| 加固项 | 认证规模化与可撤销 |
|---|---|
| 适用平台 | Linux（OpenSSH 6.5+） |
| 风险等级 | 中 |
| 基线 | 证书短有效期+可撤销 |
签发与部署
签发与部署
ssh-keygen -t ed25519 -f /etc/ssh/ca -C 'SSH CA'
ssh-keygen -s /etc/ssh/ca -I ops-zhangsan -n ops -V +30d id_ed25519.pub
# 服务端 /etc/ssh/sshd_config：
# TrustedUserCAKeys /etc/ssh/ca.pub
# AuthorizedPrincipalsFile /etc/ssh/auth_principals/%u证书短有效期（30 天）+ 定期重签，天然实现离职即失效；吊销用 KRL（RevokedKeys）补刀。