用于管理 Github SSH 证书的 SSH CA [关闭]答案

【问题标题】：SSH CA for managing Github SSH Certificates [closed]用于管理 Github SSH 证书的 SSH CA [关闭]
【发布时间】：2021-04-21 01:39:18
【问题描述】：

Github 现在支持通过 OpenSSH 证书进行身份验证：https://github.blog/2019-08-14-ssh-certificate-authentication-for-github-enterprise-cloud/。

但是，我找不到任何有关证书颁发机构管理这些 SSH 证书的建议。

似乎有许多围绕服务器和生产环境的证书管理的选项，例如祝福，现金等。

对于为开发人员访问 Github 管理 SSH 证书，您有什么建议？

在理想情况下，这将允许开发人员进行自定义配置。它将能够与现有的活动目录交互以对尝试创建证书的用户进行身份验证，这将是一项托管服务。

【问题讨论】：

您需要设置一个 CA。如何做到这一点超出了本网站的范围。

标签： certificate-authority ssh openssh github

【解决方案1】：

我在 smallstep 工作，我们有一个可以颁发 SSH 证书的 open source certificate authority。我们还有一个托管产品 single sign-on for SSH（以及自动配置 posix 用户、SSH 和 sudo 访问控制以及审计日志）。开源版本和产品化版本都允许您使用 OAuth OIDC 将证书颁发连接到您的单点登录提供商。有关最终用户体验的示例，请参阅 this youtube video。真是太棒了。

我们即将在开源 CA 中删除 some new functionality，这将允许您将 login@github.com 扩展添加到 SSH 证书，这应该是您的用例所需的最后一部分。 This blog post 是一个不错的起点，如果您想在等待该问题关闭时尝试 SSH CA（现在应该很快就会发生）。如果您想要那里提供的其他功能，或者您只是不想自己运行 CA，我们还将其集成到我们的托管 SSO for SSH 产品中。

一旦所有内容发布，我会尽量记住更新。与此同时，如果您（或其他阅读本文的人）有兴趣，我很想听听您的反馈。我是smallstep域名的mike。

【讨论】：

【解决方案2】：

我们刚刚在完全托管的EZSSH product 中推出了对 GitHub 证书的支持我们使用您的 AAD 身份创建短期证书，您可以在我们的GitHub blog post 中了解更多信息。

【讨论】：

【解决方案3】：

如果您的组织运行内部安全 Web 服务器，如果您想要加密在您的组织内交换的电子邮件，或者如果您使用数字证书在 VPN 上对员工进行身份验证，那么您可以设置并充当您自己的证书颁发机构(CA) 并颁发您自己的数字证书供内部使用。

在互联网上搜索“开源证书颁发机构” 或“证书颁发机构”软件来查找相关的开箱即用解决方案。

另请参阅Certificate Authority 详细解释。

对于 GitHub 对 SSH 证书颁发机构的支持，它适用于 GitHub Enterprise Cloud 和 GitHub Enterprise Server 2.19+。

https://help.github.com/en/github/setting-up-and-managing-organizations-and-teams/managing-your-organizations-ssh-certificate-authorities

【讨论】：

感谢有关堆栈溢出的指导。澄清一下，您给出的所有建议都指向 x.509 或 SSL 证书。我的帖子是关于 SSH 证书的，网上的文档似乎很少。
@VandanParmar 谢谢，我现在添加了关于 github ssh CA 的基本信息。