使用docker-machine结合已有密钥对创建EC2实例后SSH连接失败，如何配置参数？

我来帮你理清--amazonec2-keypair-name和--amazonec2-ssh-keypath这两个参数的正确用法，解决SSH连接不上的问题——核心就是要保证AWS上的密钥对和本地私钥是配对的，下面一步步拆解：

先搞懂两个参数的作用 #

• --amazonec2-keypair-name：这是你在AWS控制台创建的密钥对名称。AWS会把这个密钥对对应的公钥，自动放到EC2实例的~/.ssh/authorized_keys文件里，只有持有对应私钥的用户才能通过SSH登录实例。
• --amazonec2-ssh-keypath：这是你本地机器上私钥文件的路径，docker-machine会用这个私钥来建立和EC2实例的SSH连接。

常见错误原因&正确设置方式 #

1. 两个参数必须对应同一个密钥对 #

你现在的问题大概率是：AWS上的my_key_pair对应的公钥，和本地~/.ssh/id_rsa的私钥不匹配。解决方式分两种：

方式一：使用AWS下载的原始私钥

当你在AWS创建my_key_pair时，会下载一个.pem格式的私钥文件（比如my_key_pair.pem）。你需要：

• 把这个.pem文件放到~/.ssh/目录下
• 修改文件权限为400（SSH要求私钥权限不能太开放）：

  chmod 400 ~/.ssh/my_key_pair.pem
  

• 然后修改docker-machine命令的--amazonec2-ssh-keypath参数，指向这个.pem文件：

  docker-machine create \
    -d amazonec2 \
    --amazonec2-region ap-northeast-1 \
    --amazonec2-zone a \
    --amazonec2-ami ami-XXXXXX \
    --amazonec2-keypair-name my_key_pair \
    --amazonec2-ssh-keypath ~/.ssh/my_key_pair.pem \
    my_instance
  

方式二：复用本地的id_rsa私钥

如果你想继续用本地的~/.ssh/id_rsa，需要把它对应的公钥（~/.ssh/id_rsa.pub里的内容）上传到AWS：

• 打开AWS控制台的密钥对页面，找到my_key_pair，编辑它的公钥内容，把id_rsa.pub里的文本粘贴进去；或者直接创建一个新的密钥对，把id_rsa.pub的内容作为公钥。
• 确保--amazonec2-keypair-name参数对应这个包含id_rsa.pub内容的密钥对名称，--amazonec2-ssh-keypath保持~/.ssh/id_rsa即可。

2. 检查本地私钥的权限 #

不管用哪种方式，本地私钥文件的权限必须是400，否则SSH会拒绝使用它。执行下面的命令修正：

chmod 400 ~/.ssh/你的私钥文件名

3. 验证连接的正确方式 #

创建实例后，不要手动用ssh命令连接，而是用docker-machine自带的命令：

docker-machine ssh my_instance

这个命令会自动处理SSH的用户（默认是ubuntu或者ec2-user，取决于AMI）、端口等配置，避免手动输入出错。

4. 额外检查：EC2安全组 #

如果还是连不上，检查EC2实例的安全组规则，确保允许来自你本地IP的SSH（端口22）访问。

内容的提问来源于stack exchange，提问作者v v