如何自动化为新远程服务器生成Git克隆用SSH密钥？

当然可以实现自动化，以下是几种实用方案，按需选择：

方案1：预生成密钥批量部署（最便捷） #

适合需要快速批量初始化服务器的场景，不用每次生成新密钥：

• 创建一个GitHub机器用户（专门用于服务器访问，避免用个人账户），仅给该用户分配目标私有仓库的读取权限，最小化权限风险
• 本地生成一对SSH密钥：ssh-keygen -t ed25519 -f github-server-key -N ""
• 将公钥github-server-key.pub添加到机器用户的GitHub SSH密钥设置中
• 新建服务器时，通过初始化脚本（如cloud-init、Ansible Playbook）完成以下操作：
  1. 创建.ssh目录并设置权限：mkdir -p ~/.ssh && chmod 700 ~/.ssh
  2. 拷贝预生成的私钥到服务器：echo "<预生成的私钥内容>" > ~/.ssh/id_rsa && chmod 600 ~/.ssh/id_rsa
  3. 自动添加GitHub到已知主机：ssh-keyscan github.com >> ~/.ssh/known_hosts && chmod 644 ~/.ssh/known_hosts

方案2：用GitHub App替代SSH密钥（最安全） #

无需管理SSH密钥，用短期令牌访问，符合安全最佳实践：

• 在GitHub创建一个GitHub App，给它分配目标私有仓库的contents:read权限
• 生成App的私钥并妥善保存
• 服务器初始化时，用脚本调用GitHub API生成短期访问令牌（有效期可设为1小时）：

  # 生成JWT（需提前安装jq）
  JWT=$(ruby -r jwt -e 'puts JWT.encode({iss: <AppID>, exp: Time.now.to_i + 600}, OpenSSL::PKey::RSA.new(File.read("<App私钥路径>")), "RS256")')
  # 获取访问令牌
  TOKEN=$(curl -s -X POST -H "Authorization: Bearer $JWT" -H "Accept: application/vnd.github+json" https://api.github.com/app/installations/<安装ID>/access_tokens | jq -r '.token')
  

• 使用令牌克隆仓库：git clone https://x-access-token:$TOKEN@github.com/<用户名>/<仓库名>.git

方案3：自动化生成并注册新密钥（必须每次用新密钥的场景） #

如果要求每台服务器用独立密钥，可通过脚本自动完成生成和注册：

• 提前生成一个GitHub个人访问令牌，需包含admin:public_key权限
• 服务器初始化脚本中执行以下步骤：
  1. 生成带备注的SSH密钥：ssh-keygen -t ed25519 -f ~/.ssh/id_rsa -N "" -C "server-$(hostname)-$(date +%Y%m%d)"
  2. 调用GitHub API注册公钥：

     curl -X POST -H "Authorization: token <你的访问令牌>" \
          -H "Accept: application/vnd.github+json" \
          https://api.github.com/user/keys \
          -d '{"title":"server-$(hostname)-$(date +%Y%m%d)","key":"'"$(cat ~/.ssh/id_rsa.pub)"'"}'
     

  3. 添加GitHub到已知主机：ssh-keyscan github.com >> ~/.ssh/known_hosts

安全提示 #

• 所有密钥、令牌、App私钥需加密存储，避免明文传输
• 遵循最小权限原则：机器用户/GitHub App仅授予必要的仓库访问权限
• 定期清理不再使用的SSH密钥或GitHub App令牌

内容的提问来源于stack exchange，提问作者narumi