一、RSA密钥登录技术原理

RSA非对称加密技术通过公钥-私钥对实现身份验证，其核心优势在于无需传输明文密码即可完成认证。在云服务器登录场景中，用户将公钥部署在目标服务器的authorized_keys文件中，本地保留私钥文件。当SSH客户端发起连接时，服务器通过挑战-响应机制验证私钥持有者身份。

这种认证方式相比密码登录具有显著安全优势：

密钥长度通常为2048/4096位，暴力破解难度极高
私钥永不离开本地设备，避免中间人攻击
支持自动化工具集成，适合CI/CD流水线
可配合双因素认证增强安全性

二、密钥对生成与权限配置

2.1 密钥生成最佳实践

使用OpenSSH工具生成密钥对时，推荐采用4096位RSA算法：

ssh-keygen -t rsa -b 4096 -C "automation-key@example.com"

生成过程中需注意：

避免使用空密码短语（适用于自动化场景）
指定明确的注释信息便于管理
默认保存路径为~/.ssh/id_rsa（私钥）和~/.ssh/id_rsa.pub（公钥）

2.2 文件权限安全规范

SSH对权限设置极其敏感，错误配置会导致认证失败：

# 核心目录权限设置
chmod 700 ~/.ssh          # 仅所有者可读写执行
chmod 600 ~/.ssh/id_rsa   # 私钥严格限制
chmod 644 ~/.ssh/id_rsa.pub # 公钥可读
chmod 600 ~/.ssh/authorized_keys # 服务器端密钥存储文件

权限说明：

700：所有者全权限，组和其他用户无任何权限
600：所有者可读写，其他用户无权限
644：所有者可读写，其他用户只读

2.3 密钥验证流程

客户端发起SSH连接请求
服务器生成随机挑战字符串
客户端使用私钥加密挑战数据并返回
服务器用公钥解密验证数据一致性
验证通过后建立加密通道

三、云服务器端配置

3.1 公钥部署

将公钥内容追加到服务器的authorized_keys文件：

echo "ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQ..." >> ~/.ssh/authorized_keys

或使用专用工具：

ssh-copy-id -i ~/.ssh/id_rsa.pub username@server-ip

3.2 SSH服务优化配置

在/etc/ssh/sshd_config中启用密钥认证并禁用密码登录：

PubkeyAuthentication yes
PasswordAuthentication no
ChallengeResponseAuthentication no
UsePAM no

修改后需重启SSH服务：

sudo systemctl restart sshd

四、GitHub Actions集成方案

4.1 密钥存储管理

在仓库的Settings/secrets中添加加密密钥：

生成Base64编码的私钥内容：
```
base64 -w 0 ~/.ssh/id_rsa
```
创建名为SSH_PRIVATE_KEY的repository secret
添加服务器地址到SERVER_IP secret

4.2 工作流配置示例

name: Deploy via SSH
on: [push]
jobs:
  deploy:
    runs-on: ubuntu-latest
    steps:
    - name: Configure SSH
      run: |
        mkdir -p ~/.ssh
        echo "${{ secrets.SSH_PRIVATE_KEY }}" | base64 --decode > ~/.ssh/id_rsa
        chmod 600 ~/.ssh/id_rsa
        ssh-keyscan -H ${{ secrets.SERVER_IP }} >> ~/.ssh/known_hosts
    - name: Execute Remote Command
      run: |
        ssh -o StrictHostKeyChecking=no username@${{ secrets.SERVER_IP }} "
          echo 'Deployment started at $(date)'
          # 添加实际部署命令
        "

4.3 安全增强措施

使用短期存在的部署密钥
限制密钥的IP访问范围
定期轮换密钥对
结合IAM角色实现最小权限原则

五、本地客户端自动化配置

5.1 SSH配置文件优化

在~/.ssh/config中添加服务器配置：

Host myserver
  HostName server-ip
  User username
  IdentityFile ~/.ssh/id_rsa
  IdentitiesOnly yes
  StrictHostKeyChecking no

5.2 自动化脚本示例

#!/bin/bash
# 自动化部署脚本
SERVER="myserver"
REMOTE_CMD="cd /var/www && git pull origin main"
if ssh -q $SERVER exit; then
    echo "SSH connection established"
    ssh $SERVER "$REMOTE_CMD"
else
    echo "SSH connection failed" >&2
    exit 1
fi

六、常见问题排查

6.1 认证失败处理

检查/var/log/auth.log（Linux）或/var/log/secure（CentOS）
验证authorized_keys文件权限和所有权
确认SSH服务配置未禁用密钥认证
检查客户端私钥是否完整无损坏

6.2 连接超时问题

验证服务器防火墙规则（默认SSH端口22）
检查云服务商安全组设置
确认网络ACL规则允许出站连接
测试基本网络连通性（ping/telnet）

6.3 权限拒绝错误

私钥文件权限必须为600
.ssh目录权限必须为700
用户家目录权限不应超过755
SELinux/AppArmor可能限制访问，需相应调整策略

七、安全最佳实践

密钥轮换：每90天更换密钥对
最小权限：使用专用部署用户而非root
双因素认证：结合硬件令牌或OTP
审计日志：集中管理所有SSH会话记录
网络隔离：将管理接口限制在VPN或内网

通过系统化的密钥管理和自动化配置，开发者可以构建安全可靠的云服务器访问体系。本文介绍的方案既适用于本地开发环境，也可无缝集成到CI/CD流水线中，为现代化运维提供坚实的安全基础。实际实施时，建议先在测试环境验证所有配置，再逐步推广到生产环境。

基于RSA密钥的云服务器自动化登录实践指南