如何强制实施基于 SSH 密钥的强一致性访问控制规范实战

强制执行SSH密钥强一致性访问控制需覆盖全生命周期：统一ed25519/RSA4096密钥生成、强口令与命名规范；服务端禁用密码登录、限制授权命令与权限；密钥须绑定身份并关联HR/IAM系统；自动化审计日志、白名单校验及12个月轮换。

强制执行基于 SSH 密钥的强一致性访问控制，不是配完密钥就一劳永逸的事。它要求从密钥生成、分发、绑定身份、服务端策略到审计下线，每个环节都按统一标准落地，杜绝“各搞各的”。核心是让公钥不再只是登录凭证，而是可追溯、可验证、可管控的身份锚点。

统一密钥生成与生命周期规范

禁止自由生成密钥，所有密钥必须通过标准化流程创建：

• 强制使用 ed25519 算法（OpenSSH ≥6.5），或至少 RSA 4096；禁用 RSA 1024/2048、DSA、弱 ECDSA 曲线
• 每条私钥必须设置 强 passphrase（≥12位，含大小写字母、数字、符号），禁止空口令
• 密钥文件命名需含标识：如 id_ed25519_devops-prod-2026，避免默认名导致混淆
• 私钥严禁明文传输——不截图、不邮件、不粘贴聊天工具；统一存入企业级密码管理器（如 Bitwarden 共享库或 HashiCorp Vault）

服务端强制准入与权限隔离

服务器不能只“接受公钥”，而要通过配置把公钥变成受控入口：

• 在 /etc/ssh/sshd_config 中启用关键策略：
  PubkeyAuthentication yes
PasswordAuthentication no
PermitEmptyPasswords no
MaxAuthTries 3
AllowUsers @groupname（配合系统组做白名单）
• 为每个用户设置专用 shell：git-shell 或 rssh，禁止交互式登录以外的操作
• 在 ~/.ssh/authorized_keys 中，每行公钥前添加限制指令，例如：
  no-port-forwarding,no-X11-forwarding,command="/usr/bin/git-shell -c "$SSH_ORIGINAL_COMMAND"" ssh-ed25519 AAAA... user@team
• 目录与文件权限必须严格：chmod 700 ~/.ssh，chmod 600 ~/.ssh/authorized_keys

身份-密钥-权限三者强绑定

公钥本身无业务含义，必须通过外部机制赋予角色和边界：

• 禁止共享密钥；每位员工/服务账号对应唯一公钥，并与 HR 系统工号或 IAM 账户 ID 关联
• Git 平台（GitHub/GitLab）中，将公钥上传行为纳入入职流程：自动触发权限开通，离职时同步吊销
• 敏感主机（如数据库、支付网关）启用 AllowGroups + Match User 配置段，实现按职能组分级授权
• 对 main、prod 分支等关键资源，启用保护规则：仅允许特定公钥所属账户提交，且必须经 CI 检查+指定 reviewer 批准

自动化审计与持续验证

靠人工检查不可持续，需嵌入运维闭环：

• 每周运行脚本扫描所有服务器的 authorized_keys，比对 LDAP/OAuth 用户状态，标记“未关联工号”或“超期90天未登录”密钥
• CI 流水线部署前校验：提交者公钥指纹是否在预设白名单内，否则拒绝合并
• 记录完整 SSH 登录日志（LogLevel VERBOSE），保留至少180天，字段包含：用户名、源IP、公钥指纹、登录时间、会话命令
• 密钥轮换策略写入 SLA：生产环境密钥有效期 ≤12个月，到期前15天自动邮件提醒，逾期未更新则服务端自动禁用