AuthKeySync

Автоматическая синхронизация открытых SSH-ключей с удалённых URL-адресов на ваши серверы

📖 Полная документация

Проблема

Управление SSH-доступом на нескольких серверах — это боль:

• Участники команды приходят и уходят, и вам нужно обновлять authorized_keys на каждом сервере
• Разработчики меняют свои SSH-ключи, и теперь у вас 20 серверов, которые нужно обновить
• Вы используете Infrastructure as Code, но управление SSH-ключами по-прежнему выполняется вручную
• Самодельные bash-скрипты для управления ключами часто плохо написаны, небезопасны или содержат тонкие ошибки, которые могут заблокировать вам доступ к серверам
• Вы хотите использовать ключи GitHub/GitLab, но копировать их повсюду утомительно

Решение

AuthKeySync — это лёгкий CLI-инструмент, который загружает открытые SSH-ключи по URL-адресам (GitHub, GitLab, собственный API) и синхронизирует их на ваши серверы. Он безопасен, надёжен и предназначен для автоматизации.

# /etc/authkeysync/config.yaml
users:
  - username: "deploy"
    sources:
      - url: "https://github.com/your-username.keys"
      - url: "https://github.com/another-username.keys"

Запустите authkeysync (вручную или через cron) — и ваш authorized_keys обновлён. Вот и всё.

Ключевые возможности

• Один бинарный файл: Без зависимостей, просто скачайте и запускайте
• Безопасно по умолчанию: Сохраняет существующие локальные ключи, создаёт резервные копии, использует атомарную запись
• Отказоустойчивость: Если любой из источников завершится ошибкой, обновление прерывается, чтобы предотвратить блокировку
• Гибкие источники: GitHub, GitLab или любой URL, возвращающий открытые SSH-ключи в виде обычного текста
• Поддержка API: POST-запросы с пользовательскими заголовками для аутентифицированных API
• Готовность к IaC: Не сохраняет состояние, идемпотентен, отлично подходит для Ansible/Terraform/cloud-init
• Кроссплатформенность: Работает на Linux и macOS (AMD64 и ARM64)

Быстрый старт

1. Загрузка

Скачайте последний бинарный файл со страницы релизов:

# Linux AMD64
curl -Lo authkeysync https://github.com/eduardolat/authkeysync/releases/latest/download/authkeysync-linux-amd64
chmod +x authkeysync
sudo mv authkeysync /usr/local/bin/

2. Настройка

Создайте файл конфигурации в /etc/authkeysync/config.yaml:

policy:
  backup_enabled: true # Создавать резервные копии перед изменениями (по умолчанию: true)
  backup_retention_count: 10 # Количество хранимых резервных копий (по умолчанию: 10)
  preserve_local_keys: true # Сохранять ключи, отсутствующие в удалённых источниках (по умолчанию: true)

users:
  - username: "root"
    sources:
      - url: "https://github.com/your-username.keys"

3. Запуск

# Сначала проверьте с помощью dry-run
sudo authkeysync --dry-run

# Применить изменения
sudo authkeysync

4. Автоматизация

Настройте задачу cron или таймер systemd для периодического запуска:

# Каждые 5 минут (используйте --quiet, чтобы уменьшить шум в логах cron)
echo "*/5 * * * * root /usr/local/bin/authkeysync --quiet" | sudo tee /etc/cron.d/authkeysync

Параметры конфигурации

Политика (все параметры необязательны)

Пользователи (обязательно)

Источники

Пример со всеми параметрами

policy:
  backup_enabled: true
  backup_retention_count: 10
  preserve_local_keys: true

users:
  - username: "deploy"
    sources:
      # Простые ключи GitHub
      - url: "https://github.com/your-username.keys"

      # Частный API с аутентификацией
      - url: "https://keys.yourcompany.com/api/keys"
        method: "POST"
        headers:
          Authorization: "Bearer your-secret-token"
          Content-Type: "application/json"
        body: '{"environment": "production"}'
        timeout_seconds: 5

Параметры CLI

Коды выхода

Как это работает

1. Получение: Загружает SSH-ключи из настроенных URL-адресов
2. Разбор: Проверяет и дедуплицирует ключи из всех источников
3. Объединение: При необходимости сохраняет ключи, которые существуют только локально
4. Запись: Атомарно обновляет authorized_keys с правильными правами доступа
5. Резервное копирование: Создаёт резервные копии с временными метками перед любыми изменениями

Если любой из источников не удалось получить, AuthKeySync прерывает обновление для этого пользователя, чтобы предотвратить блокировку. Ваш существующий доступ остаётся нетронутым.

Поддержите проект

Если вы считаете AuthKeySync полезным, пожалуйста, поставьте ему звезду на GitHub и подпишитесь на меня в X (Twitter) для получения обновлений:

• Поставить звезду на GitHub
• Подписаться на @eduardoolat в X

Лицензия

Лицензия MIT. Подробности см. в LICENSE.