SSH证书登录方式（无密码验证登录)

作者：xcbeyond
疯狂源自梦想，技术成就辉煌！微信公众号：《程序猿技术大咖》号主，专注后端开发多年，拥有丰富的研发经验，乐于技术输出、分享，现阶段从事微服务架构项目的研发工作，涉及架构设计、技术选型、业务研发等工作。对于Java、微服务、数据库、Docker有深入了解，并有大量的调优经验。 









常常在工作中需要在各个Linux机间进行跳转，每次密码的输入成了麻烦，而且也不安全。在实际使用中，在windows下常使用secureCRT工具或teraterm工具进行SSH登录，以及实现hadoop集群部署要求的无密码跳转问题。

        SSH分为有密码登录和证书登录。考虑到安全性因素，一般都是采用证书登录，即：每次登录无需输入密码。如果是密码登录，很容易遭受到外来的攻击。
一、证书登录的过程：

       1.客户端生成证书的私钥和公钥。

         私钥放在客户端，公钥上传到服务端（远程登陆端）。

        一般为了安全，访问有黑客拷贝客户端的私钥，客户端在生成私钥时，会设置一个密码，以后每次登录ssh服务器时，客户端都要输入密码解开私钥(如果工作中，你使用了一个没有密码的私钥，有一天服务器被黑了，你是跳到黄河都洗不清)。

        2.服务器添加信用公钥。

        把客户端生成的公钥，上传到ssh服务器，添加到指定的文件中，这样，就完成ssh证书登录的配置了。

        假设客户端想通过私钥要登录其他ssh服务器，同理，可以把公钥上传到其他ssh服务器。

       

        实际应用举例：

        工生成好私钥和公钥(千万要记得设置私钥密码)，然后把公钥发给运维人员，运维人员会登记你的公钥，为你开通一台或者多台服务器的权限，然后员工就可以通过一个私钥，登录他有权限的服务器做系统维护等工作，所以，员工是有责任保护他的私钥的，如果被别人恶意拷贝，你又没有设置私钥密码，那么，服务器就全完了，员工也可以放长假了。
二、证书登陆实例：
　　环境：Ａ通过ssh方式登陆B，即：A为本地机，B为远程登陆server

           1.A机配置

          ①生成公钥和私钥

             # ssh-keygen -t rsa           (连续三次回车,即在本地生成了公钥和私钥,不设置密码)

         ②将公钥拷到B端
         # scp  root@B的iP:root/.ssh/id_rsa.pub  ./.ssh/id_rsa.pub  (需要输入密码)

       2.B机配置

         ①创建authorized_keys2文件

         # touch /root/.ssh/authorized_keys2      (如果已经存在这个文件, 跳过这条)

        ②追加公钥到authorized_keys2中

        # cat /root/.ssh/id_rsa.pub   >> /root/.ssh/authorized_keys2 (将id_rsa.pub的内容追加到 authorized_keys2 中)

       3.SSH证书登陆验证

       # ssh root@B的iP           (因为没有设置私钥密码, 所以不需要密码, 登录成功)
三、其他应用场景：

       SecureCRT密钥key远连接程ssh证书登录Linux

       国内大部分人用的系统是windows，而windows下有很多ssh客户端图形工作，最流行，功能最强大的就是SecureCRT了，所以我会单独针对SecureCRT简单讲下实现ssh证书登录Linux的要点,步骤如下:

      1:在SecureCRT创建私钥和公钥:

        主菜单->工具->创建公钥->选择RSA->填写私钥的密码->密钥长度填为1024->点击完成，生成两个文件,默认名为identity和identity.pub

       2.把私钥和公钥转换为OpenSSH格式:

         主菜单->工具->转换私钥到OpenSSH格式->选择刚生成私钥文件identity->输入私钥的密码->生成两个文件，指定为id_rsa, id_rsa.pub

      3.把公钥id_rsa.pub上传到ssh服务器，按照之前配置服务器端的证书，再配置一次。

      另外，如果你之前用windows的 SecureCRT的证书登录linux的，有一天你换成了linux，并希望通过原来的私钥登录公司的服务器，那么可以把id_rsa拷贝倒~/.ssh/目录下。

      备注:

      ssh对证书的文件和目录权限比较敏感，要么根据出错提示设置好文件和目录权限，要么是把StrictModes选项设置为no。
      hadoop部署的无密码ssh登录

        hadoop要求master要无密码跳转到每个slave,那么master就是上文中的ssh客户端了，步骤如下：

        1.在hadoop master上，生成公钥私钥，这个场景下，私钥不能设置密码。

        2.把公钥上传到每个slave上指定的目录，这样就完成了ssh的无密码跳转了。
四、总结：

       ssh证书登录，在实际工作才是最常用的登录方式，本人结合了真正工作的场景普及了ssh证书登录的知识，并根据流行的hadoop部署和windows下最常用的SecureCRT实例讲解了证书登录。