SSH密钥是用来访问和管理Linux服务器核心，可以看作我们传统的密码认证，密钥认证通过非对称加密技术来实现更高的安全性，降低被强制破解风险。密钥的生成、部署、使用还有维护过程都很关键，可能会存在严重安全隐患。下面一起来聊聊Linux云主机SSH密钥管理的全过程及相关注意事项。

密钥生成：算法选择与安全存储 

生成SSH密钥对是管理流程的起点，需重点关注算法类型与密钥保护。当前推荐使用Ed25519算法，其安全性优于传统RSA且密钥长度更短。通过以下命令生成密钥： 

ssh-keygen -t ed25519 -C "user@cloud-server" -f ~/.ssh/cloud-server-ed25519 

此处-C参数添加注释便于标识密钥用途，-f指定密钥文件路径。执行后需设置密钥密码（passphrase），即使私钥泄露，密码也能增加破解难度。切勿使用空密码。生成后的密钥文件应严格限制权限： 

chmod 600 ~/.ssh/cloud-server-ed25519 
chmod 644 ~/.ssh/cloud-server-ed25519.pub 

私钥权限错误（如644）将导致SSH客户端拒绝使用。 

密钥部署：服务器配置与访问控制 

将公钥上传至云主机时，需确保~/.ssh/authorized_keys文件的正确性。使用ssh-copy-id可自动化完成部署： 

ssh-copy-id -i ~/.ssh/cloud-server-ed25519.pub user@hostname 

若手动操作，需确认公钥内容单行完整粘贴至authorized_keys，权限设置为600： 

chmod 600 ~/.ssh/authorized_keys 

服务器端需修改SSH配置文件/etc/ssh/sshd_config，禁用密码认证并限制root登录： 

PasswordAuthentication no 
PermitRootLogin no 

修改后执行systemctl reload sshd生效。务必保留至少一个活跃会话测试配置，避免配置错误导致锁定。 

密钥使用：客户端管理与安全实践 

客户端使用密钥时，推荐通过SSH Agent管理私钥密码，避免频繁输入： 

eval "$(ssh-agent -s)" 
ssh-add ~/.ssh/cloud-server-ed25519 

输入一次密码后，Agent将缓存解密后的私钥。但需注意，Agent转发（-A参数）可能暴露私钥至远程主机，非必要场景应禁用。 

对于多密钥场景（如同时管理多个云服务商），需配置~/.ssh/config明确映射： 

Host aws-server  
HostName 192.168.1.100  
User ec2-user  
IdentityFile ~/.ssh/aws-ed25519  
IdentitiesOnly yes 
Host aws-server  
HostName 192.168.1.100  
User ec2-user  
IdentityFile ~/.ssh/aws-ed25519  
IdentitiesOnly yes 

IdentitiesOnly yes强制仅使用指定密钥，避免客户端尝试其他无关密钥导致连接失败。 

密钥轮换与失效处理 

定期更换密钥是降低风险的有效措施。新增密钥时，应先将新公钥追加至authorized_keys，测试通过后再移除旧密钥。若发现密钥泄露，需立即执行以下操作： 

从authorized_keys中删除泄露的公钥 

在云主机控制台撤销旧密钥关联再生成并部署新密钥对，审计日志排查未授权访问： 

grep 'sshd.Accepted' /var/log/auth.log 

备份与灾难恢复 

私钥丢失将导致无法访问服务器，因此需加密备份密钥至安全的离线介质（如硬件加密U盘）。建议使用openssl加密备份文件： 

openssl enc -aes-256-cbc -salt -in ~/.ssh/cloud-server-ed25519 -out backup.enc 

恢复时解密即可： 

openssl enc -d -aes-256-cbc -in backup.enc -out ~/.ssh/cloud-server-ed25519 

安全加固进阶策略 

1. 强制密钥复杂度：使用工具定期检查密钥强度，避免弱算法（如RSA-1024） 

2. 网络层防护：通过安全组或防火墙限制SSH端口（默认22）的源IP范围 

3. 监控与告警：配置fail2ban阻止暴力破解尝试，并监控authorized_keys文件变更 

4. 临时访问控制：对于短期访问需求，可使用command=限制公钥执行特定命令： 

command="/usr/bin/r" ssh-ed25519 AAAAC3Nz... 

SSH密钥是管理云安全体系的基础，要坚持最小权限，纵深防御还有不断监控。我们在密钥生成的时候选择合适算法，到部署后合理的权限控制，还有日常中的Agent管理及失效响应，每个环节都要严格和规范。通过自动化脚本定期检查密钥状态、结合云平台提供的密钥管理服务，可进一步提升管理效率与可靠性。