如何管理ssh密钥密钥轮换

P粉602998670

发布时间：2025-08-18 13:26:01

758人浏览过

来源于php中文网

原创

管理 ssh 密钥并定期轮换是保障服务器安全的关键措施。1. 遵循使用密钥登录、禁用密码认证、为每个用户/设备生成独立密钥对、集中管理 authorized_keys 文件、限制密钥用途等基本原则；2. 实施密钥轮换时，应制定周期性（每3～6个月）和事件驱动（如人员变动、设备丢失）的策略，标记密钥信息，并按步骤生成新密钥对、部署新公钥、验证登录、移除旧密钥、清理旧私钥；3. 提升效率可使用 ssh 配置文件管理连接、采用 ssh 证书认证实现自动化管理、定期审计与监控密钥使用情况、并对私钥进行安全备份。必须建立规范流程并坚持执行，结合定期审查与自动化工具以降低人为疏漏风险，确保服务器长期安全稳定运行。

如何管理ssh密钥密钥轮换

管理 SSH 密钥和定期进行密钥轮换是保障服务器安全的重要措施。随着权限人员变动、设备更换或潜在泄露风险增加，及时更新和清理旧密钥能有效降低未授权访问的风险。以下是关于 SSH 密钥管理和轮换的实用建议。

一、SSH 密钥管理的基本原则

使用密钥而非密码登录
禁用密码登录，强制使用 SSH 密钥认证，能显著提升安全性。在
```
sshd_config
```
中设置：
```
PasswordAuthentication no
PubkeyAuthentication yes
```
为每个用户/设备生成独立密钥对
避免多人共用同一对密钥。每个用户应使用自己的密钥，并通过
```
~/.ssh/authorized_keys
```
文件授权。
集中管理 authorized_keys 文件
可使用配置管理工具（如 Ansible、SaltStack、Puppet）统一维护服务器上的授权密钥，避免手动修改导致遗漏或错误。
限制密钥用途（可选）
在
```
authorized_keys
```
中为密钥添加限制条件，例如：
```
command="backup-script",no-port-forwarding,no-X11-forwarding,no-agent-forwarding ssh-rsa AAAAB3...
```
这样可以限制密钥只能执行特定命令，减少滥用风险。

二、SSH 密钥轮换的实施步骤

密钥轮换是指定期或在特定事件触发下，替换旧的 SSH 公钥和私钥。常见触发场景包括：员工离职、设备丢失、密钥使用时间过长（如超过 90 天）、怀疑密钥泄露等。

1. 制定轮换策略

周期性轮换：建议每 3～6 个月轮换一次密钥（根据安全等级调整）。
事件驱动轮换：人员变动、服务器迁移、安全审计发现问题时立即轮换。
标记密钥信息：在公钥后添加注释（如
```
user@host-date
```
），便于识别和追踪。

2. 轮换操作流程

步骤 1：生成新密钥对
```
ssh-keygen -t ed25519 -C "user@new-laptop-2025" -f ~/.ssh/id_ed25519_new
```
推荐使用 Ed25519 算法，安全性高且性能好。

bee餐饮点餐外卖小程序
bee餐饮点餐外卖小程序是针对餐饮行业推出的一套完整的餐饮解决方案，实现了用户在线点餐下单、外卖、叫号排队、支付、配送等功能，完美的使餐饮行业更高效便捷！功能演示：1、桌号管理登录后台，左侧菜单 “桌号管理”，添加并管理你的桌号信息，添加以后在列表你将可以看到 ID 和密钥，这两个数据用来生成桌子的二维码2、生成桌子二维码例如上面的ID为 308，密钥为 d3PiIY，那么现在去左侧菜单微信设置

下载
步骤 2：将新公钥部署到目标服务器 将新公钥添加到服务器的
```
~/.ssh/authorized_keys
```
中，可使用：
```
ssh-copy-id -i ~/.ssh/id_ed25519_new.pub user@server
```
或通过自动化工具批量推送。
步骤 3：验证新密钥可用 使用新私钥尝试登录：
```
ssh -i ~/.ssh/id_ed25519_new user@server
```
确保能正常登录后再进行下一步。
步骤 4：移除旧密钥 登录服务器，编辑
```
~/.ssh/authorized_keys
```
，删除对应旧公钥行，或使用脚本自动清理。
步骤 5：本地清理旧私钥 确认无误后，删除本地旧私钥文件，避免误用。

三、提升管理效率的建议

使用 SSH 配置文件（~/.ssh/config）
为不同服务器配置别名和指定密钥，避免混淆：
```
Host myserver
    HostName 192.168.1.100
    User deploy
    IdentityFile ~/.ssh/id_ed25519_prod
```
结合证书认证（高级用法）
对于大规模环境，可搭建 SSH CA（证书颁发机构），签发短期有效的 SSH 证书，实现自动过期和集中吊销，替代传统密钥管理。
审计与监控
- 定期检查
```
authorized_keys
```
  文件内容。
- 记录密钥添加/删除操作日志。
- 使用入侵检测系统监控异常登录行为。
备份与恢复 私钥应安全备份（如加密存储于密码管理器或硬件密钥中），避免因设备损坏导致无法访问服务器。