[请教]是否能够不分发私钥，实现多人共享 ssh 验证？

[fox0001]

外网有台 Linux 服务器，已配置好密钥登录 ssh 。

需要办公室内的同事可以 ssh 进去维护服务器。简单粗暴的做法，把密钥复制到各个机器。或者服务器上的登录用户配置多个密钥。

疑问是，能否不复制私钥，实现各个同事可以在办公室内网，通过 ssh 登录服务器？

[ruidoBlanco]

host based authentication ，认机不认人。

[toaruScar]

可以用证书验证。
生成一个 CA ，让服务器信任。让后用这个 CA 来签同事的公钥，同时写入 principal 。这样在服务器上设置一次某个用户允许哪些 principals 登录就行了。

[yyf1234]

堡垒机

[NessajCN]

那你就开密码登录呗...

[fox0001]

@NessajCN #4 就是不想分发验证信息，包括密钥、密码之类

[villivateur]

那你就把每个同事电脑的公钥都放在这台服务器上呗

[bruce0]

蹲一个靠谱的方案, 我们也有你这样的需求, 有多台机器(比如 20 太机器), 都要做权限管理就很麻烦. 之前查过资料, 有推荐 VPN 的, 要连的机器, 只能通过特定的 ip 连接, 假设为机器 A, 目标机只能通过 A 连接, A 同时只能通过 VPN 连接上去,然后可以通过 VPN 控制权限. 还一种方案就是跳板机, 假设为机器 B, 只能通过 B 连接目标机, 不同人拥有 B 的访问权限, 控制 B 的访问权限, 就可以控制所有机器的

[dingyaguang117]

有一些开源的跳板机系统，权限管理带 webui 的

[ZE3kr]

做个 WebSSH ，之前用 Cloudflare Teams 就可以做到这个，支持 SSO 登陆进入 SSH 页面

[fox0001]

@dingyaguang117 #8 我也有类似的想法。比如局域网内部署一个 cPanel 、宝塔之类的系统，只能局域网内访问，里面配置好 ssh 私钥。打开那系统就能 ssh 到 Linux 服务器上。但是不知道用哪个…

[huangmingyou]

开源的 jumpserver 不错,可以实现

[apake]

1 跳板机，所有人登入跳板机，再登录服务器。2 服务器启动 jupyter ，浏览器就可以登录终端了

[dingyaguang117]

@fox0001 jumpserver 就挺好

[dddd1919]

关键字 authorized_keys

[ytmsdy]

把需要登录服务器的同事的公钥收集一下，然后都放到服务器上不就完了么。

[byte10]

(⊙o⊙)。xshell 的毒，预留了一个私钥的登录给你们，导致你们不知道可以使用公钥免密登录？关键字 authorized_keys

[proxychains]

jumpserver 堡垒机

[lazyyz]

轻量的推荐 next-terminal ，我自己在用，挺方便的

[microxiaoxiao]

搞个免密码登录到远程服务器的 linux 内网跳板机，然后在内网跳板机上面用 iptables 开白名单。迁移也简单

[microxiaoxiao]

哦，对了。同事的终端可以选择 mobaxterm ，变个启动脚本，这样登录跳板机自动 ssh 到远程服务器。