指定GPG密钥作为SSH主机身份凭证的访问问题排查

我完全理解你遇到的麻烦——用带认证子密钥的GPG密钥连接服务商的SSH服务器，明明公钥已经发过去了，各种配置也调了，就是连不上，还想通过ssh/config指定密钥来缩小排查范围对吧？我帮你梳理下关键的排查步骤和正确的配置方式：

先确认GPG认证子密钥已被gpg-agent正确代理 #

首先得确保你的认证子密钥已经被gpg-agent加载到SSH代理里，这是基础：

• 运行ssh-add -L，查看输出里有没有你发给服务商的那串SSH公钥。如果没有，说明gpg-agent没加载这个密钥：
  • 可以先执行gpg -K（查看私钥列表）触发gpg-agent识别密钥，或者如果是密钥卡的话用gpg --card-status
  • 重启gpg-agent试试：gpgconf --kill gpg-agent，再重新启动gpgconf --launch gpg-agent，之后再检查ssh-add -L

正确配置ssh/config指定GPG代理的密钥 #

你之前尝试导出私子密钥作为IdentityFile是误区——gpg-agent管理的SSH私钥不需要直接指定私钥文件，正确的做法是让SSH只尝试你指定的公钥对应的私钥（私钥由gpg-agent代理）：

1. 先拿到认证子密钥对应的SSH公钥文件（就是你发给服务商的那个，比如~/.ssh/gpg-auth-subkey.pub）
2. 在~/.ssh/config里针对目标主机添加配置：

Host vendor-server
    HostName <服务商的SSH主机地址>
    User <你的登录用户名>
    IdentitiesOnly yes  # 关键：只尝试指定的密钥，不遍历代理里的所有密钥
    IdentityFile ~/.ssh/gpg-auth-subkey.pub  # 指定公钥文件，SSH会自动匹配代理里的对应私钥
    IdentityAgent $SSH_AUTH_SOCK  # 指定用gpg-agent的SSH代理socket

排查连接细节 #

用 verbose 模式连接，看具体哪里出问题：

• 运行ssh -v vendor-server（对应你在config里的Host名称）
• 重点看输出里的Offering public key:行，确认是不是你指定的那个公钥。如果没出现，检查ssh/config的路径是否写错、主机名是否匹配；如果出现但被服务器拒绝，要确认你发给服务商的公钥和ssh-add -L输出的是否完全一致（要复制完整一行，包括开头的ssh-rsa和结尾的注释，不能有换行或空格错误）

额外检查点 #

• 确认~/.gnupg/gpg-agent.conf里的enable-ssh-support没有被注释，~/.gnupg/gpg.conf里的use-agent也生效
• 检查GPG密钥的密码是否正确：可以执行gpg --sign test.txt触发密码输入，确认密码无误后再尝试SSH连接（避免gpg-agent缓存错误密码导致密钥无法使用）

备注：内容来源于stack exchange，提问作者ahmedsabriz