Commande pour supprimer une clé autorisée ssh sur le serveur

30

Existe-t-il une commande (ou une ligne) pour supprimer une clé ssh sur un serveur? Quelque chose comme l'opposé de ssh-copy-id?

ssh

— grm
source

2

Certains logiciels de serveur SSH prennent en charge le protocole RFC 4819 pour gérer les clés SSH autorisées, mais il est si rare qu'il est presque inexistant sous Linux :(

— grawity

3

Excellente question, il manque vraiment des fonctionnalités à ssh-copy-id pour faciliter la rotation des clés.

— Zabuzzman

1

Il convient de noter que ssh-keygencela offre la -Rpossibilité de supprimer des clés known_hosts, mais ssh-keygen -R <HOSTNAME> -f ~/.ssh/authorized_keysne fonctionne malheureusement pas. J'utiliserais sedplutôt l' option ci-dessous.

— Digital Trauma

10

Comme Ignatio l'a suggéré, cela peut être fait avec grep -v.

Voici un exemple qui supprime la clé contenant some unique stringou supprime simplement le authorized_keysfichier lorsqu'aucune autre clé ne reste.

if test -f $HOME/.ssh/authorized_keys; then
  if grep -v "some unique string" $HOME/.ssh/authorized_keys > $HOME/.ssh/tmp; then
    cat $HOME/.ssh/tmp > $HOME/.ssh/authorized_keys && rm $HOME/.ssh/tmp;
  else
    rm $HOME/.ssh/authorized_keys && rm $HOME/.ssh/tmp;
  fi;
fi

Remplacez some unique stringpar quelque chose qui n'existe que dans la clé que vous souhaitez supprimer.

Comme oneliner sur ssh, cela devient

ssh hostname 'if test -f $HOME/.ssh/authorized_keys; then if grep -v "some unique string" $HOME/.ssh/authorized_keys > $HOME/.ssh/tmp; then cat $HOME/.ssh/tmp > $HOME/.ssh/authorized_keys && rm $HOME/.ssh/tmp; else rm $HOME/.ssh/authorized_keys && rm $HOME/.ssh/tmp; fi; fi'

Testé sur Linux (SLES) et HP-UX.

— mleu
source

2

voir la réponse ci-dessous: sedest mieux à faire cela

— woohoo

25

sed fournit une solution compacte:

sed -i.bak '/REGEX_MATCHING_KEY/d' ~/.ssh/authorized_keys

Cela permettra d'enregistrer l'original authorized_keysdans authorized_keys.bak. Si vous ne voulez pas la sauvegarde, passez simplement -i.bakà -i.

Vous pouvez même supprimer plusieurs clés:

sed -i.bak '/REGEX1/d; /REGEX2/d' ~/.ssh/authorized_keys

Le seul point délicat ici est que les caractères spéciaux dans l'expression régulière doivent être échappés .

— Phil Frost
source

Si vous n'utilisez que les caractères base64 dans le fichier de clés publiques (par exemple, awk '{print $2}' ~/.ssh/id_rsa.pub), vous n'avez pas à vous soucier d'échapper les caractères spéciaux.

— Juan

7

Nan. Vous devrez vous connecter à SSH et utiliser sedou greppour supprimer la clé du fichier.

— Ignacio Vazquez-Abrams
source

Merci. Je garderai la question ouverte un peu plus longtemps pour voir si quelqu'un peut également fournir un script qui fait le contraire de ssh-copy-id

— grm

@grm: Je vous suggère de garder la question ouverte pour toujours, ou du moins jusqu'à ce qu'un ssh-undo-copy-id soit implémenté! ;-)

— Max L.

0

Phil a déjà répondu à cette question mais je veux faire plus et vous faciliter la tâche. Et puisque vous demandez l'inverse de ssh-copy-id, je suppose que vous voulez l'exécuter sur la machine autorisée.

Les clés ssh ne contiennent que des caractères base64 . Vous pouvez donc utiliser un char comme délimiteur sed qui ne figure pas dans cette liste. Utilisons '#'.

ssh root@<hostname> -o PasswordAuthentication=no "sed -i.bak 's#`cat ~/.ssh/id_rsa.pub`##' ~/.ssh/authorized_keys"

Remplacez le nom d'hôte par l'IP du serveur.

L'option PasswordAuthentication entraînera l'échec de ssh s'il demande le mot de passe

— ibrahim
source

Le «commentaire» dans la clé de publication peut ne pas avoir de caractères base64. S'il a un "#", alors votre exemple se casse. Peut-être utiliser awk '{print $2}' ~/.ssh/id_rsa.pubavec certains sedou à la grep -vplace.

— Juan