Instalación y refuerzo de seguridad del servidor OpenSSH integrado en Windows Server

Objetivo

Instalar el servidor OpenSSH integrado de Windows, colocar la clave pública de un administrador donde el servidor realmente confíe en ella y establecer un shell predeterminado adecuado.

Requisitos previos

Derechos de administrador y Windows Server 2019 o posterior. En 2019 y 2022, OpenSSH Server es una capacidad opcional que hay que añadir; en Windows Server 2025 ya viene instalado y solo hay que habilitarlo, así que conviene comprobarlo antes de añadirlo.

Pasos

1. Comprueba la disponibilidad e instala: Get-WindowsCapability -Online -Name OpenSSH.Server* y, después, Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0.
2. Inicia el servicio y configúralo para que arranque automáticamente: Start-Service sshd; Set-Service -Name sshd -StartupType Automatic.
3. El archivo de configuración del servidor, sshd_config, se crea en %ProgramData%\ssh\ en la primera instalación, no en la carpeta .ssh del cliente.
4. En una cuenta de administrador no se consulta el archivo authorized_keys propio del cliente. Si un usuario "pertenece al grupo de administradores, se usa en su lugar %programdata%/ssh/administrators_authorized_keys" en vez del archivo por usuario. Añade la clave pública a ese archivo.
5. Restringe su ACL exactamente como indica la documentación, o el servidor se negará a usarlo: administrators_authorized_keys "solo debe tener entradas de permisos para la cuenta NT Authority\SYSTEM y el grupo de seguridad BUILTIN\Administrators", y SYSTEM debe tener control total:

icacls "$env:ProgramData\ssh\administrators_authorized_keys" /inheritance:r
icacls "$env:ProgramData\ssh\administrators_authorized_keys" /grant "SYSTEM:F"
icacls "$env:ProgramData\ssh\administrators_authorized_keys" /grant "BUILTIN\Administrators:F"

6. Establece un shell predeterminado explícito en lugar de depender del valor alternativo integrado, añadiendo un valor de cadena DefaultShell en HKLM:\SOFTWARE\OpenSSH:

New-ItemProperty -Path "HKLM:\SOFTWARE\OpenSSH" -Name DefaultShell -Value "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -PropertyType String -Force

Esta configuración se aplica solo al servidor OpenSSH, no al cliente.

Resultado esperado

ssh administrator@SRV1 se autentica con la clave del paso 4 sin pedir contraseña y abre una sesión en el shell definido en el paso 6.

Límites y base de verificación

Si la ACL de administrators_authorized_keys incluye alguna cuenta adicional, el servidor no respetará el archivo: verifícalo con icacls después del paso 5, en lugar de dar por hecho que los comandos funcionaron. Para deshacer los cambios: elimina el valor DefaultShell para volver al shell predeterminado, y Uninstall-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0 quita la función por completo. Si el equipo ya está en producción, haz una copia de seguridad de sshd_config y de administrators_authorized_keys antes de cualquiera de estos dos cambios. No hace falta reiniciar; tras un cambio de configuración basta con Restart-Service sshd.