多台Linux服务器.ssh/authorized_file集中化管理及root用户免密登录优化方案咨询

你的思路其实已经很务实了，用cron定期拉取集中存储的授权文件确实能解决问题，但还有几个更高效、更易维护的方案，我给你梳理一下：

一、用配置管理工具批量同步（推荐中大规模场景） #

如果你的服务器数量不算少，用Ansible、SaltStack这类配置管理工具会比cron更省心：

• 你只需要维护一个包含所有Linux服务器的主机清单，再写一个简单的playbook（以Ansible为例），就能一键同步授权密钥到所有目标服务器的root目录下。新增或删除服务器时，只需要更新主机清单，重新执行playbook即可，实时性和可控性都比定时任务好。
• 给你举个极简的Ansible任务示例：

  - name: 同步root用户的SSH授权密钥
    hosts: linux_servers
    tasks:
      - name: 复制集中管理的授权密钥文件
        ansible.builtin.copy:
          src: /local/path/to/centralized_root_keys
          dest: /root/.ssh/authorized_keys
          owner: root
          group: root
          mode: '0600'
  

• 这种方式的额外好处是，你还能顺便用同一套工具管理其他服务器配置，比如系统补丁、服务状态等，扩展性很强。

二、用OpenSSH的动态密钥拉取（最优雅的实时方案） #

这个方案不需要定期同步文件，而是让SSH服务在用户登录时实时从集中源拉取授权密钥，步骤如下：

1. 在所有服务器上修改/etc/ssh/sshd_config，添加以下配置：

   AuthorizedKeysCommand /usr/local/bin/get-root-keys
   AuthorizedKeysCommandUser nobody
   

2. 编写拉取密钥的脚本/usr/local/bin/get-root-keys，比如从内部HTTP服务拉取（也可以改成NFS共享、LDAP查询等）：

   #!/bin/bash
   # 从集中服务器的HTTP服务拉取root用户的授权密钥
   curl -s http://your-central-server/root_authorized_keys
   

3. 给脚本添加可执行权限：chmod +x /usr/local/bin/get-root-keys
4. 重启sshd服务生效：systemctl restart sshd

• 优点：新增或删除密钥后，下次SSH登录就会自动获取最新配置，完全不需要等待定时任务周期，适合对实时性要求高的场景。

三、优化你的cron定时同步方案（小规模过渡首选） #

如果暂时不想引入新工具，你的思路可以再优化细节，提升可靠性：

• 用rsync代替简单的wget/curl，它能增量同步，还能保留文件权限：

  */15 * * * * rsync -avz --delete your-central-server:/path/to/centralized_keys /root/.ssh/authorized_keys
  

• 一定要确保授权文件的权限是0600，否则SSH会拒绝读取，所以可以在cron任务里加上权限修正：

  */15 * * * * rsync -avz your-central-server:/path/to/centralized_keys /root/.ssh/authorized_keys && chmod 0600 /root/.ssh/authorized_keys
  

• 建议给集中存储的密钥文件加权限控制，只有指定管理员能修改，避免被恶意篡改。

最后提个安全小建议 #

虽然需求是root用户免密登录，但可以在sshd_config里限制root的登录范围，比如只允许从内部IP段登录：

AllowUsers root@192.168.0.0/24 root@10.0.0.0/8

这样能降低被外部攻击的风险。

你的初始方案完全可以作为过渡用，等服务器规模扩大后再考虑迁移到更自动化的方案~

备注：内容来源于stack exchange，提问作者huz_akh