运行于Ubuntu的Azure Function更新SSH加密套件方案

你之前想修改/etc/ssh/sshd_config的思路完全行不通，原因有两个：

• 这个文件是SSH服务端的配置，只控制当前机器对外提供SSH服务时的加密规则，你是作为客户端连接外部SFTP服务器，改服务端配置对出站连接没有任何作用
• Azure Function多租户托管环境的系统目录是只读的，你没有持久化修改系统级配置文件的权限，就算改对了客户端配置文件/etc/ssh/ssh_config，实例重建后配置也会重置。

以下方案都不需要拉取Docker Hub公共镜像，可直接落地：

• 优先用代码层方案，零环境依赖
  如果你是用编程语言内置的SSH客户端库连接SFTP（比如Python的paramiko、Java的JSch、.NET的SSH.NET），根本不需要依赖系统自带的OpenSSH。这类库都自带SSH协议实现，直接在代码初始化连接时手动指定允许的加密套件列表即可，和系统环境的SSH版本、支持的套件完全无关，部署时不需要做任何环境层修改，是最稳定的方案。
• 自带独立SSH客户端二进制随代码部署
  如果你是靠调用系统sftp/ssh命令行工具连接SFTP，可以提前在本地Ubuntu 20.04环境下静态编译带所需加密套件的OpenSSH客户端二进制，编译时静态链接所有依赖库，不依赖系统自带的OpenSSL和OpenSSH组件。把编译好的sftp、ssh可执行文件放到函数项目目录，和代码一起部署到Azure Function。调用时不要走系统默认的sftp路径，直接执行你上传的二进制（路径一般为/home/site/wwwroot/sftp），需要指定加密套件时直接加命令行参数-oCiphers=你的套件列表即可，完全不需要改系统配置。
• 用私有ACR部署自定义镜像
  如果你需要做更复杂的环境定制，可以本地基于官方Ubuntu 20.04基础镜像构建Azure Function运行环境，构建时直接升级OpenSSH版本、配置全局SSH客户端加密套件，构建完成后把镜像推到你自己的Azure容器注册表（ACR），函数配置为从私有ACR拉取镜像运行，全程不需要访问Docker Hub，你对镜像内的环境有完全控制权，所有配置永久生效。
• 临时测试方案（不推荐生产用）
  如果你的函数跑在专用App Service计划上，可以通过平台提供的SSH入口进入运行实例，临时修改/etc/ssh/ssh_config添加需要的加密套件做连通性测试，但函数实例在扩缩容、平台更新时会被重建，修改会直接丢失，不能用于生产环境。

内容的提问来源于stack exchange，提问作者PythonForAzure3942