SSH证书签名机制通过可信CA签发短期证书实现跨域免密信任，取代传统authorized_keys手动同步，依托数字签名、有效期和身份标识（-n）进行权限控制，适用于多租户与高合规场景。
用SSH证书签名机制实现跨域服务器免密信任，核心是把“每台服务器单独维护公钥列表”的方式，升级为“统一由可信CA签发短期证书”的集中式管理。它不依赖 authorized_keys 文件的手动同步，而是靠数字签名和有效期控制权限，特别适合跨网络域、多租户或安全合规要求高的环境。
理解证书签名与传统公钥认证的区别
传统免密登录靠的是把客户端公钥硬写进目标服务器的 ~/.ssh/authorized_keys，属于静态白名单；而证书签名方式中：
- 你生成一个长期有效的CA私钥（只存于可信离线环境），并分发其公钥到所有目标服务器
- 每个用户或主机的SSH密钥对仍照常生成，但不再直接部署公钥，而是向CA申请签名，获得一个带身份标识和有效期的SSH证书
- 服务器SSH守护进程配置为信任该CA公钥，并自动验证传入证书的签名、身份字段（
-n）、有效期及是否被吊销（可选）
搭建基础CA并签署用户证书
以A服务器作为CA签发端，B服务器作为被访问的目标为例：
- 在A上生成CA密钥（仅一次，务必保护好私钥）：
ssh-keygen -t rsa -b 4096 -f ca_key -N "" - 将CA公钥
ca_key.pub复制到B服务器的/etc/ssh/ca_key.pub，并在/etc/ssh/sshd_config中添加：TrustedUserCAKeys /etc/ssh/ca_key.pub
然后重启服务：systemctl restart sshd - 用户在本地生成普通密钥对（如
id_rsa），再用CA私钥为其签名：ssh-keygen -s ca_key -I "dev-user@project-a" -n "alice" -V +4w id_rsa.pub
其中-I是证书标识，-n指定允许登录的用户名，-V +4w表示证书4周后过期
让目标服务器识别并信任证书登录
B服务器无需知道具体用户公钥，只要满足以下三点即可接受证书登录：
- 已加载CA公钥且
sshd_config正确启用TrustedUserCAKeys - 用户私钥（
id_rsa）与对应证书（id_rsa-cert.pub）放在同一目录，OpenSSH会自动配对使用 - 用户登录时指定的用户名必须匹配证书中
-n参数声明的身份（例如ssh alice@B-ip）
若需限制登录来源或命令，还可通过 -O force-command 或 -O source-address 等扩展选项在签名时嵌入策略。
跨域场景下的关键实践要点
当A和B处于不同网络域（如生产网段 vs 办公网段，或不同云厂商VPC），要注意：
- CA私钥绝不能暴露在B所在域；签名操作应在独立管理机或CI流水线中完成
- 证书中的
-n字段建议使用统一命名空间，例如prod-alice、staging-bob，便于审计和策略隔离 - 配合
AuthorizedPrincipalsCommand可对接LDAP或数据库，实现动态身份映射，避免手动维护用户列表 - 定期轮换CA密钥并更新各服务器上的
ca_key.pub，旧证书会在过期后自然失效，无需逐台清理
这种方式真正实现了“一次签发、多地验证、时效可控、吊销灵活”，比手工拷公钥或脚本批量部署更健壮，也更适合自动化与合规场景。
