ssh密钥本身无自动过期机制，真正实现时效性依赖ssh证书（ca签发）；用户密钥建议90天轮换、主机密钥180天轮换，需分用途管理；证书认证支持-v指定有效期，配合ansible等iac工具可实现生成、分发、验证、下线全流程自动化，并辅以审计告警与回滚机制。

SSH 密钥本身不会自动过期，所谓“过期”其实是管理策略或证书机制的体现。真正能强制时效性的，是 SSH 证书（由 CA 签发），而非普通公钥文件；但通过规范流程和自动化工具，完全可以实现密钥的可控轮换与安全下线。

明确两类密钥，制定差异化轮换周期

用户密钥和主机密钥用途不同，必须分开管理：

• 用户密钥（如 ~/.ssh/id_ed25519）：代表人或服务身份，用于登录。建议每 90 天轮换一次，高敏感环境（如金融、政务类 VPS）可缩短至 30 天；每个用途（部署、监控、DB 运维）应使用独立密钥，禁止混用。
• 主机密钥（/etc/ssh/ssh_host_*.key）：代表服务器指纹，客户端靠它验证目标真实性。更换后会触发 known_hosts 警告，需同步客户端信任列表；建议每 180 天轮换一次，避免长期暴露同一公钥哈希。

优先采用 SSH 证书认证实现真“自动过期”

普通公钥没有时间戳，无法被 OpenSSH 主动拒绝；而证书内嵌有效期字段，到期即失效，无需人工清理服务器端。

宝塔Linux面板11.3.0

宝塔面板11.3.0是一款针对Linux服务器设计的可视化管理工具，通过重构核心模块实现资源占用显著降低，尤其适合低配置服务器环境。它将复杂的命令行操作转化为直观的图形界面，帮助开发者快速完成网站部署、环境配置及日常运维工作，无需专业技术背景即可高效管理服务器。

下载

• 用自建 CA 签发客户端证书：ssh-keygen -s ca_key -I user1 -n user1 -V +30d id_ed25519（生成 30 天有效期证书）
• 服务器启用证书验证：在 /etc/ssh/sshd_config 中配置 TrustedUserCAKeys /etc/ssh/ca.pub
• 证书到期后连接直接失败，旧证书自动失效；吊销只需更新 CA 的吊销列表（ssh-keygen -k），全集群即时生效。

自动化轮换闭环：生成→分发→验证→下线

手动操作不可靠，必须用 IaC 工具（如 Ansible）驱动全流程：

• 生成新密钥或证书：优先用 ssh-keygen -t ed25519，添加用途注释（如 -C "deploy-prod-2026Q3"）便于追踪
• 安全分发：Ansible Playbook 将新公钥写入目标服务器 ~/.ssh/authorized_keys，或替换 /etc/ssh/ssh_host_*.key
• 双密钥并行上线：先注入新密钥并验证登录成功，再停用旧密钥，避免 CI/CD 或自动化任务中断
• 旧凭证清理：证书场景靠吊销；传统密钥则依赖密钥注释（如 user@host#2026Q2）精准定位并删除，防止残留

配套机制不能少：审计、告警与回滚

轮换不是单次操作，而是持续运营过程：

• 记录每次轮换的元数据：时间、操作人、密钥用途、生效服务器列表，存入 PostgreSQL 或 ELK 日志系统
• 提前 7 天邮件/钉钉提醒密钥即将到期，高风险密钥（如 root 权限）触发企业微信告警
• 保留上一版密钥至少 48 小时，部署失败时可快速回退；主机密钥轮换后，用 ssh-keygen -R hostname 清理客户端 known_hosts