定期轮换ssh密钥是生产环境强制要求，需区分用户密钥与主机密钥并分别管理，通过ansible等工具实现生成、分发、重启、验证、客户端信任同步的自动化闭环，并配套元数据记录、周期策略、告警及访问控制机制。
定期轮换 SSH 密钥是保障远程访问安全的核心实践，不是“可选项”，而是生产环境的强制要求。关键不在于是否轮换，而在于轮换是否可控、可追溯、不影响服务连续性。
明确轮换对象：区分用户密钥与主机密钥
两类密钥必须分开管理，混淆会导致策略失效：
-
用户密钥对（如
id_ed25519）：用于人或自动化脚本登录服务器。每个用户、每类用途（如部署、监控、备份）应有独立密钥，禁止复用；口令不可共用。 -
主机密钥（
/etc/ssh/ssh_host_*.key）：代表服务器自身身份，客户端靠它验证“没连错机器”。更换后所有已知主机指纹失效，需同步更新客户端信任列表。
建立自动轮换流程（以 Ansible 为例）
手动逐台操作不可持续，自动化需覆盖生成、分发、生效、验证闭环：
- 在控制节点统一生成新密钥对：
ssh-keygen -t ed25519 -f files/new_host_key -N ""，存入 playbook 的files/目录。 - Playbook 中用
copy模块推送私钥（mode: '0600'）和公钥（mode: '0644'），确保属主为root:root。 - 重启
sshd前加systemd: state=restarted ignore_errors=no，失败立即中断，避免半生效状态。 - 分批执行：
serial: 3+delay: 10，防止集群级连接中断；验证环节可用command: ssh -o ConnectTimeout=5 -o StrictHostKeyChecking=no localhost快速自检。
同步客户端信任，避免连接中断
仅换服务端密钥而不更新客户端，会导致 WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! 错误，自动化任务可能卡住：
- 提前导出新指纹：
ssh-keygen -lf files/new_host_key.pub，获取类似256 SHA256:AbC... user@host的结果。 - 用 Ansible 的
known_hosts模块批量更新所有管理终端的~/.ssh/known_hosts，精准替换对应主机条目。 - 若客户端数量少且可控，也可在轮换后首次连接时加
-o StrictHostKeyChecking=accept-new自动接受（仅限可信内网）。
配套管理机制不能缺
轮换本身只是动作，支撑它长期有效的是配套机制：
- 每次轮换记录完整元数据：时间、操作人、影响主机、旧密钥指纹、新密钥指纹——可用 Key Manager Plus 或自建日志归档。
- 设置强制轮换周期：用户密钥建议 90 天，主机密钥建议 180 天；高敏感系统可缩短至 30 天。
- 密钥失效前 7 天触发告警，通知相关方检查依赖脚本、CI/CD 流水线、监控探针是否仍使用旧密钥。
- 禁用密码登录、关闭
PermitRootLogin、限制AllowUsers，让密钥成为唯一可信入口。
