SSH自定义authorized_keys文件的权限要求及生效规则疑问

SSH授权密钥文件权限校验规则解答 #

首先你的理解部分正确，但确实遗漏了sshd针对全局授权密钥文件的特殊校验规则，同时你对用户专属密钥文件的权限要求描述有小误差：

• 先纠正默认StrictMode=yes下的用户专属密钥文件权限要求：.ssh目录权限需为0700，authorized_keys文件权限需为0600，两者都必须归属当前登录用户，且家目录等上级父目录不能开放组/其他用户的写入权限，否则sshd会直接拒绝读取该文件。

针对你提到的绝对路径全局密钥文件的场景，sshd的校验逻辑和用户相对路径文件完全不同：
AuthorizedKeysFile配置项的路径如果是绝对路径（如你示例中的/etc/ssh/authorized_keys），sshd会默认按全局系统配置的规则校验：

• 仅要求该文件及所有上级父目录不允许除root外的任何用户写入
• 文件本身所有者必须为root，权限最高为0644，不需要归属登录的普通用户

这种设计的逻辑非常明确：全局授权密钥文件是系统管理员统一维护的，只要保证该文件仅root可修改，就不存在非授权用户篡改密钥的风险，因此不需要符合用户专属文件的权限规则。
所以普通用户可以正常使用/etc/ssh/authorized_keys中配置的密钥登录，只要该全局文件的权限符合上述要求即可，不会被sshd拒绝。

补充验证规则 #

• 如果你手动将/etc/ssh/authorized_keys权限修改为0777，所有用户都无法使用该文件内的密钥登录，sshd日志会明确报错密钥文件权限过大。
• 全局文件和用户家目录下的专属密钥文件生效规则互不冲突，只要对应权限符合要求，两个位置配置的密钥都可以正常用于登录。

内容的提问来源于stack exchange，提问作者John