Autodl算力云SSH免密码登录：原理剖析与自动化部署实战

1次阅读

没有评论

共计 2668 个字符，预计需要花费 7 分钟才能阅读完成。

在 Autodl 算力云等 GPU 云服务上进行深度学习训练时，频繁的 SSH 密码验证会严重影响开发效率。传统密码登录存在以下问题：

效率低下：每次连接都需要手动输入密码，尤其是频繁断开重连时更为繁琐。
安全风险：密码可能被暴力破解，尤其是在公网环境下，风险更高。
自动化困难：脚本或工具需要交互式输入密码，难以实现完全自动化。

SSH 密钥登录通过非对称加密技术（如 RSA 或 Ed25519）实现身份验证，相比密码登录有以下优势：

更高的安全性：私钥通常有更高的熵值，且不需要通过网络传输。
自动化友好：无需交互式输入，适合脚本和工具链集成。
权限管理灵活：可以通过公钥精确控制访问权限。

SSH 密钥登录基于非对称加密：

密钥对生成：用户本地生成一对密钥（公钥和私钥）。
公钥上传 ：将公钥上传到服务器，存储在~/.ssh/authorized_keys 文件中。
挑战响应：登录时，服务器用公钥加密随机数据，客户端用私钥解密并返回，完成验证。

使用 ssh-keygen 命令生成密钥对（推荐 Ed25519 算法）：

ssh-keygen -t ed25519 -C "your_email@example.com"

-t ed25519：指定密钥类型为 Ed25519（更安全高效）。
-C：添加注释，通常用邮箱标识密钥用途。

生成的密钥对默认保存在~/.ssh/id_ed25519（私钥）和~/.ssh/id_ed25519.pub（公钥）。

使用 scp 命令将公钥上传到服务器：

scp ~/.ssh/id_ed25519.pub username@autodl-server-ip:~/.ssh/uploaded_key.pub

3. 服务端配置`authorized_keys`

登录服务器，将公钥添加到 authorized_keys 文件：

mkdir -p ~/.ssh
chmod 700 ~/.ssh
cat ~/.ssh/uploaded_key.pub >> ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys

chmod 700 ~/.ssh：确保 .ssh 目录权限为 700。
chmod 600 authorized_keys：确保文件权限为 600，防止其他用户读取。

以下是一个完整的 Bash 脚本，实现密钥生成、上传和配置的自动化：

#!/bin/bash

# 配置变量
USER="your_username"
SERVER_IP="autodl-server-ip"
KEY_TYPE="ed25519"
KEY_COMMENT="${USER}@$(hostname)"

# 生成密钥对
echo "Generating SSH key pair..."
ssh-keygen -t ${KEY_TYPE} -C "${KEY_COMMENT}" -f ~/.ssh/id_${KEY_TYPE} -N ""

# 上传公钥
echo "Uploading public key to server..."
scp ~/.ssh/id_${KEY_TYPE}.pub ${USER}@${SERVER_IP}:~/.ssh/uploaded_key.pub

# 配置服务器
echo "Configuring server..."
ssh ${USER}@${SERVER_IP} << EOF
mkdir -p ~/.ssh
chmod 700 ~/.ssh
cat ~/.ssh/uploaded_key.pub >> ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys
rm ~/.ssh/uploaded_key.pub
echo "SSH key configured successfully!"
EOF

echo "Done! Try logging in with: ssh ${USER}@${SERVER_IP}"

编辑服务器的 /etc/ssh/sshd_config 文件：

sudo nano /etc/ssh/sshd_config

修改以下配置：

PasswordAuthentication no
ChallengeResponseAuthentication no

重启 SSH 服务：

sudo systemctl restart sshd

私钥权限应为 600：chmod 600 ~/.ssh/id_ed25519。
避免私钥被其他用户读取：chmod go-rwx ~/.ssh/id_ed25519。

每个用户应有独立的 .ssh 目录和 authorized_keys 文件。
使用 ssh-copy-id 工具为多用户批量添加公钥：
```
ssh-copy-id -i ~/.ssh/id_ed25519.pub user@server
```

Permission denied (publickey)：
检查 authorized_keys 文件权限是否为 600。
确认私钥权限是否为 600。
Connection refused：
检查服务器 SSH 服务是否运行：sudo systemctl status sshd。
确认防火墙规则是否允许 SSH 端口（默认 22）。

旧版 OpenSSH 可能不支持 Ed25519，可改用 RSA：ssh-keygen -t rsa -b 4096。
确保客户端和服务器的 OpenSSH 版本兼容。

Windows：使用 Git Bash 或 WSL 生成密钥，避免路径问题。
macOS/Linux：确保 ~/.ssh 目录存在且权限正确。

如何结合 Ansible 实现批量服务器的密钥部署？

Ansible 可以通过 authorized_key 模块自动化完成密钥分发：

- name: Deploy SSH key to multiple servers
  hosts: all
  tasks:
    - name: Add SSH key to authorized_keys
      ansible.posix.authorized_key:
        user: "{{ansible_user}}"
        state: present
        key: "{{lookup('file','~/.ssh/id_ed25519.pub') }}"

通过 Playbook 可以轻松管理数百台服务器的 SSH 密钥，实现高效安全的批量部署。

SSH 免密登录不仅提升了操作效率，还增强了安全性。通过自动化脚本和 Ansible 等工具，可以进一步扩展其应用场景，适合大规模云环境管理。

正文完