如何利用SSH的AuthorizedKeysCommand从远程库动态获取公钥-安全-PHP中文网

authorizedkeyscommand 是 openssh 提供的动态获取公钥机制，通过配置脚本按用户名实时拉取公钥，替代静态 authorized_keys 文件，适用于集中化、高频率变更的密钥管理场景。

如何利用ssh的authorizedkeyscommand从远程库动态获取公钥

AuthorizedKeysCommand 是 OpenSSH 提供的一个高级配置项，允许服务器在用户登录时**动态执行命令来获取公钥列表**，而不是从固定的 ~/.ssh/authorized_keys 文件读取。它适用于集中管理密钥、对接 LDAP/数据库或 Git 仓库等场景，特别适合多用户、高变更频率的运维环境。

配置 AuthorizedKeysCommand 的核心要求

该功能由 SSH 服务端（sshd）调用，需在 /etc/ssh/sshd_config 中启用，并确保：

以非 root 用户身份运行命令（推荐新建专用用户如 ssh-keymgr），避免权限过高风险
命令接收两个参数：$1 为登录用户名，$2 为远程客户端 IP（可选，取决于配置中是否启用 AuthorizedKeysCommandUser）
命令必须以 UTF-8 输出标准格式的公钥行（如 ssh-rsa AAAA... user@host），每行一条，不可含空行或注释
~/.ssh 目录及 authorized_keys 文件不再被读取——所有认证完全依赖该命令输出

一个实用的 Git 仓库动态拉取示例

假设公钥统一存放在 GitHub 私有仓库的 keys/ 目录下，按用户名命名（如 alice.pub），可通过以下脚本实现自动同步：

1. 创建执行脚本（例如 /usr/local/bin/fetch-keys-from-git）：

#!/bin/bash
set -u
USER="$1"
GIT_REPO="https://git.example.com/ssh-keys.git"
KEY_DIR="/var/lib/ssh-keys"
<h1>拉取最新公钥（使用只读 deploy key 或 token 认证）</h1><p>if [ ! -d "$KEY_DIR" ]; then
git clone --depth=1 "$GIT_REPO" "$KEY_DIR" 2>/dev/null
else
cd "$KEY_DIR" && git pull --ff-only 2>/dev/null
fi</p><h1>输出匹配用户的公钥内容（严格一行，无多余空格）</h1><p>if [ -f "$KEY_DIR/keys/${USER}.pub" ]; then
cat "$KEY_DIR/keys/${USER}.pub" | sed 's/[[:space:]]*$//'
fi
</p>

2. 设置权限与归属：

chmod 755 /usr/local/bin/fetch-keys-from-git
chown root:ssh-keymgr /usr/local/bin/fetch-keys-from-git
chmod 750 /var/lib/ssh-keys（确保只有 ssh-keymgr 可读）

3. 在 /etc/ssh/sshd_config 中添加：

AuthorizedKeysCommand /usr/local/bin/fetch-keys-from-git %u
AuthorizedKeysCommandUser ssh-keymgr

4. 重启服务：sudo systemctl restart sshd

安全与调试注意事项

该机制绕过了传统文件权限检查，因此必须格外注意：

脚本不能接受用户可控输入作为文件路径（防止目录遍历），此处用 %u 是安全的，但避免拼接 $1 到 shell 命令中
务必限制 AuthorizedKeysCommandUser 权限：该用户仅能执行指定脚本，不可登录、无 shell、主目录不可写
首次部署建议开启 LogLevel VERBOSE 并观察 /var/log/auth.log，确认命令是否执行、返回是否符合格式、有无权限拒绝日志
若需支持 IPv6 或来源 IP 过滤，可在脚本中解析 $2（需配置 AuthorizedKeysCommand %u %h），但注意 %h 是 DNS 反查结果，可能为空或延迟，生产环境慎用

替代方案对比：ssh-copy-id 不适用此场景

ssh-copy-id 是面向单机手动分发的工具，作用是把本地公钥追加到远端固定文件。它无法满足“集中存储、动态加载、实时生效”的需求。AuthorizedKeysCommand 的价值正在于解耦密钥存储与 SSH 服务本身——密钥增删只需更新 Git 仓库或数据库，无需触碰每台服务器的文件系统或重启服务。