# SSH 登录配置说明

本说明用于明确当前产品的安全边界。Scert 远程服务器连接**仅支持 SSH 密码认证**，不提供、不生成、不读取、不保存、不上传 SSH 私钥或公钥，也不会写入远程 `authorized_keys`。

## 当前配置流程

在服务器配置页面填写以下内容：

- 服务器地址和 SSH 端口，默认端口为 `22`。
- SSH 用户名。
- SSH 登录密码。
- SSH 主机 `SHA256` 指纹。
- 远程证书、完整证书链和证书私钥路径。

保存服务器配置后，Scert 只使用受保护的密码凭据建立 SSH 连接，并校验服务器主机指纹。密码不会在页面回显、日志中输出或作为命令参数写入。

## 明确禁止的操作

- 不要在 Scert 中录入 SSH 私钥或公钥。
- 不要在 Scert 中生成 SSH 密钥对。
- 不要使用 `ssh-keygen`、`ssh-copy-id` 或其他方式为 Scert 部署登录密钥。
- 不要由 Scert 创建或修改远程 `authorized_keys`。
- 不要为了绕过密码认证失败而开启 `PubkeyAuthentication`。

页面中出现的“证书私钥路径”仅用于目标 Web 服务器的 TLS 证书部署，与 SSH 登录认证完全不同，不能用于 SSH 登录。

## 连接失败处理

如果连接失败，请核对服务器地址、端口、用户名、密码、主机指纹和远程账号权限。不要删除主机指纹校验，也不要切换为密钥认证。需要调整服务器 SSH 策略时，应通过服务器控制台或可信的系统维护流程完成，并保持密码认证要求。

## 安全要求

- 服务器密码只通过受保护的凭据存储保存，不提交到 Git、脚本、日志或工单。
- 生产服务器应关闭 SSH 公钥认证，使用密码唯一认证策略。
- Scert 管理服务和数据库不直接暴露公网，远程管理入口应通过 Nginx 的 `80/443` 反代访问。