Připojení VPS k ColdHost AI přes SSH a bezpečné spouštění příkazů

ColdHost AI se umí připojit k vašemu serveru přes SSH. AI pak nejen radí, co spustit, ale navrhuje konkrétní příkazy – vy každý z nich schválíte kliknutím, příkaz se provede a jeho výstup se vrátí zpět do konverzace. AI tak vidí skutečný stav serveru místo toho, aby hádala.

Jak to funguje

1. Popíšete problém nebo úkol („nginx vrací 502“, „nainstaluj Docker“).
2. AI navrhne příkaz.
3. Vy si ho přečtete a schválíte, nebo odmítnete.
4. Výstup se pošle zpět AI, která podle něj navrhne další krok.

Nic se nespustí bez vašeho kliknutí. Tím zůstává kontrola na vaší straně.

Doporučení: vytvořte samostatného uživatele

Nepřipojujte AI jako root. Vytvořte si samostatného uživatele a práva přidávejte podle potřeby:

sudo adduser aiadmin
# pokud potřebujete správu systému:
sudo usermod -aG sudo aiadmin

Pokud chcete jen čtení logů a stavu služeb, sudo vůbec nepřidávejte – stačí třeba skupina adm (čtení logů v /var/log) a systemd-journal (čtení žurnálu):

sudo usermod -aG adm,systemd-journal aiadmin

Přihlašování SSH klíčem

Klíč je bezpečnější než heslo. Na svém počítači vygenerujte dedikovaný klíč:

ssh-keygen -t ed25519 -C "coldhost-ai" -f ~/.ssh/coldhost_ai

Veřejný klíč nahrajte na server:

ssh-copy-id -i ~/.ssh/coldhost_ai.pub [email protected]

A ověřte přihlášení:

ssh -i ~/.ssh/coldhost_ai [email protected]

Při připojování serveru v ColdHost AI pak zadáte adresu, port, uživatele a přihlašovací údaj, který rozhraní vyžaduje. Dedikovaný klíč má tu výhodu, že ho můžete kdykoliv zneplatnit odebráním řádku z ~/.ssh/authorized_keys bez vlivu na váš osobní klíč.

Zabezpečte SSH na serveru

Než server otevřete jakémukoli vzdálenému přístupu, zkontrolujte základy v /etc/ssh/sshd_config:

PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes

Konfiguraci ověřte a službu načtěte znovu:

sudo sshd -t && sudo systemctl reload ssh

Na Debianu a Ubuntu se služba jmenuje ssh, na RHEL/Rocky/Alma sshd. Před reloadem mějte otevřenou druhou SSH relaci, abyste se při chybě nezamkli.

Pravidla pro schvalování příkazů

Schválení je vaše pojistka. Před kliknutím si položte tři otázky:

1. Rozumím, co příkaz dělá? Pokud ne, zeptejte se AI na vysvětlení.
2. Je vratný? Čtení (cat, ls, systemctl status) je bezpečné. Mazání a přepisování ne.
3. Ovlivní běžící služby? Restart databáze uprostřed dne může vyhodit uživatele.

Zvláštní pozornost věnujte příkazům typu:

Příkaz / vzor	Proč pozor
rm -rf	nevratné mazání
chmod -R 777	bezpečnostní díra
dd, mkfs	přepis disku
curl ... \| bash	spuštění neověřeného skriptu
ufw enable, změny iptables	můžete se odříznout od SSH
apt upgrade na produkci	nečekané změny verzí

U firewallu vždy nejdřív povolte SSH:

sudo ufw allow OpenSSH
sudo ufw enable

Typický příklad

Zadání: „Web vrací 502 Bad Gateway.“ AI typicky postupuje takto:

systemctl status nginx --no-pager
sudo tail -n 30 /var/log/nginx/error.log
systemctl status php8.2-fpm --no-pager
ss -tlnp

Z výstupu zjistí, že PHP-FPM neběží, navrhne sudo systemctl restart php8.2-fpm a poté ověření pomocí curl -I http://localhost. Každý krok vidíte a schvalujete.

Pro tento typ práce zvolte režim Server a DevOps a na složitější diagnostiku model Polaris.

Odpojení a úklid

Když přístup už nepotřebujete, server v aplikaci odpojte a na serveru odeberte klíč z ~/.ssh/authorized_keys uživatele aiadmin, případně uživatele úplně smažte:

sudo deluser --remove-home aiadmin

S omezeným uživatelem, přihlášením klíčem a pozorným schvalováním je práce s AI na serveru stejně bezpečná jako práce s kolegou, kterému se díváte přes rameno.