。

Host

（次の Host キーワードまでの）以下の宣言を、キーワードに続くパターンのうちのいずれかにマッチしたホストに対してのみに制限する。'*' と '?' はパターン中のワイルドカードとして使える。パターンとしての１つの '*' は、すべてのホストのためのグローバルデフォルトを表すのに使える。ホストはコマンドラインで与えられた hostname 引数である（すなわちマッチングまでは、ホスト名は正式ホスト名には変換されない）。
AFSTokenPassing

AFS トークンをリモートホストに渡すかどうかを指定する。このキーワードの引数は 'yes' または 'no' でなければならない。
BatchMode

'yes' に設定されると、パスフレーズ／パスワードの問い合わせは行われなくなる。このオプションは、スクリプト内やその他のバッチジョブなど、パスワードを入力するユーザがいない場合に役立つ。引数は 'yes' または 'no' でなければならない。
CheckHostIP

このフラグが 'yes' に設定されると、ssh は known_hosts ファイル内の IP アドレスのチェックを行うようになる。これにより、 ssh は DNS の詐称でホスト鍵が変わったのを検出できるようになる。このオプションが 'no' に設定されると、このチェックは行われない。
Cipher

プロトコルバージョン１において、セッションを暗号化するのに使用する暗号化方式を指定する。現在 `blowfish' と `3des' がサポートされている。デフォルトは `3des' である。
Ciphers

プロトコルバージョン２で許可する暗号方式を、優先度の高い順に指定する。複数の方式を指定する場合はカンマで区切る。デフォルトは以下の通り： `3des-cbc,blowfish-cbc,cast128-cbc,arcfour,aes128-cbc, aes192-cbc,aes256-cbc,rijndael128-cbc,rijndael192-cbc, rijndael256-cbc,rijndael-cbc@lysator.liu.se'
Compression

圧縮を使用するかどうか。引数は 'yes' または 'no' のいづれかである。
CompressionLevel

圧縮を有効にしている場合、使用する圧縮レベルを指定する。引数は整数で 1（速い）から 9（遅い、最良）までの値を取る。デフォルトのレベルは 6 で、これはほとんどのアプリケーションにとってちょうどよい値である。値の意味は gzip(1) と同じである。
ConnectionAttempts

rsh 動作に切り替える／終了するまでに（１秒に一回ずつ）行うリトライ回数を指定する。引数は整数でなければならない。接続に失敗することがある場合、スクリプト内で実行する際に便利である。
PubkeyAuthentication

公開鍵認証を試すかどうかを指定する。引数は 'yes' または 'no' のいずれか。このオプションはプロトコルバージョン２でのみ適用されることに注意。
EscapeChar

エスケープ文字（デフォルトは '~'）を設定する。エスケープ文字はコマンドラインで設定することもできる。引数は '^' の１文字の次に何かの文字を続けるか、または一切のエスケープ文字を無効にする（すなわちバイナリデータを通すために透過な接続にする） 'none' である。
FallBackToRsh

ssh が connection refused エラーで接続できない（リモート側で listen している sshd(8) がいない）場合、（当該セッションは暗号化されないという適切な警告の後）自動的に rsh(1) が使われるようにするかどうかを指定する。引数は 'yes' か 'no' のいずれか。
ForwardAgent

認証エージェント（がもしあれば）への接続をリモートマシンへ中継するかどうかを指定する。引数は 'yes' か 'no' のいずれか。デフォルトは 'no'。
ForwardX11

X11 コネクションを自動的に安全な通信路にリダイレクトし、 DISPLAY 環境変数をセットするかどうかを指定する。引数は 'yes' か 'no' のいずれか。デフォルトは 'no'。
GatewayPorts

リモートホストをローカルに中継されたポートに接続させるかどうかを指定する。引数は 'yes' か 'no' のいずれか。デフォルトは 'no'。
GlobalKnownHostsFile

/etc/ssh/ssh_known_hosts の代わりに使用するファイルを指定する。
HostKeyAlias

ホスト鍵を検索したり known_hosts ファイルに保存したりする際、実際のホスト名の代わりに使用するべき別名を指定する。 ssh コネクションをトンネリングしたり、１ホスト上で複数の ssh サーバが動いている場合に、このオプションは役立つ。
HostName

ログイン先の実際のホスト名を指定する。これはそのホストのニックネームや省略形を指定するのに使われる。デフォルトはコマンドラインで指定された名前が使われる。（コマンドラインと HostName 指定の双方で）数字の IP アドレスを指定してもよい。
IdentityFile

ユーザの RSA 認証 ID が入っているファイルを指定する（デフォルトはユーザのホームディレクトリにある $HOME/.ssh/identity）。さらに、認証時には認証エージェントによりあらゆる ID 指定が使われる。ファイル名にはユーザのホームディレクトリを指すためのチルダ（'~'）書式を使ってもよい。設定ファイル中で複数の ID ファイルを指定することも可能である。これらすべての ID ファイルが指定された順に使用される。
KeepAlive

システムがキープアライブメッセージを相手側に送るべきかどうかを指定する。送られた場合、接続が無効になっていたり相手マシンがクラッシュしていれば、それらの事象が適切に報告される。しかしながら、これは裏を返せば、途中経路が一時的にダウンしてもそれで接続が切れてしまうということであり、うっとおしいと思うユーザもいるだろう。デフォルトは 'yes'（キープアライブを送る）であり、ネットワークが落ちたりリモートホストが死んだりしたら、クライアントはそれを通知する。これはスクリプト中では重要であり、多くのユーザもこの動作を望むはずである。キープアライブを無効にするためには、サーバとクライアントの設定ファイルの双方で 'no' にしてやらなければならない。
KerberosAuthentication

ケルベロス認証を使うかどうかを指定する。引数は 'yes' または 'no' のいずれか。
KerberosTgtPassing

ケルベロス TGT をサーバ側に中継するかどうかを指定する。これはケルベロスサーバが本当に AFS kaserver である場合にのみ動作する。引数は 'yes' または 'no' のいずれか。
LocalForward

リモートマシンから与えられた host:port に対し、安全な通信路を経由して中継したいローカルマシン上の TCP/IP ポートを指定する。第一引数はポート番号で、第二引数は host:port を指定する。複数の中継を指定することもでき、また追加の中継指定はコマンドラインから行うこともできる。特権ポートを中継できるのはスーパーユーザだけである。
LogLevel

ssh からログメッセージを出力する際の冗長性のレベルを指定する。指定可能な値は QUIET, FATAL, ERROR, INFO, VERBOSE, DEBUG である。デフォルトは INFO。
MAC

MAC（message authentication code -- メッセージ認証コード）のアルゴリズムを、優先度の高い順に指定する。MAC アルゴリズムはプロトコルバージョン２でデータの統合的な保護のために使用される。複数のアルゴリズムを指定する場合はカンマで区切る。デフォルトは以下の通り： `hmac-sha1,hmac-md5,hmac-ripemd160,hmac-ripemd160@openssh.com, hmac-sha1-96,hmac-md5-96'
NumberOfPasswordPrompts

パスワードプロンプトをリトライする回数を指定する。引数は整数でなければならない。デフォルトは 3。
PasswordAuthentication

パスワード認証を使用するかどうかを指定する。引数は 'yes' または 'no' のいずれか。このオプション亜ｈバージョン１と２の両方に適用されることに注意。
Port

リモートホストに接続する際のポート番号を指定する。デフォルトは 22。
Protocol

ssh がサポートするべきプロトコルのバージョンを、優先順位の高い順に指定する。指定可能な値は '1' または '2' である。複数のバージョンを指定する場合はカンマで区切る。デフォルトは '1,2' である。これはつまり、ssh はまずバージョン１を試し、いまくいかなければバージョン２を試してみることを意味している。
ProxyCommand

サーバへ接続するのに使うコマンドを指定する。コマンド文字列は行末まで拡張され、/bin/sh により実行される。コマンド文字列の中で、'%h' は接続先のホスト名に、'%p' はポート番号に置き換えられる。コマンドは基本的に何でもよいいが、標準入力から入力を行い、標準出力に書き出すようにする。これはどこかのマシン上で動いている sshd(8) サーバに接続することもあるし、どこかの sshd -i を実行することもある。ホスト鍵の管理は接続先ホストの HostName （デフォルトはユーザがタイプした名前）を使って行われる。プロキシーコマンドによる接続では、 CheckHostIP は使えないことに注意。
RemoteForward

ローカルマシンから与えられた host:port に対し、安全な通信路を経由して中継したいリモートマシン上の TCP/IP ポートを指定する。第一引数はポート番号で、第二引数は host:port を指定する。複数の中継を指定することもでき、また追加の中継指定はコマンドラインから行うこともできる。特権ポートを中継できるのはスーパーユーザだけである。
RhostsAuthentication

rhosts ベースの認証を試みるかどうかを指定する。この宣言はクライアント側にのみ影響を与えるもので、またセキュリティに関してはおろそかになる。rhosts 認証を行っていない場合 rhosts 認証を無効にすると、低速回線上であれば認証にかかる時間を低減できるかもしれない。安全ではなくなるため（ RhostsRSAAuthentication を参照）、ほとんどのサーバでは RhostsAuthentication を許可していない。
RhostsRSAAuthentication

RSA ホスト認証とともに rhosts ベースの認証を試行するかどうかを指定する。これはほとんどのホストにおいて通常の認証方法となっている。引数は 'yes' か 'no' のいずれか。
RSAAuthentication

RSA 認証を試行するかどうかを指定する。引数は 'yes' か 'no' のいずれか。RSA 認証は ID ファイルが存在するか認証エージェントが動作している時のみ試される。このオプションはプロトコルバージョン１にのみ適用されることに注意。
ChallengeResponseAuthentication

チャレンジ - レスポンス方式の認証を使うかどうかを指定する。現在は skey(1) 認証のみがサポートされている。引数は 'yes' か 'no' のいずれか。デフォルトは 'no'。
StrictHostKeyChecking

このフラグが 'yes' にセットされている場合、ssh はホスト鍵を $HOME/.ssh/known_hosts と $HOME/.ssh/known_hosts2 に自動的に追加せず、ホスト鍵が変更されたホストについては接続を拒否する。これにより、トロイの木馬アタックを最大限に防御している。しかしながら、/etc/ssh/ssh_known_hosts および /etc/ssh/ssh_known_hosts2 ファイルが適切にインストールされておらず、かつ頻繁に新しいホストに接続するような場合、この動作はうっとおしく思われるかもしれない。このオプションを設定すると、ユーザは新しいホストを手作業で追加しなければならなくなる。このオプションを 'no' にしておくと、新しいホスト鍵は自動的にユーザの既知のホストファイルに追加される。このフラグを 'ask' にすると、ユーザが問い合わせに対して本当に登録する旨の確認を行った場合にのみホスト鍵を追加し、ホスト鍵が変更になった場合は接続を拒否する。ホスト鍵の検査は、どのケースにおいても自動的に行われる。引数は 'yes', 'no' または 'ask' のいずれか。デフォルトは 'ask'。
UsePrivilegedPort

こちらからの接続について特権ポートを使用するかどうかを指定する。引数は 'yes' か 'no' のいずれか。デフォルトは 'yes'。このオプションを 'no' にすると、古いサーバについては RhostsAuthentication と RhostsRSAAuthentication の両方とも無効となるので注意。
User

なんというユーザでログインするのかを指定する。これは、いくつもの異なったマシンに異なったユーザ名を持っている場合に重宝する。これを設定しておけば、コマンドラインで与えるユーザ名を覚えておく必要がなくなる。
UserKnownHostsFile

$HOME/.ssh/known_hosts の代わりに使用するファイルを指定する。
UseRsh

このホストについては rlogin/rsh を使用するべきであることを指定する。ssh プロトコルを全くサポートさせないようにすることもできる。この場合 ssh はすぐに rsh(1) を起動する。このオプションが指定されると、 HostName を除く）他のすべてのオプションは無視される。引数は 'yes' または 'no' である。
XAuthLocation

xauth(1) プログラムの場所を指定する。デフォルトは /usr/bin/X11/xauth である。

環境変数

通常 ssh は以下の環境変数をセットする：

DISPLAY

DISPLAY 環境変数は X11 サーバの位置を表している。これは ssh により自動的にセットされ、'hostname:n' の形式の値を持っている。ここで hostname はシェルが動いているホストを表し、n は 1 以上の整数である。ssh はこの特別な値を、安全な通信路をを通して X11 コネクションを中継するために使用する。通常ユーザは DISPLAY を明示的にセットするべきでない。これは、X11 コネクションが安全でなくなるからである（さらに、ユーザは要求された認証クッキーを手作業でコピーする羽目になる）。
HOME

ユーザのホームディレクトリをセットする。
LOGNAME

USER の別名。この変数を使うシステムとの互換性のためにセットする。
MAIL

ユーザのメールボックスを指し示す。
PATH

ssh のコンパイル時に指定された、デフォルトの PATH をセットする。
SSH_AUTH_SOCK

エージェントと通信を行うための unix ドメインソケットのパスを示す。
SSH_CLIENT

そのコネクションのクライアント側終端を示す。この変数には空白で区切られた３つの値がある。順にクライアントの IP アドレス、クライアント側のポート番号、サーバ側ポート番号である。　
SSH_ORIGINAL_COMMAND

強制的にコマンドが実行された場合、この変数には元のコマンドラインが保持される。これは元の引数を取り出すのに使われる。
SSH_TTY

現在のシェルまたはコマンドに関連づけられた tty （デバイスへのパス）の名前をセットする。現在のセッションに tty がない場合、この変数はセットされない。
TZ

デーモンが実行を開始したときにセットされていれば、このタイムゾーン変数は現在のタイムゾーンを示している（すなわち、デーモンは新しいコネクションに対してこの値を渡す）。
USER

ログインしているユーザの名前をセットする。

これらに加え、ssh は $HOME/.ssh/environment を読み込み、 `VARNAME=value' の書式を持つ行の内容を環境変数に追加する。

ファイル

$HOME/.ssh/known_hosts

ユーザがログインしたことのあるすべてのホスト（のうち、 /etc/ssh/ssh_known_hosts にない）のホスト鍵を記録する。 sshd(8) を参照。
$HOME/.ssh/identity, $HOME/.ssh/id_dsa

ユーザの RSA または DSA 認証 ID を保持する。これらのファイルは重要なデータを持っているので、ユーザからは読めても他のユーザからはアクセス (read/write/execute) できないようにすべきである。ssh は他のユーザからアクセス可能な秘密鍵ファイルを無視することに注意せよ。鍵を生成する際にパスフレーズを指定することもできる。パスフレーズは、このファイルの重要な部分を 3DES を使って暗号化するのに使われる。
$HOME/.ssh/identity.pub, $HOME/.ssh/id_dsa.pub

認証のための公開鍵（すなわち ID ファイルの公開部分を、人間が読める形式で）を保持する。$HOME/.ssh/identity.pub ファイルの中身を、自分が RSA 認証を使ってログインしたいと思うすべてのマシン上の $HOME/.ssh/authorized_keys に追加してやらなければならない。また $HOME/.ssh/id_dsa.pub を、自分が DSA 認証を使ってログインしたいと思うすべてのマシン上の $HOME/.ssh/authorized_keys2 に追加してやらなければならない。これらのファイルは秘密ではなく、誰から読まれても構わない（その必要もないが）。これらのファイルは自動的に使われることはなく、必要でさえない。単にユーザの利便性のために提供されているだけである。
$HOME/.ssh/config

これはユーザ毎の設定ファイルである。このファイルの書式はすでに上記で述べた。このファイルは ssh クライアントによって使われる。このファイルには通常いかなる重要なデータも入ることはないが、念のためユーザは read/write 可能とし、他のユーザからのアクセスパーミッションはすべて落としておこう。
$HOME/.ssh/authorized_keys

このユーザとしてログインするために使われる RSA 鍵の一覧を保持する。このファイルの書式は sshd(8) マニュアルページで記述されている。もっとも単純な書式では、.pub ID ファイルと同一である（すなわち、各行にはその係数におけるビットの並び、公開されている指数値、係数、コメントフィールドが空白で区切られて格納されている）。このファイルはそんなに機密性は高くないが、念のためユーザは read/write 可能とし、他のユーザのアクセスパーミッションはすべて落としておこう。
$HOME/.ssh/authorized_keys2

このユーザとしてログインするために使われる公開鍵(DSA/RSA) の一覧を保持する。このファイルはそんなに機密性は高くないが、念のためユーザは read/write 可能とし、他のユーザからのアクセスパーミッションはすべて落としておこう。
/etc/ssh/ssh_known_hosts, /etc/ssh_known_hosts2

システム全体で使用する既知のホスト鍵のリスト。 /etc/ssh/ssh_known_hosts には RSA 鍵が、 /etc/ssh/ssh_known_hosts2 にはプロトコルバージョン２の DSA または RSA 鍵が入っている。これらのファイルには、組織内のすべてのマシンの公開ホスト鍵が入るように、システム管理者によって設定されていることが望ましい。このファイルは全ユーザから読めなければならない。このファイルには、公開鍵が１行に１つずつ、以下の書式で入っている（各フィールドはカンマで区切られる）：システム名、係数におけるビットの並び、公開されている指数値、係数、オプションのコメントフィールド。同じマシンに対して異なった名前が使われると、そのようなすべての名前がカンマで区切ってすべて羅列されているはずである。この書式は sshd(8) マニュアルページで説明されている。
ログインする際、クライアントホストを確認するために、sshd(8) により（ネームサーバから返される）正式なシステム名が使われる。 ssh はユーザが与えた名前を正式な名前に変換しないので、他の名前も列挙しておく必要がある。これは、ネームサーバにアクセスできる誰かによって、ホスト認証のメカニズムを破壊されないようにするためである。

/etc/ssh/ssh_config

システム全体の設定ファイル。このファイルは、ユーザ毎の設定ファイルで指定されていない値のデフォルトを決定したり、設定ファイル自体を持たないユーザのためのものである。このファイルは全ユーザからアクセスできなければならない。
$HOME/.rhosts

このファイルは .rhost 認証で使われるもので、ログインできるホストとユーザのペアを列挙する。（このファイルは rlogin や rsh でも使われるため、このファイル自体も安全ではないことに留意しておこう）。このファイルの各行はホスト名（ネームサーバから返される正式名称）に続いてそのホストのユーザ名が空白で区切って列挙されている。ユーザのホームディレクトリが NFS でマウントされているようなホストでは、このファイルは全ユーザからアクセス可能にしておかなければならない場合もある。これは。sshd(8) はこれを root 権限で読み込むからである。さらに、このファイルの所有者はそのユーザであり、それ以外のユーザから書き込みが可能になっていてはならない。ほとんどのマシンにおいて、そのユーザからは読み書き可能、他のユーザからはアクセス不可にしておくことが推奨される。
ただしデフォルトでは sshd(8) がインストールされるので、 .rhosts 認証で許可するのに先立って RSA ホスト認証が正しく行われる必要があることに注意しよう。もしあなたのサーバマシンの /etc/ssh/ssh_known_hosts にクライアントのホスト鍵が登録されていなければ、それを $HOME/.ssh/known_hosts に登録しておけばよい。これを行うためのもっとも簡単な方法は、そのサーバマシンからクライアントに対して逆方向に ssh で接続してやればよい。これで自動的にホスト鍵が $HOME/.ssh/known_hosts に追加される。

$HOME/.shosts

このファイルは .rhosts と全く同じように使われる。このファイルが必要となるのは、ssh で rhosts 認証を使用するが、 rlogin(1) と rsh(1) によるログインは許可したくない場合である。
/etc/hosts.equiv

このファイルは .rhosts 認証の間で使用される。この中にはホストの正式名称が１行に１つずつ格納されている（完全なフォーマットについては sshd(8) マニュアルページに記述されている）。このファイルの記述中にクライアントのホストがあれば、自動的にログインが許可され、クライアントとサーバにおけるユーザ名は同じものとみなされる。さらには、通常 RSA のホスト認証が要求される。このファイルは root によってのみ書き込みができるようになっているべきである。
/etc/ssh/shosts.equiv

このファイルは /etc/hosts.equiv と全く同じように処理される。このファイルは ssh によるログインを許可するが、rsh/rlogin を使わないという場合に意味がある。
/etc/sshrc

このファイルに書かれているコマンドは、ユーザがログインして、シェル（またはコマンド）の実行を開始する直前に実行される。詳細は sshd(8) のマニュアルを参照のこと。
$HOME/.ssh/rc

このファイルに書かれているコマンドは、ユーザがログインして、シェル（またはコマンド）の実行を開始する直前に実行される。詳細は sshd(8) のマニュアルを参照のこと。
$HOME/.ssh/environment

環境変数に対する追加定義を行う。前述の環境変数のセクションを参照。
libcrypto.so.X.1

正しい動作をするためには、RSA アルゴリズムをサポートするようなバージョンのライブラリが必要である。

作者

OpenSSH は、Tatu Ylonen によってリリースされたオリジナルでフリーの ssh 1.2.12 の派生物である。Aaron Campbell, Bob Beck, Markus Friedl, Niels Provos, Theo de Raadt, Dug Song が多くのバグを取り除き、再度新しい機能を取り入れて OpenSSH を作成した。Markus Friedl は SSH プロトコルバージョン 1.5 および 2.0 のサポートについて貢献した。

翻訳者

堀田倫英 <hotta@net-newbie.com>

関連事項
     rlogin(1), rsh(1), scp(1), sftp(1), ssh-add(1), ssh-agent(1),
     ssh-keygen(1), telnet(1), sshd(8)
    
BSD Experimental              September 25, 1999                            13