Instalação e hardening do servidor OpenSSH nativo no Windows Server

Objetivo

Instalar o servidor OpenSSH nativo do Windows, colocar a chave pública de um administrador no local em que o servidor realmente confia nela e definir um shell padrão adequado.

Pré-requisitos

Direitos de administrador; Windows Server 2019 ou posterior. No 2019 e no 2022, o OpenSSH Server é um recurso opcional que precisa ser adicionado; no Windows Server 2025 ele já vem instalado e só precisa ser habilitado, portanto verifique antes de adicioná-lo.

Passos

1. Verifique a disponibilidade e instale: Get-WindowsCapability -Online -Name OpenSSH.Server* e, em seguida, Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0.
2. Inicie o serviço e configure-o para iniciar automaticamente: Start-Service sshd; Set-Service -Name sshd -StartupType Automatic.
3. O arquivo de configuração do servidor, sshd_config, é criado em %ProgramData%\ssh\ na primeira instalação, e não na pasta .ssh do cliente.
4. Para uma conta de administrador, o arquivo authorized_keys do próprio cliente não é consultado. Se um usuário "pertence ao grupo de administradores, %programdata%/ssh/administrators_authorized_keys é usado em vez" do arquivo por usuário. Adicione a chave pública a esse arquivo.
5. Restrinja a ACL exatamente como documentado, ou o servidor se recusará a usar o arquivo: administrators_authorized_keys "deve ter entradas de permissão apenas para a conta NT Authority\SYSTEM e o grupo de segurança BUILTIN\Administrators", com controle total concedido ao SYSTEM:

icacls "$env:ProgramData\ssh\administrators_authorized_keys" /inheritance:r
icacls "$env:ProgramData\ssh\administrators_authorized_keys" /grant "SYSTEM:F"
icacls "$env:ProgramData\ssh\administrators_authorized_keys" /grant "BUILTIN\Administrators:F"

6. Defina explicitamente um shell padrão em vez de depender do fallback embutido, adicionando um valor de texto DefaultShell em HKLM:\SOFTWARE\OpenSSH:

New-ItemProperty -Path "HKLM:\SOFTWARE\OpenSSH" -Name DefaultShell -Value "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -PropertyType String -Force

Essa configuração vale apenas para o servidor OpenSSH, não para o cliente.

Resultado esperado

ssh administrator@SRV1 autentica com a chave do passo 4 sem pedir senha e abre o shell definido no passo 6.

Limites e base de verificação

Se a ACL de administrators_authorized_keys incluir qualquer conta adicional, o servidor não respeitará o arquivo; confirme com icacls depois do passo 5, em vez de apenas presumir que os comandos tiveram êxito. Para desfazer: remova o valor DefaultShell para voltar ao padrão; Uninstall-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0 remove o recurso por completo. Se a máquina já estiver em uso em produção, faça backup de sshd_config e de administrators_authorized_keys antes de qualquer uma das alterações. Não é necessário reiniciar o sistema; Restart-Service sshd basta depois de uma mudança de configuração.