在Kubernetes集群中部署SSH堡垒机并实现sshd配置自动重载（不中断现有连接、无需重启容器）

好的，我来帮你解决这个问题——核心是利用sshd原生的SIGHUP信号实现无中断重载，再结合容器内的文件监听机制+Kubernetes的ConfigMap/Secret自动同步能力，完成全自动化的配置更新流程。下面是具体的实现步骤：

1. 调整Dockerfile，加入配置监听与重载逻辑 #

你的基础镜像只包含了sshd，需要添加文件监听工具和自定义启动脚本，来自动检测配置变化并触发重载：

FROM docker.io/alpine:latest
RUN apk add --no-cache openssh-server inotify-tools

# 编写启动脚本：管理sshd进程+监听配置变化
RUN echo '#!/bin/sh
# 先确保密钥文件权限正确（避免sshd拒绝加载）
mkdir -p /root/.ssh && chmod 700 /root/.ssh
chmod 600 /root/.ssh/authorized_keys 2>/dev/null || true

# 启动sshd后台进程
/usr/sbin/sshd -D -e &
SSHD_PID=$!

# 持续监听配置文件的修改/更新事件，触发SIGHUP重载
inotifywait -m -e modify,attrib,close_write,move,delete /etc/ssh/sshd_config /root/.ssh/authorized_keys | \
while read -r _ _ filename; do
    echo "Detected change in $filename, reloading sshd config..."
    kill -HUP $SSHD_PID
done

# 等待sshd主进程，保证容器生命周期与sshd一致
wait $SSHD_PID' > /start-sshd.sh && chmod +x /start-sshd.sh

EXPOSE 22/tcp
CMD ["/start-sshd.sh"]

这里的关键细节：

• 安装inotify-tools用于监听文件系统变化
• SIGHUP信号是sshd的标准重载信号，不会中断现有SSH连接，只会让新连接使用更新后的配置
• 脚本先处理密钥文件的权限问题（sshd对authorized_keys的权限要求很严格）

2. 配置ConfigMap、Secret与Deployment #

第一步：创建存储配置的ConfigMap和Secret #

存储sshd_config的ConfigMap

apiVersion: v1
kind: ConfigMap
metadata:
  name: sshd-config
  namespace: sshd
data:
  sshd_config: |
    Port 22
    PermitRootLogin yes
    PubkeyAuthentication yes
    AuthorizedKeysFile /root/.ssh/authorized_keys
    # 这里添加你的其他sshd配置项

存储authorized_keys的Secret

你可以用命令直接创建（无需手动base64编码）：

kubectl create secret generic ssh-authorized-keys --namespace=sshd --from-file=authorized_keys=/path/to/your/local/authorized_keys

第二步：修正Deployment配置 #

注意要使用subPath挂载单个文件，避免覆盖整个目录（比如/etc/ssh下的主机密钥文件会被覆盖，导致每次重启容器都生成新的host key）：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: sshd-server
  namespace: sshd
spec:
  replicas: 2
  template:
    metadata:
      labels:
        app: sshd-server
    spec:
      containers:
      - name: my-sshd-server
        image: my-sshd-server-image:latest
        imagePullPolicy: Always
        ports:
        - containerPort: 22
        volumeMounts:
        # 挂载sshd_config文件
        - mountPath: /etc/ssh/sshd_config
          name: sshd-config-volume
          subPath: sshd_config
        # 挂载authorized_keys文件
        - mountPath: /root/.ssh/authorized_keys
          name: ssh-authorized-keys-volume
          subPath: authorized_keys
      volumes:
      - name: sshd-config-volume
        configMap:
          name: sshd-config
      - name: ssh-authorized-keys-volume
        secret:
          secretName: ssh-authorized-keys

3. 验证自动化重载流程 #

当你更新ConfigMap或Secret时：

1. Kubernetes会自动把更新后的文件同步到所有运行中的容器（通常几秒内完成）
2. 容器内的inotifywait会立即检测到文件变化，自动给sshd进程发送SIGHUP信号
3. sshd重载新配置，现有SSH连接完全不受影响，新连接会使用更新后的规则

手动测试重载（可选） #

如果需要验证信号的效果，可以进入容器手动触发：

# 进入目标Pod
kubectl exec -it <你的pod名称> -n sshd -- sh
# 找到sshd进程PID
ps aux | grep sshd
# 发送SIGHUP重载配置
kill -HUP <sshd的PID>

额外优化建议 #

• 持久化主机密钥：如果不想每次重启容器都生成新的ssh host key（避免客户端弹出主机密钥变更警告），可以把/etc/ssh/ssh_host_*文件挂载到PersistentVolumeClaim或者另一个Secret中
• 监控重载日志：可以把容器日志接入Kubernetes的日志系统，方便追踪配置重载的触发记录

内容的提问来源于stack exchange，提问作者user5580578