Linux SSH密钥管理的关键在于公钥的精准分发、即时撤销和强制有效期，三者缺一不可：分发不规范导致权限失控，撤销不集中使离职或泄露成后门，有效期不强制致密钥泛滥无人认领。
Linux SSH 密钥管理的关键不在“有没有密钥”，而在于公钥是否被精准分发、能否即时撤销、是否按期失效。这三件事环环相扣，缺一不可——分发不规范，权限就失控；撤销不集中，离职或泄露就成后门；有效期不强制，密钥就会越积越多、无人认领。
公钥分发：不止是 ssh-copy-id
ssh-copy-id 虽方便，但只适合单机或小规模测试。生产环境必须规避人工逐台操作：
- 统一生成带标识的密钥对，例如：
ssh-keygen -t ed25519 -C "deploy-prod-202607"，避免出现无上下文的 id_rsa - 公钥不直接写入
~/.ssh/authorized_keys，而是通过配置管理工具（如 Ansible）模板注入，自动过滤过期或禁用条目 - 每条公钥前加访问限制前缀，例如：
command="/usr/local/bin/deploy-shell",no-port-forwarding,no-X11-forwarding,from="10.10.1.0/24" - 批量分发时跳过交互确认，用
-o StrictHostKeyChecking=no避免卡在 host key 提示；密码登录环节可用 sshpass 或提前部署跳板机密钥实现免密中转
公钥撤销：不能靠删文件
手动登录每台服务器删 authorized_keys 行，既不可靠又不可审计。真正有效的撤销必须服务端驱动、集中可控：
Zynq Linux Hardware Debug
下载
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- 启用
AuthorizedKeysCommand，让 sshd 每次登录都调用脚本（如 Python）实时查数据库或 Git 仓库，自动屏蔽状态为 revoked 的密钥 - 若用 SSH CA 方式，撤销只需更新
/etc/ssh/revoked_keys文件，填入被吊销证书的序列号，再 reload sshd 即可生效 - 配合
Match User alice块在sshd_config中锁定其来源 IP、允许命令、SSH agent 转发等，即使密钥未删，也能阻断非法使用场景 - 所有撤销动作必须留痕：Git commit 含
[KEY-REVOKE] alice@web01: offboarding格式，同时触发 auditd 监控/home/alice/.ssh/authorized_keys变更
有效期维护：靠策略，不靠提醒
靠人记得轮换密钥，迟早出事。必须把有效期嵌进认证机制本身：
- 用户密钥建议 90 天有效，主机密钥建议 180 天；高敏系统可设为 30 天。生成时用注释标记：
# valid_after=2026-07-09 valid_until=2026-10-07 - CI 流水线每晚扫描所有服务器的 authorized_keys，识别超期条目并自动告警、冻结对应账号
- 采用 SSH CA 签发短期证书（如
-V +4h），证书到期即失效，无需主动操作；突发泄露时再叠加RevokedKeys列表兜底 - 新密钥上线后，Ansible 自动执行
systemctl reload sshd，不中断已有连接；同时同步更新客户端 known_hosts，避免因主机密钥变更导致自动化任务失败
不复杂但容易忽略：分发是起点，撤销是底线，有效期是护栏。三者形成闭环，密钥才真正可控。
