如何区分证书，使用相同的Ca时，

Question

我是管理员，我有一个开发人员。我有一个 CA 根证书 (ca & ca.pub) 和许多服务器。我把 ca.pub 放在所有服务器上。我想做的事情是开发人员只能登录到一台服务器，而不能登录到其他服务器。 我应该如何使用ca签署证书并配置sshd_config？

例如，如果我只是用我的 ca 签署 user.pub 并在服务器上生成 user-cert.pub 并将其发送给开发人员，那么他可以将 user-cert.pub 用于我的所有服务器，cz 我所有的服务器信任ca.pub，这不是我想要的！！！

Answer 1

您可以通过创建和到期日期区分证书，哪个证书是最新的，哪个是旧的，如果进一步混淆，只需删除所有证书并制作新证书并使用新证书编辑现有的所有配置文件，您就可以使用新证书了。

Answer 2

我修好了！！！使用角色签署证书，将 serverid 作为角色名称。

1. 在 /etc/ssh/ 中添加目录 auth_principals，创建一个文件“root”并在其中添加 serverid。
2. 将 AuthorizedPrincipalsFile /etc/ssh/auth_principals/%u 添加到 sshd_config 中，重启 sshd！！！

这样，不同的服务器即使信任同一个ca.pub，却拥有不同的证书。