AuthKeySync ロゴ

AuthKeySync

リモートURLからSSH公開鍵を自動的にサーバーへ同期します

📖 完全なドキュメント

問題

複数のサーバーにまたがるSSHアクセスの管理は大変です：

チームメンバーの加入や離脱があるたびに、すべてのサーバーのauthorized_keysを更新する必要がある
開発者がSSHキーを交換すると、今度は20台のサーバーを更新しなければならない
Infrastructure as Codeを利用していても、SSHキー管理は依然として手動のまま
鍵管理用の自作bashスクリプトは、しばしば品質が低く、安全性に欠け、サーバーからロックアウトされるような微妙なバグを含んでいることが多い
GitHub/GitLabの鍵を使いたいが、いたるところにコピーするのは面倒だ

解決策

AuthKeySyncは、URL（GitHub、GitLab、独自API）からSSH公開鍵を取得し、サーバーに同期する軽量CLIです。安全で信頼性が高く、自動化を前提に設計されています。

# /etc/authkeysync/config.yaml
users:
  - username: "deploy"
    sources:
      - url: "https://github.com/your-username.keys"
      - url: "https://github.com/another-username.keys"

authkeysyncを（手動またはcron経由で）実行すると、authorized_keysが更新されます。これだけです。

主な機能

単一バイナリ: 依存関係なし。ダウンロードして実行するだけ
デフォルトで安全: 既存のローカル鍵を保持し、バックアップを作成し、アトミック書き込みを使用
フェイルセーフ: いずれかのソースが失敗した場合、ロックアウトを防ぐために更新を中止
柔軟なソース: GitHub、GitLab、またはプレーンテキストのSSH鍵を返す任意のURL
APIサポート: 認証付きAPI向けのカスタムヘッダーを使用したPOSTリクエスト
IaC対応: ステートレスで冪等。Ansible/Terraform/cloud-initに最適
クロスプラットフォーム: LinuxとmacOS（AMD64およびARM64）で動作

クイックスタート

1. ダウンロード

最新のバイナリはリリースページから入手してください：

# Linux AMD64
curl -Lo authkeysync https://github.com/eduardolat/authkeysync/releases/latest/download/authkeysync-linux-amd64
chmod +x authkeysync
sudo mv authkeysync /usr/local/bin/

2. 設定

/etc/authkeysync/config.yamlに設定ファイルを作成します：

policy:
  backup_enabled: true # Create backups before changes (default: true)
  backup_retention_count: 10 # Number of backups to keep (default: 10)
  preserve_local_keys: true # Keep keys not in remote sources (default: true)

users:
  - username: "root"
    sources:
      - url: "https://github.com/your-username.keys"

3. 実行

# Test first with dry-run
sudo authkeysync --dry-run

# Apply changes
sudo authkeysync

4. 自動化

cronジョブまたはsystemdタイマーを設定して定期的に実行します：

# Every 5 minutes (use --quiet to reduce log noise in cron)
echo "*/5 * * * * root /usr/local/bin/authkeysync --quiet" | sudo tee /etc/cron.d/authkeysync

設定オプション

ポリシー（すべて任意）

ユーザー（必須）

オプション	型	必須	説明

ソース

全オプションを使用した例

policy:
  backup_enabled: true
  backup_retention_count: 10
  preserve_local_keys: true

users:
  - username: "deploy"
    sources:
      # Simple GitHub keys
      - url: "https://github.com/your-username.keys"

      # Private API with authentication
      - url: "https://keys.yourcompany.com/api/keys"
        method: "POST"
        headers:
          Authorization: "Bearer your-secret-token"
          Content-Type: "application/json"
        body: '{"environment": "production"}'
        timeout_seconds: 5

CLIオプション

終了コード

コード	意味
`0`	成功：すべてのユーザーが処理またはスキップされた
`1`	失敗：少なくとも1人のユーザーの同期に失敗した

動作の仕組み

取得: 設定されたURLからSSH鍵をダウンロードする
解析: すべてのソースにわたって鍵を検証し、重複を除去する
マージ: ローカルのみに存在する鍵をオプションで保持する
書き込み: 適切な権限でauthorized_keysをアトミックに更新する
バックアップ: 変更前にタイムスタンプ付きバックアップを作成する

いずれかのソースの取得に失敗した場合、AuthKeySyncはロックアウトを防ぐためにそのユーザーの更新を中止します。既存のアクセスはそのまま維持されます。

プロジェクトを支援する

AuthKeySyncが役立つと思われたら、GitHubでスターを付け、X（Twitter）で更新情報をフォローしていただけると幸いです：

ライセンス

MITライセンス。詳細はLICENSEを参照してください。

`backup_enabled`	bool	`true`	`authorized_keys`を変更する前にバックアップを作成する
`backup_retention_count`	int	`10`	ユーザーごとに保持するバックアップファイルの数
`preserve_local_keys`	bool	`true`	リモートソースにない既存の鍵を保持する

`username`	string	はい	システムのユーザー名（例：`root`、`deploy`）
`sources`	list	はい	鍵ソースのリスト

`url`	string	（必須）	プレーンテキストのSSH鍵を返すURL
`method`	string	`GET`	HTTPメソッド：`GET`または`POST`
`headers`	map	`{}`	カスタムHTTPヘッダー（例：認証用）
`body`	string	`""`	POSTリクエスト用のリクエストボディ
`timeout_seconds`	int	`10`	リクエストのタイムアウト（秒）

`--config <path>`	設定ファイルへのパス（デフォルト：`/etc/authkeysync/config.yaml`）
`--dry-run`	ファイルを変更せずに同期をシミュレートする
`--debug`	デバッグログを有効にする（最も詳細）
`--quiet`	警告とエラーのみ表示（cronに推奨）
`--silent`	エラーのみ表示（最も静か）
`--version`	バージョン情報を表示して終了
`--help`	ヘルプメッセージを表示

authkeysync

人気