AuthKeySync

SSH-Public-Keys automatisch von entfernten URLs auf Ihre Server synchronisieren

📖 Vollständige Dokumentation

Das Problem

Die Verwaltung des SSH-Zugriffs über mehrere Server hinweg ist mühsam:

• Teammitglieder kommen und gehen, und Sie müssen authorized_keys auf jedem Server aktualisieren
• Entwickler rotieren ihre SSH-Keys, und jetzt müssen 20 Server aktualisiert werden
• Sie nutzen Infrastructure as Code, aber die SSH-Key-Verwaltung ist weiterhin manuell
• Selbstgebaute Bash-Skripte zur Schlüsselverwaltung sind oft schlecht geschrieben, unsicher oder enthalten subtile Fehler, die Sie von Ihren Servern aussperren können
• Sie möchten GitHub/GitLab-Keys verwenden, aber sie überall zu kopieren ist mühsam

Die Lösung

AuthKeySync ist ein leichtgewichtiges CLI, das SSH-Public-Keys von URLs abruft (GitHub, GitLab, eigene API) und sie mit Ihren Servern synchronisiert. Es ist sicher, zuverlässig und für die Automatisierung konzipiert.

# /etc/authkeysync/config.yaml
users:
  - username: "deploy"
    sources:
      - url: "https://github.com/your-username.keys"
      - url: "https://github.com/another-username.keys"

Führen Sie authkeysync aus (manuell oder per Cron), und Ihre authorized_keys wird aktualisiert. Das war's.

Hauptfunktionen

• Einzelne Binärdatei: Keine Abhängigkeiten, einfach herunterladen und ausführen
• Standardmäßig sicher: Behält vorhandene lokale Keys, erstellt Backups, verwendet atomare Schreibvorgänge
• Ausfallsicher: Wenn eine Quelle fehlschlägt, wird das Update abgebrochen, um Aussperrungen zu verhindern
• Flexible Quellen: GitHub, GitLab oder jede URL, die SSH-Keys als Klartext zurückgibt
• API-Unterstützung: POST-Anfragen mit benutzerdefinierten Headern für authentifizierte APIs
• IaC-bereit: Zustandslos, idempotent, perfekt für Ansible/Terraform/cloud-init
• Plattformübergreifend: Funktioniert unter Linux und macOS (AMD64 und ARM64)

Schnellstart

1. Herunterladen

Laden Sie die neueste Binärdatei von der Release-Seite herunter:

# Linux AMD64
curl -Lo authkeysync https://github.com/eduardolat/authkeysync/releases/latest/download/authkeysync-linux-amd64
chmod +x authkeysync
sudo mv authkeysync /usr/local/bin/

2. Konfigurieren

Erstellen Sie eine Konfigurationsdatei unter /etc/authkeysync/config.yaml:

policy:
  backup_enabled: true # Create backups before changes (default: true)
  backup_retention_count: 10 # Number of backups to keep (default: 10)
  preserve_local_keys: true # Keep keys not in remote sources (default: true)

users:
  - username: "root"
    sources:
      - url: "https://github.com/your-username.keys"

3. Ausführen

# Test first with dry-run
sudo authkeysync --dry-run

# Apply changes
sudo authkeysync

4. Automatisieren

Richten Sie einen Cron-Job oder einen systemd-Timer ein, der regelmäßig ausgeführt wird:

# Every 5 minutes (use --quiet to reduce log noise in cron)
echo "*/5 * * * * root /usr/local/bin/authkeysync --quiet" | sudo tee /etc/cron.d/authkeysync

Konfigurationsoptionen

Policy (alle optional)

Option	Type	Default	Description
backup_enabled	bool	true	Backups erstellen, bevor authorized_keys geändert wird
backup_retention_count	int	10	Anzahl der Backup-Dateien, die pro Benutzer aufbewahrt werden
preserve_local_keys	bool	true	Vorhandene Keys behalten, die nicht in den Remote-Quellen enthalten sind

Benutzer (erforderlich)

Option	Type	Required	Beschreibung
username	string	Ja	System-Benutzername (z. B. root, deploy)
sources	list	Ja	Liste der Key-Quellen

Quellen

Option	Type	Default	Beschreibung
url	string	(erforderlich)	URL, die SSH-Keys als Klartext zurückgibt
method	string	GET	HTTP-Methode: GET oder POST
headers	map	{}	Benutzerdefinierte HTTP-Header (z. B. für die Authentifizierung)
body	string	""	Anfragetext (Body) für POST-Anfragen
timeout_seconds	int	10	Anfrage-Timeout in Sekunden

Beispiel mit allen Optionen

policy:
  backup_enabled: true
  backup_retention_count: 10
  preserve_local_keys: true

users:
  - username: "deploy"
    sources:
      # Simple GitHub keys
      - url: "https://github.com/your-username.keys"

      # Private API with authentication
      - url: "https://keys.yourcompany.com/api/keys"
        method: "POST"
        headers:
          Authorization: "Bearer your-secret-token"
          Content-Type: "application/json"
        body: '{"environment": "production"}'
        timeout_seconds: 5

CLI-Optionen

Option	Beschreibung
--config <path>	Pfad zur Konfigurationsdatei (Standard: /etc/authkeysync/config.yaml)
--dry-run	Sync simulieren, ohne Dateien zu verändern
--debug	Debug-Logging aktivieren (ausführlichste Ausgabe)
--quiet	Nur Warnungen und Fehler anzeigen (für Cron empfohlen)
--silent	Nur Fehler anzeigen (ruhigste Ausgabe)
--version	Versionsinformationen anzeigen und beenden
--help	Hilfemeldung anzeigen

Exit-Codes

Code	Bedeutung
0	Erfolg: alle Benutzer verarbeitet oder übersprungen
1	Fehler: mindestens ein Benutzer konnte nicht synchronisiert werden

So funktioniert es