如何撤销 ssh 证书（不是 ssh 身份文件！）

Question

我已经生成了这样的 ssh 证书：

1. ssh-keygen -f ca_key # 生成一个 ssh 密钥对用作证书
2. 生成主机密钥 ssh-keygen -s ca_key -I cert_identifier -h host_key.pub
3. 在服务器的 sshd 配置文件中指定主机密钥： TrustedUserCAKeys /etc/ssh/ssh_cert/host_key.pub
4. 生成本地证书以使用 ssh 证书访问主机：ssh-keygen -s ca_key -I cert_identifier user_key.pub. 这应该生成 user_key-cert.pub

我现在可以使用ssh -i user_key user@host（使用 user_key-cert.pub）登录服务器。除了禁用 TrustedUserCAKeys 文件之外，如何撤销证书？

Answer 1

sshd_config 有一个 RevokedKeys 文件。您可以在其中列出多个密钥或证书，每行一个。将来，OpenSSH 将支持通过证书序列号进行撤销，这将使撤销列表更小。