刚接触云主机，先别急着定一个固定的换钥周期。更稳妥的做法是先弄清谁能登录、凭据放在哪里，再逐台验证替换。云环境SSH密钥轮换与账号权限管理的重点，是避免旧密钥继续有效，同时确保管理员不会把自己锁在服务器外。
先盘点账号和密钥，别直接删旧凭据
登录主机后，确认系统账号、管理员账号和日常使用账号分别是谁在维护。Linux 上可查看用户与组信息，并检查各账号的 ~/.ssh/authorized_keys；这个文件通常保存允许登录该账号的公钥。不要把私钥上传到主机或放进代码仓库：私钥应留在使用者的设备或受控密钥存储中，服务器保存公钥。
为每把密钥记录使用人、用途、对应账号、创建时间和密钥指纹。多人共用一个账号或同一把私钥，会让离职交接和追查操作变困难。云环境SSH密钥轮换与账号权限管理应先从清单开始；找不到负责人或用途的密钥，先核实再撤销。
按“新增、验证、撤销”完成轮换
- 准备新密钥。在实际登录的客户端生成独立密钥对，并给私钥设置口令。Ed25519 通常是新环境的合适选择；若旧系统或客户端不支持，再按兼容要求考虑 RSA 等算法。不要把私钥口令、私钥文件交给其他人。
- 添加新公钥。将公钥追加到目标账号的 authorized_keys，避免覆盖文件中其他仍在使用的公钥。检查文件归属和权限；常见设置是用户家目录下的 .ssh 为 700、authorized_keys 为 600。具体要求也会受系统配置影响。
- 开新会话验证。保留当前登录窗口，另开一个会话，用新私钥连接同一主机，确认账号、主机和所需命令均可用。记录公钥指纹，避免把相似主机或账号的凭据误认为目标凭据。
- 撤销旧公钥。验证通过后，从对应账号的 authorized_keys 删除旧公钥，再开新会话确认旧密钥已无法登录。若一把密钥曾复制到多台主机，须逐台检查和撤销。
这套顺序比先删旧钥再测试可靠，因为一旦新钥路径、权限或账号配置有误，旧会话仍可用于修正。若当前唯一管理员密钥已经丢失或疑似泄露，应优先使用云平台提供的受控恢复方式，按平台说明处理，不要假定所有主机都有相同的控制台能力。
把账号权限缩到实际需要
个人账号优先，管理员权限单独授予
为每位维护者使用独立账号，并按任务授予组权限或有限的 sudo 权限。sudo 可让获准用户执行指定管理操作；不要为了省事把所有人都加入管理员组，也不要把日常工作长期放在 root 账号下。编辑 sudoers 文件时使用 visudo，以便在保存前检查语法，降低配置错误导致无法提权的风险。
确认救援路径后再关密码登录
只有在新密钥登录已验证、至少有可用的管理账号且恢复途径明确后，才考虑在 sshd_config 中关闭密码认证或禁止 root 直接登录。修改后先检查 SSH 服务配置，并通过保留的会话或第二个会话确认服务仍能接受登录，再退出原会话。不同 Linux 发行版的服务名称、配置加载方式和日志位置可能不同，应以主机实际系统为准。
权限变化也要覆盖离职、外包结束和设备遗失等情形：撤销相关公钥、停用不再使用的账号，并检查是否还存在共享账号、遗留自动化任务或其他主机上的同一密钥。云环境SSH密钥轮换与账号权限管理不是单次换钥，而是持续维护的访问清单。
建立轻量的检查节奏
不必把某个轮换周期当作适用于所有主机的硬性标准。可按组织政策设定定期复核，例如每半年或每年检查一次清单；密钥疑似泄露、设备丢失、人员离岗或用途结束时，则应及时撤销并替换。轮换频率应结合访问人数、主机重要性和运维能力决定。
每次变更留下记录：涉及的主机和账号、旧公钥指纹、新公钥指纹、操作人、验证结果及撤销时间。定期检查登录日志和账号列表，发现无法说明来源的密钥或账号时，先确认业务依赖，再执行停用。按这些步骤推进，云环境SSH密钥轮换与账号权限管理就能从一次性配置变成可核对、可恢复的日常流程。
常见问题
多久轮换一次 SSH 密钥？
没有适用于所有环境的固定间隔。可按内部政策定期复核；泄露、人员离岗或设备遗失时应尽快撤销。
可以多人共用一把密钥吗？
不建议。个人密钥便于单独撤销和追查；共享密钥会让责任归属和离职交接更困难。
换钥时需要重启主机吗？
通常修改 authorized_keys 不需要重启主机，但应按系统配置验证新会话，并确认旧密钥已失效。
能否一开始就关闭密码登录？
可以作为安全目标，但应先验证密钥登录、备用管理员账号和恢复途径，再调整 SSH 配置，避免失去访问能力。
