情景linux--建立信任关系时，你还在使用scp分发.pub文

2017-05-16 本文已影响73人软件测试技能栈

情景

从一台linux主机的某一用户上（以A代表），ssh登录到另一台linux主机的某一用户上（以B代表），或者用远程拷贝命令scp或rsync向B拷贝文件时，都需要输入B的密码。

偶尔用一次，输入一次密码倒也不算什么。但，有需求进行多次登录或拷贝，甚至希望使用脚本实现，输入密码的操作就太耗力费时了。

对于有一定linux基础的人来说，不难想到可以在两台主机间建立信任关系。

但，建立信任关系时，你是如何分发.pub文件的呢？

信任关系

建立信任关系大体上需要三个步骤：

创建私钥和公钥
分发公钥
验证效果

以A和B为例，如果希望A登录B或向B拷贝文件时不需要输入B的密码，则需要在A上创建私钥，并将相应的公钥分发到B上，也就是说信任关系的建立是单向的。如果需要双向信任，则需要在B上进行相同的操作。

如下例子在A上创建私钥。

创建私钥和公钥

创建私钥前最好先查看一下~/.ssh目录下是否已经存在了私钥和公钥。

私钥和公钥一般创建后是成对存在的，如下面：

identity对应identity.pub
id_dsa对应id_dsa.pub
id_rsa对应id_rsa.pub

如果已经已经有了，可以不必重新创建。如果没有就创建下。

创建私钥的命令是ssh-keygen，本文的重点不在它，所以关于它的用法从简介绍。

$ ssh-keygen

不带任何参数运行，一路回车就搞定了。

Generating public/private rsa key pair.
Enter file in which to save the key (/home/j-tester/.ssh/id_rsa): 
Enter passphrase (empty for no passphrase): 
Enter same passphrase again: 
Your identification has been saved in /home/j-tester/.ssh/id_rsa.
Your public key has been saved in /home/j-tester/.ssh/id_rsa.pub.
The key fingerprint is:
75:c8:db:b1:b6:7b:ef:7d:ca:55:ac:84:3d:f3:95:28 j-tester@test153.tester.com
The key's randomart image is:
+--[ RSA 2048]----+
|                 |
|         . .     |
|          + o    |
|         . + =...|
|        S .E=.=.+|
|           ..o =o|
|            . . o|
|             o..o|
|            ..o+=|
+-----------------+

如上，会在~/.ssh目录下生成id_rsa和id_rsa.pub：

$ ls -1 ~/.ssh/

id_rsa
id_rsa.pub

分发公钥

本文主要讨论分发公钥的方式。分发公钥，简单说，就是要把A上的~/.ssh/id_rsa.pub的内容追加到B的~/.ssh/authorized_keys文件中，并为对应的文件和目录赋予权限。

方案1

在A上，查看~/.ssh/id_rsa.pub的内容并复制；
登录B，将这些内容追加到B的~/.ssh/authorized_keys文件中；
分发公钥后，如果B的~/.ssh目录和~/.ssh/authorized_keys文件是本次新建的，则还需要为它们设置权限，这里不详细讨论，一种可行的选择是：B的~/.ssh目录权限应为700，B的~/.ssh/authorized_keys文件权限应为600。

注意，这里可能存在的情况有：

B的~/.ssh目录不存在，需要你手动创建；
B的~/.ssh/authorized_keys已经存在并有其它内容，所以要把复制的内容追加进去，而不是覆盖；

方案2

通过scp（或rsync）将文件~/.ssh/id_rsa.pub远程拷贝到B的某目录中；
再将这个文件的内容追加到B的~/.ssh/authorized_keys文件内；
将该文件删除掉；
同方案1，如果B的~/.ssh目录和~/.ssh/authorized_keys文件是本次新建的，则还需要为它们设置权限。

注意，这里可能存在的情况有：

B的~/.ssh目录不存在，需要你手动创建；
B的~/.ssh/authorized_keys已经存在并有其它内容，所以要把复制的内容追加进去；
B的~/.ssh下存在id_rsa.pub这个文件，如果你远程拷贝到的目录是B的~/.ssh目录，则会将B的~/.ssh/id_rsa.pub给覆盖掉，所以需要你对B的命令和文件内容事先进行了解；

方案3

方案1和方案2的做法，起初是我从网络上搜索知道的，结合自己的经验进行了改善（上面提到的可能存在的情况），然后一直沿用至近期。

要不是最近有同事问我创建信任关系时的命令是什么，而我又一时忘记了怎么正确拼写，这才进行了命令搜索apropos ssh（想知道为什么，请看这里），我想我现在还不知道有更好的方法呢！

$ apropos ssh | fgrep "(1)"

git-shell            (1)  - Restricted login shell for GIT-only SSH access
ssh                  (1)  - OpenSSH SSH client (remote login program)
ssh [slogin]         (1)  - OpenSSH SSH client (remote login program)
ssh-add              (1)  - adds RSA or DSA identities to the authentication agent
ssh-agent            (1)  - authentication agent
ssh-copy-id          (1)  - install your public key in a remote machine's authorized_keys
ssh-keygen           (1)  - authentication key generation, management and conversion
ssh-keyscan          (1)  - gather ssh public keys

在确认了ssh-keygen的情况下，也无意间发现了ssh-copy-id：

ssh-copy-id (1) - install your public key in a remote machine's authorized_keys

先看一下ssh-copy-id的用法：

$ man ssh-copy-id

NAME
       ssh-copy-id - install your public key in a remote machine’s authorized_keys
SYNOPSIS
       ssh-copy-id [-i [identity_file]] [user@]machine
DESCRIPTION
       ssh-copy-id  is a script that uses ssh to log into a remote machine (presumably using a login password, so password authentication should be enabled, unless you’ve done some clever use of multiple identities) It also changes the permissions of the remote user’s home, ~/.ssh, and ~/.ssh/authorized_keys to remove group writability (which would otherwise prevent you from logging in, if the remote sshd has StrictModes set in its configuration). 
...(省略)...

在这里，ssh-copy-id [-i [identity_file]] [user@]machine中的user和machine分别是B的${USER}和${HOSTNAME}。

所以，你只需要在A上执行命令：

$ ssh-copy-id -i ~/.ssh/id_rsa.pub j-tester@test188.tester.com

输入B的密码后，出现如下提示文字表示执行成功。

...(省略)...
Now try logging into the machine, with "ssh 'j-tester@test188.tester.com'", and check in:

  .ssh/authorized_keys

to make sure we haven't added extra keys that you weren't expecting.

对比

在比较顺利的情况下，方案1和方案2已然需要操作好几步，如果碰到那些可能存在的情况，还需要额外增加手工操作。而方案3只需要一条命令就搞定了。孰优孰劣，一目了然。

更进一步，ssh-copy-id命令其实是一个shell脚本，读懂它，你就能知道它为什么好用了。

验证效果

上述步骤完成后，你可以验证一下效果，最简单的莫过于直接ssh到远程主机上了：

如果不需要输入密码就登录成功了，则说明信任关系创建成功。

如果还是需要密码，说明创建不成功，再回去找原因。

扩展知识

ssh-keygen用法；
RSA和DSA认证相关；
ssh-copy-id的内容；