<p><a href="http://www.openssh.com/" title="OpenSSH" target="_blank" rel="nofollow noopener noreferrer">OpenSSH</a> では ssh-agent を <a href="https://gnupg.org/" title="The GNU Privacy Guard" target="_blank" rel="nofollow noopener noreferrer">GnuPG</a> の gpg-agent に置き換えることで鍵の管理を <a href="https://gnupg.org/" title="The GNU Privacy Guard" target="_blank" rel="nofollow noopener noreferrer">GnuPG</a> 側に委譲できる。ちなみに gpg-agent は <a href="https://gnupg.org/" title="The GNU Privacy Guard" target="_blank" rel="nofollow noopener noreferrer">GnuPG</a> 秘密鍵管理の中核コンポーネントで，自身はパスフレーズを一定期間キャッシュすることでユーザの鍵操作を省力化できる（秘密鍵そのものはキャッシュしない）。また，リモートの gpg-agent 同士の連携も可能である。</p>
<p>ただし Ubuntu を含む Debian 系ディストリビューションでは <a href="http://www.openssh.com/" title="OpenSSH" target="_blank" rel="nofollow noopener noreferrer">OpenSSH</a> の鍵管理に ssh-agent を使うことを前提に構成されているため， gpg-agent に置き換えるにはいくつかの設定変更が必要なようだ。この記事では，その設定変更について簡単にまとめておく<sup class="footnote-ref"><a href="#fn-b659-1" id="fnref-b659-1">[1]</a></sup>。</p>
<h2 id="ubuntu-%E8%A8%AD%E5%AE%9A%E3%81%AE%E5%A4%89%E6%9B%B4">
<a class="header-anchor-link" href="#ubuntu-%E8%A8%AD%E5%AE%9A%E3%81%AE%E5%A4%89%E6%9B%B4" aria-hidden="true"></a> Ubuntu 設定の変更</h2>
<h3 id="gpg-agent-%E3%82%B5%E3%83%BC%E3%83%93%E3%82%B9%E3%81%AE%E7%A2%BA%E8%AA%8D">
<a class="header-anchor-link" href="#gpg-agent-%E3%82%B5%E3%83%BC%E3%83%93%E3%82%B9%E3%81%AE%E7%A2%BA%E8%AA%8D" aria-hidden="true"></a> gpg-agent サービスの確認</h3>
<p>まずは gpg-agent がサービスとして稼働しているか確認する。</p>
<div class="code-block-container"><pre><code>$ systemctl --user status gpg-agent
● gpg-agent.service - GnuPG cryptographic agent and passphrase cache
     Loaded: loaded (/usr/lib/systemd/user/gpg-agent.service; static)
     Active: inactive (dead)
TriggeredBy: ● gpg-agent-extra.socket
             ● gpg-agent-browser.socket
             ● gpg-agent-ssh.socket
             ● gpg-agent.socket
       Docs: man:gpg-agent(1)
</code></pre></div><p>上はログイン直後で gpg-agent が起動していない状態だが， <code>TriggeredBy</code> が示す4つのソケットへのアクセスで起動するようになっている。このソケットの中に <code>gpg-agent-ssh.socket</code> が含まれていれば無問題。ちなみにソケットの実体は gpgconf コマンドで確認できる。</p>
<div class="code-block-container"><pre><code>$ gpgconf --list-dirs | grep socket
socketdir:/run/user/1000/gnupg
dirmngr-socket:/run/user/1000/gnupg/S.dirmngr
agent-ssh-socket:/run/user/1000/gnupg/S.gpg-agent.ssh
agent-extra-socket:/run/user/1000/gnupg/S.gpg-agent.extra
agent-browser-socket:/run/user/1000/gnupg/S.gpg-agent.browser
agent-socket:/run/user/1000/gnupg/S.gpg-agent
</code></pre></div><h3 id="xsession.options-%E3%81%AE%E5%A4%89%E6%9B%B4">
<a class="header-anchor-link" href="#xsession.options-%E3%81%AE%E5%A4%89%E6%9B%B4" aria-hidden="true"></a> Xsession.options の変更</h3>
<p>次に /etc/X11/Xsession.options ファイルを確認する。</p>
<div class="code-block-container">
<div class="code-block-filename-container"><span class="code-block-filename">/etc/X11/Xsession.options</span></div>
<pre class="language-bash"><code class="language-bash"><span class="token comment"># $Id: Xsession.options 189 2005-06-11 00:04:27Z branden $</span>
<span class="token comment">#</span>
<span class="token comment"># configuration options for /etc/X11/Xsession</span>
<span class="token comment"># See Xsession.options(5) for an explanation of the available options.</span>
allow-failsafe
allow-user-resources
allow-user-xsession
use-ssh-agent
use-session-dbus
</code></pre>
</div><p>この中の <code>use-ssh-agent</code> の記述を <code>no-use-ssh-agent</code> に差し替える。当然ながら変更には管理者権限が必要なのでご注意を。バックアップを取りながら作業してね。</p>
<h3 id="gnome-keyring-ssh.desktop-%E3%82%92-autostart-%E3%81%AB%E5%85%A5%E3%82%8C%E3%82%8B">
<a class="header-anchor-link" href="#gnome-keyring-ssh.desktop-%E3%82%92-autostart-%E3%81%AB%E5%85%A5%E3%82%8C%E3%82%8B" aria-hidden="true"></a> gnome-keyring-ssh.desktop を autostart に入れる</h3>
<p>/etc/xdg/autostart/ ディレクトリに gnome-keyring-ssh.desktop ファイルがあるのだが，まずはこのファイルを ~/.config/autostart/ ディレクトリにコピーする。ディレクトリがない場合は作成すること。</p>
<div class="code-block-container"><pre><code>$ cp /etc/xdg/autostart/gnome-keyring-ssh.desktop ~/.config/autostart/
</code></pre></div><p>gnome-keyring-ssh.desktop ファイルの中身はテキストだが，コピーしたこのファイルの末尾に</p>
<div class="code-block-container"><pre class="language-ini"><code class="language-ini"><span class="token key attr-name">Hidden</span><span class="token punctuation">=</span><span class="token value attr-value">true</span>
</code></pre></div><p>の行を追記する。</p>
<h4 id="%E3%80%902021-06-05-%E8%BF%BD%E8%A8%98%E3%80%91-ubuntu-21.04-%E3%81%AE%E5%A0%B4%E5%90%88">
<a class="header-anchor-link" href="#%E3%80%902021-06-05-%E8%BF%BD%E8%A8%98%E3%80%91-ubuntu-21.04-%E3%81%AE%E5%A0%B4%E5%90%88" aria-hidden="true"></a> 【2021-06-05 追記】 Ubuntu 21.04 の場合</h4>
<p>2021年4月にリリースされた Ubuntu 21.04 ではこの設定ではうまく行かないようだ。この場合，とりあえず応急措置として .bashrc で</p>
<div class="code-block-container"><pre class="language-bash"><code class="language-bash"><span class="token builtin class-name">export</span> <span class="token assign-left variable"><span class="token environment constant">SSH_AUTH_SOCK</span></span><span class="token operator">=</span><span class="token string">"<span class="token variable"><span class="token variable">$(</span>gpgconf --list-dirs agent-ssh-socket<span class="token variable">)</span></span>"</span>
dbus-update-activation-environment <span class="token parameter variable">--systemd</span> <span class="token environment constant">SSH_AUTH_SOCK</span>
</code></pre></div><p>と言った感じに環境変数 SSH_AUTH_SOCK を直接指定すればよい（情報募集）。</p>
<h3 id="gpg-agent.conf-%E3%81%AE%E8%A8%AD%E5%AE%9A">
<a class="header-anchor-link" href="#gpg-agent.conf-%E3%81%AE%E8%A8%AD%E5%AE%9A" aria-hidden="true"></a> gpg-agent.conf の設定</h3>
<p>最後に ~/.gnupg/gpg-agent.conf ファイルに以下の内容を書き込む。 gpg-agent.conf ファイルがない場合は作成してね。</p>
<div class="code-block-container">
<div class="code-block-filename-container"><span class="code-block-filename">~/.gnupg/gpg-agent.conf</span></div>
<pre class="language-bash"><code class="language-bash">enable-ssh-support
default-cache-ttl-ssh <span class="token number">1800</span>
max-cache-ttl-ssh <span class="token number">7200</span>
</code></pre>
</div><p>下2つのオプションは任意で，以下の意味を持つ。</p>
<table>
<thead>
<tr>
<th>オプション名</th>
<th>内容</th>
</tr>
</thead>
<tbody>
<tr>
<td><code>default-cache-ttl-ssh</code></td>
<td>直前にアクセスしたキャッシュ・エントリの有効期間を秒単位で指定する。 既定値は 1800</td>
</tr>
<tr>
<td><code>max-cache-ttl-ssh</code></td>
<td>キャッシュ・エントリの有効期間の最大値を秒単位で指定する。 アクセスの有無にかかわらずこの期間が過ぎるとキャッシュがクリアされる。 既定値は 7200</td>
</tr>
</tbody>
</table>
<p>有効期間は大きすぎると漏洩リスクが高まるのでほどほどに（笑）</p>
<p>これで設定は完了。念のためログインし直しておこう。</p>
<h3 id="%E7%92%B0%E5%A2%83%E5%A4%89%E6%95%B0%E3%81%AE%E7%A2%BA%E8%AA%8D">
<a class="header-anchor-link" href="#%E7%92%B0%E5%A2%83%E5%A4%89%E6%95%B0%E3%81%AE%E7%A2%BA%E8%AA%8D" aria-hidden="true"></a> 環境変数の確認</h3>
<p>ログインし直したら環境変数を確認しておく。</p>
<div class="code-block-container"><pre><code>$ env | grep SSH
SSH_AUTH_SOCK=/run/user/1000/gnupg/S.gpg-agent.ssh
</code></pre></div><p>てな感じに SSH_AUTH_SOCK 環境変数の値が gpg-agent のソケットになっていれば OK である。</p>
<h2 id="gnupg-%E3%81%AB%E3%82%88%E3%82%8B%E9%8D%B5%E7%AE%A1%E7%90%86">
<a class="header-anchor-link" href="#gnupg-%E3%81%AB%E3%82%88%E3%82%8B%E9%8D%B5%E7%AE%A1%E7%90%86" aria-hidden="true"></a> <a href="https://gnupg.org/" title="The GNU Privacy Guard" target="_blank" rel="nofollow noopener noreferrer">GnuPG</a> による鍵管理</h2>
<h3 id="%E6%97%A2%E5%AD%98%E3%81%AE-openssh-%E8%AA%8D%E8%A8%BC%E9%8D%B5%E3%82%92%E7%99%BB%E9%8C%B2%E3%81%99%E3%82%8B">
<a class="header-anchor-link" href="#%E6%97%A2%E5%AD%98%E3%81%AE-openssh-%E8%AA%8D%E8%A8%BC%E9%8D%B5%E3%82%92%E7%99%BB%E9%8C%B2%E3%81%99%E3%82%8B" aria-hidden="true"></a> 既存の <a href="http://www.openssh.com/" title="OpenSSH" target="_blank" rel="nofollow noopener noreferrer">OpenSSH</a> 認証鍵を登録する</h3>
<p>上述の設定が完了していれば，既存の <a href="http://www.openssh.com/" title="OpenSSH" target="_blank" rel="nofollow noopener noreferrer">OpenSSH</a> 認証鍵を <a href="https://gnupg.org/" title="The GNU Privacy Guard" target="_blank" rel="nofollow noopener noreferrer">GnuPG</a> の鍵束に登録するのは ssh-add コマンドで簡単にできる。</p>
<div class="code-block-container"><pre><code>$ ssh-add ./id_ecdsa
Enter passphrase for ./id_ecdsa: 
Identity added: ./id_ecdsa (alice@example.com)
</code></pre></div><p>この時 ssh-add コマンドによるパスフレーズ入力とは別に GnuPG の Pinentry によるパスフレーズの設定が行われる（確認を含めて2箇所入力する必要あり）。</p>
<p><a href="https://text.baldanders.info/remark/2020/06/upgrade-openssh-key/pinentry.png" target="_blank" rel="nofollow noopener noreferrer"><img src="https://res.cloudinary.com/zenn/image/fetch/s--8WPQpfiD--/c_limit%2Cf_auto%2Cfl_progressive%2Cq_auto%2Cw_1200/https://text.baldanders.info/remark/2020/06/upgrade-openssh-key/pinentry.png" alt="Pinentry" loading="lazy" class="md-img"></a></p>
<p><a href="https://gnupg.org/" title="The GNU Privacy Guard" target="_blank" rel="nofollow noopener noreferrer">GnuPG</a> の鍵束に登録される認証鍵はこのパスフレーズで保護される。</p>
<p>大事なことなので繰り返すが，登録した秘密鍵はキャッシュされず <a href="https://gnupg.org/" title="The GNU Privacy Guard" target="_blank" rel="nofollow noopener noreferrer">GnuPG</a> の鍵束（~/.gnupg/private-keys-v1.d/ ディレクトリ）に入る。また ~/.gnupg/sshcontrol ファイルに</p>
<div class="code-block-container"><pre class="language-bash"><code class="language-bash"><span class="token comment"># ECDSA key added on: 2020-06-01 14:05:35</span>
<span class="token comment"># Fingerprints:  MD5:e4:5b:66:a6:03:9a:a4:0e:f2:1b:a5:04:72:93:f3:f0</span>
<span class="token comment">#                SHA256:DtXgQm9rz7Dc5M5yWu/CNVo341o1rcfN9UCyYu+SZU4</span>
A5353D587000D820669B0BD55A0B4AD6897458DB <span class="token number">0</span>
</code></pre></div><p>という感じに追加した鍵の情報が入る。</p>
<p>ちなみに <code>A5353D587000D820669B0BD55A0B4AD6897458DB</code> は keygrip と呼ばれる値で，鍵の種類に関係なく統一的に表される ID である。また鍵束である ~/.gnupg/private-keys-v1.d/ ディレクトリに入っている鍵は A5353D587000D820669B0BD55A0B4AD6897458DB.key のように keygrip に紐付いたファイル名で格納されている。また，末尾の <code>0</code> はキャッシュ期間（秒）を指すらしい。 <code>0</code> より大きければ gpg-agent.conf ファイルの指定より優先されるってことかな。</p>
<p>なお，行頭に <code>!</code> マークを付けると鍵の使用を無効化できる。</p>
<h3 id="gnupg-%E9%8D%B5%E3%82%92-openssh-%E8%AA%8D%E8%A8%BC%E9%8D%B5%E3%81%A8%E3%81%97%E3%81%A6%E8%A8%AD%E5%AE%9A%E3%81%99%E3%82%8B">
<a class="header-anchor-link" href="#gnupg-%E9%8D%B5%E3%82%92-openssh-%E8%AA%8D%E8%A8%BC%E9%8D%B5%E3%81%A8%E3%81%97%E3%81%A6%E8%A8%AD%E5%AE%9A%E3%81%99%E3%82%8B" aria-hidden="true"></a> <a href="https://gnupg.org/" title="The GNU Privacy Guard" target="_blank" rel="nofollow noopener noreferrer">GnuPG</a> 鍵を <a href="http://www.openssh.com/" title="OpenSSH" target="_blank" rel="nofollow noopener noreferrer">OpenSSH</a> 認証鍵として設定する</h3>
<p><a href="https://gnupg.org/" title="The GNU Privacy Guard" target="_blank" rel="nofollow noopener noreferrer">GnuPG</a> 鍵を <a href="http://www.openssh.com/" title="OpenSSH" target="_blank" rel="nofollow noopener noreferrer">OpenSSH</a> 認証鍵として設定することもできる。ただし専用の認証鍵を作る必要がある。詳しくは拙文</p>
<p><span class="embed-block zenn-embedded zenn-embedded-card"><iframe id="zenn-embedded__d6a948d12c214" src="https://embed.zenn.studio/card#zenn-embedded__d6a948d12c214" data-content="https%3A%2F%2Ftext.baldanders.info%2Fopenpgp%2Fssh-key-management-with-gnupg%2F" frameborder="0" scrolling="no" loading="lazy"></iframe></span><a href="https://text.baldanders.info/openpgp/ssh-key-management-with-gnupg/" style="display:none" target="_blank" rel="nofollow noopener noreferrer">https://text.baldanders.info/openpgp/ssh-key-management-with-gnupg/</a></p>
<p>を参考にどうぞ。たとえば</p>
<div class="code-block-container"><pre><code>$ gpg --list-keys --with-keygrip alice
pub   ed25519 2021-01-06 [SC] [有効期限: 2021-01-13]
      011C720B03D2E1D6BCFA98391DFF44901121B61D
      Keygrip = 97249ABEB2A2FD9E88F6723BB19D4F84B90E261A
uid           [  究極  ] Alice &lt;alice@example.com&gt;
sub   cv25519 2021-01-06 [E]
      Keygrip = 96CB831965E1A7EB4705577D6A7CB7F9E05C8192
sub   ed25519 2021-01-06 [A]
      Keygrip = F5C774B5B418B6E0B5B7942F93DE82BF2FEF4C8E
</code></pre></div><p>という鍵があるとき，最後の <code>[A]</code> でマークされている副鍵が <a href="http://www.openssh.com/" title="OpenSSH" target="_blank" rel="nofollow noopener noreferrer">OpenSSH</a> 認証鍵として使えるのだが，この鍵の keygrip 値を ~/.gnupg/sshcontrol ファイルに登録する。</p>
<div class="code-block-container"><pre><code>$ echo F5C774B5B418B6E0B5B7942F93DE82BF2FEF4C8E 0 &gt;&gt; ~/.gnupg/sshcontrol
</code></pre></div><h3 id="%E7%99%BB%E9%8C%B2%E3%81%97%E3%81%9F%E9%8D%B5%E3%81%AE%E7%A2%BA%E8%AA%8D">
<a class="header-anchor-link" href="#%E7%99%BB%E9%8C%B2%E3%81%97%E3%81%9F%E9%8D%B5%E3%81%AE%E7%A2%BA%E8%AA%8D" aria-hidden="true"></a> 登録した鍵の確認</h3>
<p>登録した鍵は <code>ssh-add -l</code> コマンドで確認できる。公開鍵の取り出しは <code>ssh-add -L</code> コマンドでいいかな。 <a href="https://gnupg.org/" title="The GNU Privacy Guard" target="_blank" rel="nofollow noopener noreferrer">GnuPG</a> で作成した鍵なら</p>
<div class="code-block-container"><pre><code>$ gpg --export-ssh-key alice
ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIFfjejx/Saej929myfZoBQAKgusPi2iiOxdZZfpCLxh5 openpgp:0x390C3E49
</code></pre></div><p>でも取り出せる。</p>
<h2 id="%E5%8F%82%E8%80%83%E3%83%9A%E3%83%BC%E3%82%B8">
<a class="header-anchor-link" href="#%E5%8F%82%E8%80%83%E3%83%9A%E3%83%BC%E3%82%B8" aria-hidden="true"></a> 参考ページ</h2>
<p><span class="embed-block zenn-embedded zenn-embedded-card"><iframe id="zenn-embedded__87834cf08b098" src="https://embed.zenn.studio/card#zenn-embedded__87834cf08b098" data-content="https%3A%2F%2Fcuriouslynerdy.com%2Fgpg-agent-for-ssh-on-ubuntu%2F" frameborder="0" scrolling="no" loading="lazy"></iframe></span><a href="https://curiouslynerdy.com/gpg-agent-for-ssh-on-ubuntu/" style="display:none" target="_blank" rel="nofollow noopener noreferrer">https://curiouslynerdy.com/gpg-agent-for-ssh-on-ubuntu/</a></p>
<p><span class="embed-block zenn-embedded zenn-embedded-card"><iframe id="zenn-embedded__4e3eb43e29315" src="https://embed.zenn.studio/card#zenn-embedded__4e3eb43e29315" data-content="https%3A%2F%2Ftext.baldanders.info%2Fremark%2F2020%2F06%2Fupgrade-openssh-key%2F" frameborder="0" scrolling="no" loading="lazy"></iframe></span><a href="https://text.baldanders.info/remark/2020/06/upgrade-openssh-key/" style="display:none" target="_blank" rel="nofollow noopener noreferrer">https://text.baldanders.info/remark/2020/06/upgrade-openssh-key/</a></p>
<p><span class="embed-block zenn-embedded zenn-embedded-card"><iframe id="zenn-embedded__c21f161745142" src="https://embed.zenn.studio/card#zenn-embedded__c21f161745142" data-content="https%3A%2F%2Ftext.baldanders.info%2Fopenpgp%2Fbuild-gnupg-in-ubuntu%2F" frameborder="0" scrolling="no" loading="lazy"></iframe></span><a href="https://text.baldanders.info/openpgp/build-gnupg-in-ubuntu/" style="display:none" target="_blank" rel="nofollow noopener noreferrer">https://text.baldanders.info/openpgp/build-gnupg-in-ubuntu/</a></p>
<h2 id="%E5%8F%82%E8%80%83%E5%9B%B3%E6%9B%B8">
<a class="header-anchor-link" href="#%E5%8F%82%E8%80%83%E5%9B%B3%E6%9B%B8" aria-hidden="true"></a> 参考図書</h2>
<p><span class="embed-block zenn-embedded zenn-embedded-card"><iframe id="zenn-embedded__950ad63256647" src="https://embed.zenn.studio/card#zenn-embedded__950ad63256647" data-content="https%3A%2F%2Fwww.amazon.co.jp%2Fdp%2FB015643CPE" frameborder="0" scrolling="no" loading="lazy"></iframe></span><a href="https://www.amazon.co.jp/dp/B015643CPE" style="display:none" target="_blank" rel="nofollow noopener noreferrer">https://www.amazon.co.jp/dp/B015643CPE</a><br style="display:none">
</p>
<section class="footnotes">
<span class="footnotes-title">脚注</span>
<ol class="footnotes-list">
<li id="fn-b659-1" class="footnote-item">
<p>Windows の場合は，古い記事で恐縮だが，拙文「<a href="https://text.baldanders.info/openpgp/using-gnupg-for-windows-2/" target="_blank" rel="nofollow noopener noreferrer">GnuPG for Windows : gpg-agent について</a>」を参照のこと。 <a href="#fnref-b659-1" class="footnote-backref">↩︎</a></p>
</li>
</ol>
</section>


Ubuntu で OpenSSH の鍵管理を gpg-agent に委譲する【たぶん決定版】

gnome-keyring-ssh.desktop を autostart に入れる

既存の OpenSSH 認証鍵を登録する

GnuPG 鍵を OpenSSH 認証鍵として設定する

Discussion