定期清理SSH密钥核心是同步清理客户端私钥、服务端公钥和SSH代理缓存三处，RDP则无需密钥管理，仅需处理许可证缓存和会话策略。
定期清理过期 SSH 密钥，核心不是“删文件”，而是“断权限”——必须同步清理客户端私钥、服务端公钥、SSH 代理缓存三处，RDP 则不涉及密钥管理，仅需关注许可证或会话策略。脚本化清理的关键是精准识别、分步执行、留痕可验。
一、识别哪些 SSH 密钥该清理
不能靠时间戳硬删，要结合业务生命周期判断：
-
已下线服务器的公钥：从运维清单（如 CSV 或 YAML）读取废弃主机名/IP，逐个比对
~/.ssh/known_hosts是否残留 -
已离职或转岗人员的公钥：扫描所有目标服务器的
~/.ssh/authorized_keys，匹配注释字段（如# user@old-laptop）或邮箱后缀 -
超期未轮换的密钥对：检查本地私钥创建时间：
stat -c "%y %n" ~/.ssh/id_*.pub 2>/dev/null | awk '$1 （示例：90 天前生成）
二、服务端批量清理公钥（关键一步）
登录每台目标服务器后执行，建议用 ssh + awk 安全剔除，不依赖临时文件：
ssh user@server 'awk -v key="ssh-ed25519 AAAA...user@leaked" \
"$0 !~ key {print}" ~/.ssh/authorized_keys > /tmp/au.tmp && \
chmod 600 /tmp/au.tmp && mv /tmp/au.tmp ~/.ssh/authorized_keys'
更稳妥做法是先备份再覆盖，并验证权限：
- 备份命令加在前面：
cp ~/.ssh/authorized_keys{,.bak-$(date +%s)} - 清理后强制修复权限：
chmod 700 ~/.ssh && chmod 600 ~/.ssh/authorized_keys
三、客户端侧自动化清理脚本
以下为可直接部署的轻量清理脚本（保存为 ~/bin/ssh-prune.sh）：
#!/bin/bash # 清理已知废弃主机记录（按清单） while IFS= read -r host; do [[ -n "$host" ]] && ssh-keygen -R "$host" 2>/dev/null done < ~/etc/retired-hosts.txt <h1>清理 SSH agent 中过期密钥（如有）</h1><p>if pgrep -f "ssh-agent" >/dev/null; then ssh-add -D 2>/dev/null fi</p><h1>删除本地超期私钥（仅限命名规范的 ed25519 密钥）</h1><p>find ~/.ssh -name "id<em>ed25519</em>*" -mtime +90 -delete 2>/dev/null
赋予执行权限：chmod +x ~/bin/ssh-prune.sh，并加入定时任务：
# 每月 1 号凌晨 2 点运行 0 2 1 * * ~/bin/ssh-prune.sh >> ~/logs/ssh-prune.log 2>&1
四、RDP 接入控制不依赖密钥，但可脚本化管理
RDP 本身无密钥机制，所谓“清理”实为两类操作：
-
Windows 客户端许可证缓存：脚本调用注册表清理（需管理员权限）
reg delete "HKEY_CURRENT_USER\Software\Microsoft\MSLicensing" /f -
远程桌面会话限制：通过 PowerShell 脚本重置空闲会话超时
Set-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'MaxIdleTime' -Value 900000（15 分钟）
注意：RDP 的安全加固重点在 Group Policy（如网络级身份验证 NLA 强制启用），而非密钥清理。
