SSH 密钥自动化部署如何做

SSH密钥自动化部署是一套涵盖生成、分发、验证与生命周期管理的完整流程，核心是避免手动粘贴、确保安全可控；常用Ansible批量推送，辅以脚本+SSH命令轻量实现；强调密钥注释、审计日志、唯一标识及轮换机制。

SSH 密钥自动化部署不是“一键复制”，而是围绕密钥生成、分发、验证和生命周期管理的一整套流程。核心目标是：避免手动逐台粘贴公钥，防止遗漏或误操作，同时为后续轮换、审计和安全控制打下基础。

用 Ansible 批量推送公钥（最常用且稳定）

Ansible 是企业级批量部署的首选工具，尤其适合 CentOS 和 Ubuntu 混合环境。它不依赖目标机安装额外服务，只需 SSH 可达即可。

1. 先在控制节点生成统一密钥对（如 ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519_auto），并确保私钥有强密码或由 Vault 管理
2. 编写 playbook，利用 authorized_key 模块将公钥写入目标机 ~/.ssh/authorized_keys，支持按用户、组、主机组精准分发
3. 加上 manage_dir: yes 和 exclusive: yes 参数，自动创建 .ssh 目录、设置正确权限（700/600），并避免覆盖已有合法密钥
4. 执行前务必用 ansible all -m ping 验证连通性，首次部署建议加 --limit 先灰度几台

用脚本 + SCP/SSH 命令实现轻量级分发

适用于没有 Ansible 环境的小型集群或 CI 流水线内嵌场景，强调可追溯和幂等性。

1. 用 ssh-copy-id 最简单，但需提前启用密码登录（仅限初始阶段）；生产环境更推荐纯 SSH 命令组合
2. 典型命令链：cat id_rsa.pub | ssh user@host "mkdir -p ~/.ssh && chmod 700 ~/.ssh && cat >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys"
3. 配合 for 循环或 while read 处理主机列表，每步加 set -e 和日志记录（如 echo "$(date): deployed to $host" >> deploy.log）
4. 关键细节：必须检查远程 authorized_keys 是否已存在该密钥（可用 ssh ... 'grep -Fq "$(cat id_rsa.pub)" ~/.ssh/authorized_keys' 判断），避免重复追加

集成密钥注释与审计标识

自动化不只是“推上去”，更是“管得住”。普通公钥本身无元数据，靠人工注释才能追踪来源和用途。

1. 生成密钥时强制添加有意义的注释：ssh-keygen -C "[email protected]"，后续所有分发都保留该字段
2. 在 authorized_keys 中，每行开头加命令限制或环境变量（如 command="/usr/bin/restricted-shell",no-port-forwarding ssh-ed25519 AAAA... [email protected]）
3. 部署脚本同步写入操作日志：谁、何时、向哪台机器、部署了哪个密钥指纹（ssh-keygen -lf id_rsa.pub）、是否成功
4. 这些信息可对接 SIEM 或简单入库，为权限回收和事件回溯提供依据

为自动轮换预留结构

真正健壮的自动化部署，从第一天就考虑“怎么安全地撤下旧密钥”。否则几年后会变成密钥垃圾场。

1. 不要直接覆盖 authorized_keys，而是在其中为每个密钥添加唯一标识（如 # KEY_ID: web-deploy-202607），方便后续精准删除
2. 若采用证书模式（推荐），部署的是 CA 签发的证书文件（id_rsa-cert.pub），而非原始公钥；证书自带有效期，到期即失效，无需清理
3. 配套设计“双密钥窗口”：新密钥上线后保留旧密钥至少 48 小时，并在日志中标记“deprecation_start”，超时未登录则自动归档或禁用
4. 主机密钥更新要同步 known_hosts：用 ssh-keyscan 提前获取新指纹，再通过 Ansible 的 lineinfile 或专用工具批量刷新客户端记录