Scert/doc/SSH密钥配置指南.md

SSH 登录配置说明

本说明用于明确当前产品的安全边界。Scert 远程服务器连接仅支持 SSH 密码认证，不提供、不生成、不读取、不保存、不上传 SSH 私钥或公钥，也不会写入远程 authorized_keys。

当前配置流程

在服务器配置页面填写以下内容：

• 服务器地址和 SSH 端口，默认端口为 22。
• SSH 用户名。
• SSH 登录密码。
• SSH 主机 SHA256 指纹。
• 远程证书、完整证书链和证书私钥路径。

保存服务器配置后，Scert 只使用受保护的密码凭据建立 SSH 连接，并校验服务器主机指纹。密码不会在页面回显、日志中输出或作为命令参数写入。

明确禁止的操作

• 不要在 Scert 中录入 SSH 私钥或公钥。
• 不要在 Scert 中生成 SSH 密钥对。
• 不要使用 ssh-keygen、ssh-copy-id 或其他方式为 Scert 部署登录密钥。
• 不要由 Scert 创建或修改远程 authorized_keys。
• 不要为了绕过密码认证失败而开启 PubkeyAuthentication。

页面中出现的“证书私钥路径”仅用于目标 Web 服务器的 TLS 证书部署，与 SSH 登录认证完全不同，不能用于 SSH 登录。

连接失败处理

如果连接失败，请核对服务器地址、端口、用户名、密码、主机指纹和远程账号权限。不要删除主机指纹校验，也不要切换为密钥认证。需要调整服务器 SSH 策略时，应通过服务器控制台或可信的系统维护流程完成，并保持密码认证要求。

安全要求

• 服务器密码只通过受保护的凭据存储保存，不提交到 Git、脚本、日志或工单。
• 生产服务器应关闭 SSH 公钥认证，使用密码唯一认证策略。
• Scert 管理服务和数据库不直接暴露公网，远程管理入口应通过 Nginx 的 80/443 反代访问。