GCP“元数据中管理SSH密钥”功能的底层运行机制是什么

首先可以明确的是，GCP不会拦截发往实例的SSH请求，所有流量都会直接抵达实例本身，这个功能完全是靠实例内部的预置组件配合SSH原生能力实现的，没有外部拦截写入文件的环节。

具体实现分为两种常见模式：

• 第一种是靠官方镜像预装的google-compute-engine-guest-agent（来宾代理）实现：这个后台进程会定期拉取实例元数据中配置的SSH公钥列表，自动同步到相应用户家目录下的~/.ssh/authorized_keys文件，也可配置同步到全局SSH认证文件。当你修改元数据中的公钥后，agent最多几分钟内就会把变更同步到本地文件。
• 第二种是借助SSH服务原生的AuthorizedKeysCommand能力实现：在sshd_config配置文件中可以指定这个参数为GCP提供的公钥拉取脚本，当有SSH认证请求到达sshd服务时，sshd会主动调用这个脚本，从本地元数据接口http://metadata.google.internal实时拉取对应用户的公钥做校验，不需要提前把公钥持久化写入到本地的authorized_keys文件。

如果你使用的是自行上传的自定义镜像，没有预装GCP来宾代理、也没有配置对应AuthorizedKeysCommand规则的话，在元数据中添加SSH公钥是不会生效的，需要手动部署对应组件后才能使用该功能。

两种模式都完全遵循SSH协议的标准认证逻辑，所有公钥拉取、校验动作都在实例内部完成，GCP控制面不会介入SSH流量的转发和拦截。

内容的提问来源于stack exchange，提问作者Bhuvan