Installer et sécuriser le serveur OpenSSH intégré à Windows Server

Objectif

Installer le serveur OpenSSH intégré à Windows, placer la clé publique d'un administrateur à l'endroit où le serveur l'acceptera réellement, et définir un shell par défaut adapté.

Prérequis

Droits d'administrateur ; Windows Server 2019 ou version ultérieure. Sous 2019 et 2022, OpenSSH Server est une fonctionnalité facultative à ajouter ; sous Windows Server 2025, il est déjà installé et doit seulement être activé. Vérifiez donc sa présence avant de l'ajouter.

Étapes

1. Vérifiez la disponibilité, puis installez : Get-WindowsCapability -Online -Name OpenSSH.Server*, puis Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0.
2. Démarrez le service et configurez son démarrage automatique : Start-Service sshd; Set-Service -Name sshd -StartupType Automatic.
3. Le fichier de configuration du serveur, sshd_config, est créé lors de la première installation sous %ProgramData%\ssh\, et non dans le dossier .ssh du client.
4. Pour un compte administrateur, le fichier authorized_keys propre à l'utilisateur n'est pas pris en compte. Si un utilisateur « appartient au groupe des administrateurs, %programdata%/ssh/administrators_authorized_keys est utilisé à la place » du fichier propre à l'utilisateur. Ajoutez la clé publique dans ce fichier.
5. Restreignez son ACL exactement comme le prévoit la documentation, sinon le serveur refusera de l'utiliser : administrators_authorized_keys « ne doit comporter d'entrées d'autorisation que pour le compte NT Authority\SYSTEM et le groupe de sécurité BUILTIN\Administrators », SYSTEM disposant du contrôle total :

icacls "$env:ProgramData\ssh\administrators_authorized_keys" /inheritance:r
icacls "$env:ProgramData\ssh\administrators_authorized_keys" /grant "SYSTEM:F"
icacls "$env:ProgramData\ssh\administrators_authorized_keys" /grant "BUILTIN\Administrators:F"

6. Définissez explicitement un shell par défaut plutôt que de vous en remettre au comportement de repli intégré, en ajoutant une valeur de type chaîne DefaultShell sous HKLM:\SOFTWARE\OpenSSH :

New-ItemProperty -Path "HKLM:\SOFTWARE\OpenSSH" -Name DefaultShell -Value "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -PropertyType String -Force

Ce paramètre s'applique uniquement au serveur OpenSSH, pas au client.

Résultat attendu

ssh administrator@SRV1 s'authentifie avec la clé de l'étape 4 sans demander de mot de passe et ouvre le shell défini à l'étape 6.

Limites et base de vérification

Si l'ACL de administrators_authorized_keys comporte un compte supplémentaire, quel qu'il soit, le serveur ignore le fichier : vérifiez-la avec icacls après l'étape 5, au lieu de supposer que les commandes ont abouti. Pour revenir en arrière : supprimez la valeur DefaultShell pour retrouver le comportement par défaut ; Uninstall-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0 supprime entièrement la fonctionnalité. Si la machine est déjà en production, sauvegardez sshd_config et administrators_authorized_keys avant l'une ou l'autre de ces modifications. Aucun redémarrage n'est nécessaire ; après une modification de la configuration, Restart-Service sshd suffit.