如何使用虚拟智能卡通过SSH登录Windows远程服务器

嘿，我来帮你搞定用虚拟智能卡通过SSH登录Windows远程服务器的事儿，这几步亲测有效：

第一步：先搞定服务器端的SSH配置 #

Windows现在自带的OpenSSH Server已经支持智能卡认证了，你得先把这个功能打开：

• 首先确认服务器上装了OpenSSH Server：打开「设置」→「应用」→「可选功能」，看看有没有“OpenSSH 服务器”，没有的话直接添加安装就行。
• 用管理员权限打开SSH的配置文件，路径是C:\ProgramData\ssh\sshd_config。
• 找到这几个配置项，修改成下面的样子（如果被注释了就去掉前面的#）：
  • PubkeyAuthentication yes（公钥认证必须开，智能卡认证依赖这个）
  • SmartcardAuthentication yes（开启智能卡认证核心开关）
  • CASignatureAlgorithms ecdsa-sha2-nistp256,ecdsa-sha2-nistp384,ecdsa-sha2-nistp521,ssh-rsa,rsa-sha2-256,rsa-sha2-512（指定智能卡支持的签名算法，覆盖主流的就行）
• 保存配置后，重启OpenSSH服务：打开管理员命令提示符，输入net stop sshd，回车后再输入net start sshd。

第二步：客户端准备&配置公钥 #

既然你已经能用虚拟智能卡连RDP了，说明客户端的智能卡驱动和PIN都没问题，接下来要让SSH能识别它：

• 打开客户端的命令提示符（或PowerShell），输入ssh-keygen -K，这时候会弹出PIN输入框，输入你的智能卡PIN。
• 命令执行后会输出一串公钥（开头是ssh-rsa或者ecdsa-sha2-之类的），把这整行复制下来。
• 回到Windows服务器，找到你管理员账号的用户目录，比如C:\Users\你的Admin用户名，在里面新建.ssh文件夹，然后在文件夹里创建authorized_keys文件，把刚才复制的公钥粘贴进去（一行一个公钥，别换行）。
• **重点！**给authorized_keys文件设置正确的权限：右键文件→「属性」→「安全」→「高级」，先关闭“继承权限”，然后只保留SYSTEM和你的管理员账号的「完全控制」权限，其他所有用户都删掉——权限不对的话SSH会直接拒绝登录。

第三步：测试SSH连接 #

现在可以尝试登录了：

• 在客户端命令提示符里输入ssh 你的Admin用户名@服务器IP或主机名，这时候会弹出智能卡PIN的输入框，输入正确的PIN后，就能直接登录服务器了。
• 如果遇到连接失败，用调试模式排查问题：输入ssh -v 你的Admin用户名@服务器IP，看输出里的错误提示，比如是不是公钥没加对，或者智能卡算法不匹配。

额外注意点 #

• 确保服务器的防火墙开放了22端口（SSH默认端口），不然连不上。
• 如果你的虚拟智能卡有特殊的驱动要求，确认客户端和服务器都装了对应的驱动（RDP能用的话一般没问题，但SSH可能需要确保驱动能被OpenSSH识别）。

备注：内容来源于stack exchange，提问作者exrezzo