AuthKeySync Logo

AuthKeySync

自动从远程 URL 同步 SSH 公钥到您的服务器

📖 完整文档

问题

跨多台服务器管理 SSH 访问非常痛苦：

团队成员加入或离开时，你需要在每台服务器上更新 authorized_keys
开发人员轮换 SSH 密钥，而现在你有 20 台服务器需要更新
你正在使用基础设施即代码，但 SSH 密钥管理仍是手动的
自制 bash 脚本进行密钥管理往往写得不好、不安全，或者存在细微的 bug，可能导致你无法登录服务器
你想使用 GitHub/GitLab 密钥，但到处复制太繁琐

解决方案

AuthKeySync 是一个轻量级 CLI，它从 URL（GitHub、GitLab、你自己的 API）获取 SSH 公钥并将其同步到你的服务器。它安全、可靠，专为自动化而设计。

# /etc/authkeysync/config.yaml
users:
  - username: "deploy"
    sources:
      - url: "https://github.com/your-username.keys"
      - url: "https://github.com/another-username.keys"

运行 authkeysync（手动或通过 cron），你的 authorized_keys 就会更新。仅此而已。

主要特性

单个二进制文件：无依赖，下载即可运行
默认安全：保留已有的本地密钥，创建备份，使用原子写入
故障安全：如果任何源获取失败，则中止更新以防止锁定
灵活的源：GitHub、GitLab 或任何返回纯文本 SSH 密钥的 URL
API 支持：支持 POST 请求和自定义头部，用于需要认证的 API
IaC 就绪：无状态、幂等，完美适用于 Ansible/Terraform/cloud-init
跨平台：支持 Linux 和 macOS（AMD64 和 ARM64）

快速开始

1. 下载

从 releases 页面获取最新的二进制文件：

# Linux AMD64
curl -Lo authkeysync https://github.com/eduardolat/authkeysync/releases/latest/download/authkeysync-linux-amd64
chmod +x authkeysync
sudo mv authkeysync /usr/local/bin/

2. 配置

在 /etc/authkeysync/config.yaml 创建配置文件：

policy:
  backup_enabled: true # 修改前创建备份（默认：true）
  backup_retention_count: 10 # 保留的备份文件数量（默认：10）
  preserve_local_keys: true # 保留不在远程源中的密钥（默认：true）

users:
  - username: "root"
    sources:
      - url: "https://github.com/your-username.keys"

3. 运行

# 先用 dry-run 测试
sudo authkeysync --dry-run

# 应用更改
sudo authkeysync

4. 自动化

设置 cron 任务或 systemd 定时器定期运行：

# 每5分钟（使用 --quiet 减少 cron 中的日志输出）
echo "*/5 * * * * root /usr/local/bin/authkeysync --quiet" | sudo tee /etc/cron.d/authkeysync

配置选项

Policy（全部可选）

Users（必需）

选项	类型	必需	描述

Sources

包含所有选项的示例

policy:
  backup_enabled: true
  backup_retention_count: 10
  preserve_local_keys: true

users:
  - username: "deploy"
    sources:
      # 简单的 GitHub 密钥
      - url: "https://github.com/your-username.keys"

      # 带认证的私有 API
      - url: "https://keys.yourcompany.com/api/keys"
        method: "POST"
        headers:
          Authorization: "Bearer your-secret-token"
          Content-Type: "application/json"
        body: '{"environment": "production"}'
        timeout_seconds: 5

CLI 选项

退出码

代码	含义
`0`	成功：所有用户已处理或跳过
`1`	失败：至少有一个用户同步失败

工作原理

获取：从配置的 URL 下载 SSH 密钥
解析：验证并去重所有源中的密钥
合并：可选地保留仅在本地存在的密钥
写入：原子地更新 authorized_keys，并设置正确的权限
备份：在进行任何更改前创建带时间戳的备份

如果任何源获取失败，AuthKeySync 会中止该用户的更新以防止锁定。你现有的访问权限保持不变。

支持项目

如果你觉得 AuthKeySync 有用，请考虑在 GitHub 上给它加星，并在 X（Twitter）上关注我以获取更新：

许可证

MIT 许可证。详见 LICENSE。

`backup_enabled`	bool	`true`	修改 `authorized_keys` 前创建备份
`backup_retention_count`	int	`10`	每个用户保留的备份文件数量
`preserve_local_keys`	bool	`true`	保留未在远程源中的现有密钥

`username`	string	是	系统用户名（例如 `root`、`deploy`）
`sources`	list	是	密钥源列表

`url`	string	(必需)	返回纯文本 SSH 密钥的 URL
`method`	string	`GET`	HTTP 方法：`GET` 或 `POST`
`headers`	map	`{}`	自定义 HTTP 头部（例如用于认证）
`body`	string	`""`	POST 请求的请求体
`timeout_seconds`	int	`10`	请求超时时间（秒）

`--config <path>`	配置文件路径（默认：`/etc/authkeysync/config.yaml`）
`--dry-run`	模拟同步，不修改任何文件
`--debug`	启用调试日志（最详细）
`--quiet`	仅显示警告和错误（推荐用于 cron）
`--silent`	仅显示错误（最安静）
`--version`	显示版本信息并退出
`--help`	显示帮助信息

authkeysync

最受欢迎