当前位置：首页 > Linux > 正文

linux 如何创建私钥

admin
Linux
2025-08-13
6

在 Linux 中，可通过 ssh-keygen -t rsa 命令快速创建 RSA 私钥（默认存储于 ~/.ssh/id_rsa）。

核心概念解析

1 SSH密钥对工作原理

SSH（Secure Shell）采用非对称加密体系，包含两个关键组件：
| 组件 | 作用 | 存储位置 | 是否保密 |
|————|——————————|————————|———-|
| 私钥 | 仅持有者知晓的秘密凭证 | ~/.ssh/id_rsa | |
| 公钥 | 可公开分发的身份标识符 | ~/.ssh/id_rsa.pub | |

当客户端尝试连接服务器时，双方通过交换公钥进行加密协商，最终使用私钥完成身份核验，这种机制相比传统密码具有更高的安全性,且支持免密登录。

2 典型应用场景

远程服务器管理：替代密码登录，提升运维效率
Git代码托管：与GitHub/GitLab等平台集成
自动化脚本：Ansible/SaltStack等工具的身份认证
容器镜像拉取：Docker私有仓库访问控制

分步操作指南

1 环境准备

执行前需满足以下条件：

# 检查SSH客户端是否安装
which ssh-keygen
# 若未安装则执行（以Ubuntu为例）：
sudo apt update && sudo apt install openssh-client -y

2 生成密钥对（详解版）

基础命令：

linux 如何创建私钥第1张

ssh-keygen -t rsa -b 4096 -f ~/.ssh/custom_key -C "user@example.com" -N ""

参数拆解：
| 参数 | 说明 |
|—————|———————————————————————-|
| -t rsa | 指定加密算法（可选ecdsa, ed25519，推荐ed25519性能更优） |
| -b 4096 | RSA密钥长度（最小2048位，敏感环境建议4096位） |
| -f | 自定义密钥文件路径（默认~/.ssh/id_rsa） |
| -C | 注释信息（用于标识密钥用途，如邮箱或设备描述） |
| -N "" | 空密码短语（若不设密码可直接回车两次；生产环境建议设置复杂密码） |

交互式生成过程：

$ ssh-keygen -t ed25519 -C "backup@server"
Generating public/private ed25519 key pair.
Enter file in which to save the key (/home/user/.ssh/id_ed25519): [Press Enter]
Passphrase (empty for no passphrase): 
Passphrase again: 
Your identification has been saved in /home/user/.ssh/id_ed25519
Your public key has been saved in /home/user/.ssh/id_ed25519.pub
The key fingerprint is:
SHA256:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

3 权限管理（至关重要！）

生成后必须严格限制私钥权限：

chmod 600 ~/.ssh/id_rsa      # 仅所有者可读写
chmod 700 ~/.ssh             # 目录仅所有者可进入
ls -l ~/.ssh                 # 验证权限设置

错误示例：若权限过宽（如chmod 644），SSH客户端会拒绝加载私钥并报错：Permissions too open。

4 多设备同步方案

需求场景	解决方案	注意事项
跨设备复用同一密钥对	复制`~/.ssh/id_rsa`到新设备	必须同步更新所有授权主机
临时应急访问	使用`scp`传输私钥至跳板机	事后立即删除临时文件
团队共享部署	结合CI/CD管道自动注入密钥	需配合Vault等秘钥管理系统

高级配置技巧

1 代理转发（Agent Forwarding）

启用后可通过中间跳板机代理后续连接：

# 修改~/.ssh/config文件添加：
Host 
    ForwardAgent yes

风险提示：此功能可能导致私钥暴露给下游服务器,仅限可信网络使用。

2 密钥轮换策略

定期更换密钥可降低长期风险：

# 生成新密钥并追加到authorized_keys
ssh-keygen -t ed25519 -f ~/.ssh/new_key -C "rotate@$(date +%Y%m%d)"
cat ~/.ssh/new_key.pub >> ~/.ssh/authorized_keys
# 保留旧密钥30天后删除
find ~/.ssh -name '.pub' -mtime +30 -execdir rm {} ;

3 硬件加固方案

对物理设备进行额外保护：

# 创建FIDO2安全密钥绑定（需硬件支持）
gpg --expert --edit-card
# 然后关联GPG密钥与SSH代理
gpgconf --launch gpg-agent --enable-ssh-agent

常见错误排查

现象	原因分析	解决方案
`Permission denied`	私钥权限>600	`chmod 600 ~/.ssh/id_rsa`
`Could not open privatekey`	路径错误或文件损坏	`ls -l ~/.ssh`检查文件状态
`Agent admitted failure`	SSH Agent未启动	`eval $(ssh-agent)`重启代理
`Too many authentication failures`	重复尝试锁定账户	等待冷却时间或联系管理员