服务器 SSH 与 RDP 接入控制怎么通过脚本定期清理过期的 SSH 密钥-安全-PHP中文网

定期清理SSH密钥核心是同步清理客户端私钥、服务端公钥和SSH代理缓存三处，RDP则无需密钥管理，仅需处理许可证缓存和会话策略。

服务器 ssh 与 rdp 接入控制怎么通过脚本定期清理过期的 ssh 密钥

定期清理过期 SSH 密钥，核心不是“删文件”，而是“断权限”——必须同步清理客户端私钥、服务端公钥、SSH 代理缓存三处，RDP 则不涉及密钥管理，仅需关注许可证或会话策略。脚本化清理的关键是精准识别、分步执行、留痕可验。

一、识别哪些 SSH 密钥该清理

不能靠时间戳硬删，要结合业务生命周期判断：

已下线服务器的公钥：从运维清单（如 CSV 或 YAML）读取废弃主机名/IP，逐个比对 ~/.ssh/known_hosts 是否残留
已离职或转岗人员的公钥：扫描所有目标服务器的 ~/.ssh/authorized_keys，匹配注释字段（如 # user@old-laptop）或邮箱后缀
超期未轮换的密钥对：检查本地私钥创建时间：stat -c "%y %n" ~/.ssh/id_*.pub 2>/dev/null | awk '$1 （示例：90 天前生成）

二、服务端批量清理公钥（关键一步）

登录每台目标服务器后执行，建议用 ssh + awk 安全剔除，不依赖临时文件：

ssh user@server 'awk -v key="ssh-ed25519 AAAA...user@leaked" \
  "$0 !~ key {print}" ~/.ssh/authorized_keys > /tmp/au.tmp && \
  chmod 600 /tmp/au.tmp && mv /tmp/au.tmp ~/.ssh/authorized_keys'

更稳妥做法是先备份再覆盖，并验证权限：

备份命令加在前面：cp ~/.ssh/authorized_keys{,.bak-$(date +%s)}
清理后强制修复权限：chmod 700 ~/.ssh && chmod 600 ~/.ssh/authorized_keys

三、客户端侧自动化清理脚本

以下为可直接部署的轻量清理脚本（保存为 ~/bin/ssh-prune.sh）：

#!/bin/bash
# 清理已知废弃主机记录（按清单）
while IFS= read -r host; do
  [[ -n "$host" ]] && ssh-keygen -R "$host" 2>/dev/null
done 清理 SSH agent 中过期密钥（如有）<p>if pgrep -f "ssh-agent" >/dev/null; then
ssh-add -D 2>/dev/null
fi</p><h1>删除本地超期私钥（仅限命名规范的 ed25519 密钥）</h1><p>find ~/.ssh -name "id<em>ed25519</em>*" -mtime +90 -delete 2>/dev/null
</p>

赋予执行权限：chmod +x ~/bin/ssh-prune.sh，并加入定时任务：

# 每月 1 号凌晨 2 点运行
0 2 1 * * ~/bin/ssh-prune.sh >> ~/logs/ssh-prune.log 2>&1

四、RDP 接入控制不依赖密钥，但可脚本化管理

RDP 本身无密钥机制，所谓“清理”实为两类操作：

Windows 客户端许可证缓存：脚本调用注册表清理（需管理员权限）
reg delete "HKEY_CURRENT_USER\Software\Microsoft\MSLicensing" /f
远程桌面会话限制：通过 PowerShell 脚本重置空闲会话超时
Set-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'MaxIdleTime' -Value 900000（15 分钟）

注意：RDP 的安全加固重点在 Group Policy（如网络级身份验证 NLA 强制启用），而非密钥清理。