管理云世界中的主机密钥

Question

我是Ansible和Terraform的超级粉丝，因为我可以上下移动VM，并将它们左右放置。然而，在我工作的时候，我经常被要求确认我信任库存主机密钥中一些新创建的主机。

我可以直接关闭主机键检查，但最好还是让它开着，这样我就知道库存中的老主机没有被篡改过。(好像我甚至会认出他们，或者记得他们已经有了越南船民)。

在这个喧嚣的云世界里，主机键会有用吗？还是我只是一个相信好的，老式的身份计划的浪漫主义者？云世界有更好的方案吗？

Answer 1

在工作中，我们有一个解决方案，使用用已知CA签名的SSH主机证书来解决这个问题。如果您不熟悉ssh证书，您可以在ssh-keygen手册中阅读到这方面的内容，还有很多很好的指南：

• https://www.digitalocean.com/community/tutorials/how-to-create-an-ssh-ca-to-validate-hosts-and-clients-with-ubuntu
• https://framkant.org/2016/10/setting-up-a-ssh-certificate-authority-ca/

云部件

为了使ssh主机密钥唯一并在主机上生成，我们将私有主机CA密钥存储在我们使用的映像中。当映像第一次启动sshd时生成新的键，然后我们有一个"firstboot“脚本，基本上是这样做的：

1. 用SSH CA私钥签名主机密钥
2. 移除SSH CA私钥。
3. 重启sshd。

然后，您需要做的就是信任这个单独的CA密钥，将它添加到您的个人或全局known_hosts文件中。现在，您将能够登录到这些机器，而不需要并自动信任它们。

这可能会给您带来一些安全问题，因为CA在第一次启动时就在映像中可用，但它对我们有效，因为我们对基础设施有很好的控制，而且我们认为一旦生成证书，就可以删除它。

使用SSHFP

的可能的替代解决方案

刚刚想到的另一个解决方案是使用SSHFP记录。如果您有一个DNSSEC签名区，您可以让VM通过某种方法向您的DNS服务器报告他们的密钥，然后使用SSHFP记录类型在DNS中发布他们的密钥。如果对区域进行签名，OpenSSH客户端将信任这些记录。关于这一点，我写了一个简短的指南：

• https://framkant.org/2015/11/publish-ssh-public-host-key-fingerprints-in-dns/