Ротация host keys OpenSSH: подготовить переход до удаления доверенного ключа
Фотография конкретного исполнения не приложена.
UpdateHostKeys позволяет серверу после завершения аутентификации сообщить дополнительные host keys клиенту. Механизм предназначен для плавной ротации: новый ключ можно распространить до удаления старого. Это отличается от внезапной замены, при которой клиент впервые видит неизвестную идентичность сервера и не имеет подтверждённой цепочки перехода.
Руководство задаёт условия принятия дополнительных ключей, включая уже доверенный либо явно принятый исходный ключ, соответствующий пользовательский known_hosts и обычный ключ вместо сертификата. Поэтому наличие параметра не означает универсальное автоматическое обновление любой конфигурации доверия или любой схемы host certificates.
В проекте разделяют плановый переход и неожиданное изменение идентичности. Удаление старой записи ради исчезновения предупреждения не подтверждает легитимность нового сервера. Нужно сохранить источник согласованного ключа, перечень обслуживающих клиентов и фактический результат распространения перед завершением ротации.
В приёмке проверяют подключение с действующим доверием, получение нового ключа и последующий вход после согласованного вывода старого. Отдельно проверяют клиента вне условий UpdateHostKeys. Успешная смена на одном рабочем месте не доказывает, что весь парк обслуживающих систем готов к удалению прежнего ключа.
Основание — OpenSSH current OpenBSD manuals snapshot; portable release10.6 observed, not exact portable manual, разделы UpdateHostKeys; UserKnownHostsFile. Сохранён текст публичной справочной публикации; конкретная реализация может поддерживать только часть возможностей. Удалённые узлы, ключи и файлы не проверялись; подключения, копирование и изменение прав не выполнялись. Версии и доступные параметры обеих сторон требуют подтверждения.