OpenShift中如何向Pod添加SSH密钥？Java应用场景求助

一、为什么你的Java命令未生效 #

你的命令没起作用，核心原因是Runtime.getRuntime().exec()不会启动shell解析命令，导致以下shell特性无法生效：

• ~：不会被解析为当前用户的主目录
• &&：无法实现命令串联执行
• $SSH_CERT：环境变量不会被替换

另外，即使命令执行成功，SSH密钥文件权限必须设置为600（仅所有者可读可写），否则SSH客户端会拒绝使用该密钥，你的原命令也缺少这一步。

修复现有命令的方法 #

要让命令通过shell解析执行，需将命令包裹在/bin/sh -c中，同时补充权限设置：

String executeString = "/bin/sh -c 'mkdir -p ~/.ssh && echo \"$SSH_CERT\" > ~/.ssh/id_ed25519 && chmod 600 ~/.ssh/id_ed25519'";
Process process = Runtime.getRuntime().exec(executeString);

• mkdir -p：确保目录不存在时创建，避免报错
• 用双引号包裹$SSH_CERT：防止密钥中包含空格或特殊字符时被截断
• chmod 600：设置符合SSH要求的密钥文件权限

二、~/.ssh是正确的路径吗？ #

是正确的路径，但需确认Java进程运行用户对应的主目录：

• 如果应用以默认非root用户（比如appuser）运行，~对应的路径是/home/appuser/.ssh
• 如果以root用户运行，~对应的路径是/root/.ssh

你可以在Pod终端执行echo ~来验证当前用户的主目录。

三、更简便的方案：用OpenShift Secret挂载密钥 #

相比在Java代码中执行命令，直接通过OpenShift的Secret挂载功能是更安全、简便的方式，无需修改应用代码：

步骤1：创建包含SSH密钥的Secret #

在本地终端执行命令，将本地SSH密钥文件创建为OpenShift Secret：

oc create secret generic ssh-key-secret --from-file=id_ed25519=/path/to/your/local/id_ed25519

步骤2：在Deployment中挂载Secret到Pod #

修改应用Deployment配置，将Secret挂载到容器内的.ssh目录：

spec:
  template:
    spec:
      containers:
      - name: your-java-app-container
        volumeMounts:
        - name: ssh-key-volume
          mountPath: /home/appuser/.ssh  # 替换为Java进程运行用户的主目录下的.ssh路径
          readOnly: true
      volumes:
      - name: ssh-key-volume
        secret:
          secretName: ssh-key-secret
          defaultMode: 0600  # 直接设置密钥文件权限为600
          items:
          - key: id_ed25519
            path: id_ed25519

方案优势 #

• 无需修改应用代码，Pod启动时自动完成密钥挂载
• 密钥权限自动符合SSH要求，无需额外命令设置
• Secret中的敏感数据不会暴露在应用日志或代码中，安全性更高
• 后续密钥更新只需修改Secret，无需重新部署应用

内容的提问来源于stack exchange，提问作者sandrooco