LinuxのSSHに二要素認証（TOTP）を設定する方法｜Google AuthenticatorとPAMで不正ログインを防ぐ実践手順

この記事のポイント

・TOTPは30秒ごとに変わる6桁コードで、パスワード漏えいだけでは不正ログインを防げる構成にできる
・libpam-google-authenticatorとPAMの設定変更だけでSSHに組み込める
・公開鍵認証との組み合わせはAuthenticationMethodsで2段階を明示するのが確実
・ロックアウト対策としてスクラッチコードを設定直後にオフライン保管すること

# journalctl -u sshd --since "2026-09-22" | grep "Failed password"
Sep 22 03:12:41 web01 sshd[3289]: Failed password for root from 103.114.x.x port 51823 ssh2
Sep 22 03:12:44 web01 sshd[3292]: Failed password for root from 103.114.x.x port 51824 ssh2
Sep 22 03:12:47 web01 sshd[3295]: Failed password for admin from 185.220.x.x port 44218 ssh2
Sep 22 03:15:02 web01 sshd[3311]: Failed password for ubuntu from 45.33.x.x port 60012 ssh2
（以下省略: 1時間に200件超）

# EPELリポジトリを有効化（既に有効な場合は不要）
dnf install epel-release -y

# google-authenticatorとQRコード表示用ツールをインストール
dnf install google-authenticator qrencode -y

# インストール確認
rpm -q google-authenticator
google-authenticator-1.10-2.el9.x86_64

apt install libpam-google-authenticator -y

# インストール確認
dpkg -l libpam-google-authenticator
ii  libpam-google-authenticator  20210105-2  amd64  Two-step verification

# 対象ユーザーでログインした状態で実行する
google-authenticator

Do you want authentication tokens to be time-based (y/n) y
Warning: pasting the following URL into your browser exposes the OTP secret to Google:
  https://www.google.com/chart?chs=200x200&chld=M|0&cht=qr&chl=otpauth://totp/...

（ここにターミナル上でQRコードが表示される）

Your new secret key is: ABCDE23456FGHIJ7
Enter code from app (-1 to skip): 836492
Code confirmed
Your emergency scratch codes are:
  42815709
  91637402
  58024167
  76310582
  30947861

Do you want me to update your "/home/sysadm/.google_authenticator" file? (y/n) y

Do you want to disallow multiple uses of the same authentication
token? (y/n) y

By default, a new token is generated every 30 seconds by the mobile app.
In order to compensate for possible time-skew between the client and the server,
we allow an extra token before and after the current time.
Do you want to do so? (y/n) y

If the computer that you are logging into isn't hardened against brute-force
login attempts, you can enable rate-limiting for the authentication module.
Do you want to enable rate-limiting? (y/n) y

# /etc/pam.d/sshd の末尾に追加（既存行は変更しない）
auth required pam_google_authenticator.so

# /etc/pam.d/sshd（末尾抜粋・Rocky Linux 9.4）
auth       substack     password-auth
auth       include      postlogin
# ...（省略）...

# 末尾に追加した行
auth required pam_google_authenticator.so

# RHEL9系 / Rocky Linux 9 / Ubuntu 22.04以降 → KbdInteractiveAuthentication を使用
KbdInteractiveAuthentication yes

# 古いOS（CentOS 7等）は下記のキー名を使用
# ChallengeResponseAuthentication yes

# UsePAMはyesであることを確認（大半のディストリビューションでデフォルトyes）
UsePAM yes

# 構文チェック（エラーがなければ何も出力されない）
sshd -t && echo "構文OK"
構文OK

# sshdを再起動
systemctl restart sshd

# 状態確認
systemctl status sshd | grep -E "Active:|Loaded:"
   Loaded: loaded (/usr/lib/systemd/system/sshd.service; enabled; preset: enabled)
   Active: active (running) since Tue 2026-09-23 14:30:12 JST; 3s ago

ssh sysadm@192.168.x.x
sysadm@192.168.x.x's password:
Verification code:

# 公開鍵認証が成功した後にもTOTPコードを要求する
AuthenticationMethods publickey,keyboard-interactive

# 公開鍵認証で接続（鍵のパスフレーズなしの場合）
ssh -i ~/.ssh/id_ed25519 sysadm@192.168.x.x

# 公開鍵認証成功後、TOTPが要求される
Authenticated with partial success.
Verification code:

# PAM設定確認
grep pam_google /etc/pam.d/sshd
auth required pam_google_authenticator.so  # この行があればOK

# sshd設定確認
sshd -T | grep -iE "kbdinteractive|challengeresponse|usepam"
kbdinteractiveauthentication yes
usepam yes

# サーバーのNTP同期状態確認
timedatectl
               Local time: Tue 2026-09-23 14:35:22 JST
           Universal time: Tue 2026-09-23 05:35:22 UTC
                 RTC time: Tue 2026-09-23 05:35:22
                Time zone: Asia/Tokyo (JST, +0900)
System clock synchronized: yes   ← yes でなければ要確認
              NTP service: active

# コンソールでログイン後にTOTP設定を削除してSSHを一時無効化
rm ~/.google_authenticator

# SSHで再ログインできることを確認後、再設定する
google-authenticator