ssh ca 实现多集群统一身份管理的关键是所有节点信任同一ca公钥，并通过其签发带约束的用户与主机证书；无需账号同步或代理，依赖openssh原生证书机制完成跨集群身份识别、权限控制与自动验证。
用 SSH CA 实现多集群统一身份管理，关键是让所有集群的服务器和客户端信任同一个 CA 公钥，并通过该 CA 签发带约束的用户证书与主机证书。它不依赖账号同步或中间代理，而是靠 OpenSSH 原生证书机制完成跨集群的身份识别、权限控制与自动验证。
统一部署 CA 公钥到全部集群节点
所有集群（无论公有云、私有云或边缘节点）的 SSH 服务端必须明确信任同一份 CA 公钥：
- CA 公钥文件（如 ca_users.pub）需以 644 权限存放在各集群节点的固定路径，例如 /etc/ssh/ca_users.pub；路径不能是软链接，目录权限不能对组/其他用户开放写入
- 在每台节点的 /etc/ssh/sshd_config 中添加：
TrustedUserCAKeys /etc/ssh/ca_users.pub - 重启 sshd 前先执行 sshd -t 校验语法，再用 journalctl -u sshd -n 20 确认加载成功（应出现类似 debug1: user key type ssh-rsa-cert-v01@openssh.com 的日志）
为用户签发带集群上下文的证书
一张用户证书可同时用于多个集群，只需在签发时明确指定目标集群的登录用户名和有效范围：
- 用 -n 参数列出所有允许登录的用户名，支持逗号分隔，例如：
ssh-keygen -s ca_key -I dev-ops-2026 -n "admin,ops,deploy" -V +8h id_rsa.pub - 结合 -O source-address 限制仅能从特定集群跳板机或 CIDR 段发起连接，例如：
-O source-address="10.10.0.0/16,172.20.0.0/16" - 证书有效期建议设为短期（如 4–24 小时），配合自动化工具按需签发，避免长期密钥泄露风险
为主机签发支持多域名的证书
每个集群的节点可拥有一个主机证书，覆盖其所有访问入口（FQDN、内部域名、IP 别名）：
- 签发时使用 -h -n 组合，-n 后接逗号分隔的主机名列表，例如：
ssh-keygen -s host_ca -I k8s-node-01 -h -n "node-01.prod,10.10.1.5,k8s-node-01.internal" -V +26w ssh_host_ed25519_key.pub - 生成的 ssh_host_ed25519_key-cert.pub 与原私钥一起部署到对应节点，并在 sshd_config 中配置：
HostCertificate /etc/ssh/ssh_host_ed25519_key-cert.pub
HostKey /etc/ssh/ssh_host_ed25519_key - 客户端无需额外配置，只要服务端证书有效且主机名匹配任一 -n 值，OpenSSH 自动完成验证
客户端免配置自动适配多集群
用户本地只需保存自己的私钥和一份 CA 公钥，其余由 OpenSSH 自动处理：
- 将 CA 公钥（ca_users.pub）放入 ~/.ssh/ 目录，无需手动导入或注册
- 连接任意集群节点时，只要目标主机名落在证书的 -n 列表中，且时间同步正常（偏差 ≤5 分钟），即自动走证书认证流程
- 如需区分集群行为，可在 ~/.ssh/config 中按域名设置 User、IdentityFile，但证书验证本身不依赖此配置
