通常机器上保存的key都是读取~/.ssh/authorized_keys文件来获取的,这样的话就不好做到动态调整和控制权限.
openssh6.2版本以上新增加了AuthorizedKeysCommand选项功能,可以获取动态keys列表
Port 22 Protocol 2 SyslogFacility AUTH LogLevel INFO #PermitRootLogin no RSAAuthentication yes PubkeyAuthentication yes AuthorizedKeysFile .ssh/authorized_keys # To disable tunneled clear text passwords, change to no here! PasswordAuthentication no # Change to no to disable s/key passwords ChallengeResponseAuthentication no UsePAM yes AllowTcpForwarding no X11UseLocalhost no UseDNS no Subsystem sftp /usr/libexec/openssh/sftp-server AuthorizedKeysCommand /etc/get_key.sh AuthorizedKeysCommandUser root
一个典型的sshd配置如上,其中AuthorizedKeysCommand选项的作用是在每次登录时都调用指定的脚本，并以脚本当前的输出作为keys列表.当脚本的输出为空时,再调用本地authorized_keys文件中的keys列表验证.
一个典型的使用方式是,将ssh公钥放在一个统一的鉴权服务器上,与cmdb中的服务器资源列表做匹配,通过http restapi返回服务器允许登录的公钥列表,在服务器上通过get_key.sh进行读取.当读取为空时，使用本地authorized_keys，一般为权限用户.
这样就可以很好的实现服务器授权，组授权以及跳板机相关功能.(本地key转发通过跳板机连接服务器的情况,就可以做到权限集中与鉴权了)