如何在Linux系統上使用SSH金鑰啟用root使用者的SSH登入

若要啟用 root 使用者使用公鑰進行 SSH 登錄，請將公鑰新增至 root 使用者的設定檔中authorized_keys，設定`sshd_config` PermitRootLogin prohibit-password，驗證 OpenSSH 配置，然後重新載入服務。這樣，root 使用者就可以使用公鑰登錄，同時阻止密碼和鍵盤互動式身份驗證。有關選項定義，請參閱 OpenSSH 的 ` sshd_config` 手冊。

直接 root 存取權限賦予持有有效金鑰的使用者不受限制的控制權。請僅在您管理的系統上使用，最好是在私人網路或防火牆後使用。對於日常工作，請使用指定使用者身分登入並使用 root 權限sudo。在變更遠端 SSH 設定之前，請保持目前會話打開，並確保您有其他復原路徑。

在編輯 SSH 伺服器之前

• 使用可以運行的帳戶進行連接sudo，並確認 OpenSSH 伺服器正在運行。
• 準備好客戶端 SSH 金鑰對。您需要複製公鑰（通常是以 .ssh 結尾的檔案.pub）；切勿共用私鑰。

不要僅為基於金鑰的 SSH 設定 root 密碼。密碼鎖定和公鑰存取是兩種不同的控制方式，儘管發行版帳戶策略可能會影響登入。 Ubuntu的使用者管理指南解釋說，單獨鎖定密碼並不會停用現有的 SSH 金鑰存取。

啟用基於金鑰的 root SSH 登入

1. 以常規管理員身份連接

在客戶端終端機中，連線到已擁有 sudo 權限的帳戶：

ssh admin@server.example.com

請替換範例值。在接受新的主機金鑰指紋之前，請透過可信任頻道進行驗證。

2. 將您的公鑰加入 root 使用者的帳號中

在伺服器上，建立權限受限的 root 使用者 SSH 目錄，然後編輯授權金鑰清單：

sudo install -d -m 700 /root/.ssh
sudoedit /root/.ssh/authorized_keys

將完整的公鑰貼在一行中並保存。切勿貼上私鑰，並保留所有現有條目。然後限制所有權和權限：

sudo chown -R root:root /root/.ssh
sudo chmod 700 /root/.ssh
sudo chmod 600 /root/.ssh/authorized_keys

3. 設定 root 登入策略

使用編輯器開啟伺服器設定文件，例如：

sudoedit /etc/ssh/sshd_config

找到當前已啟動的PermitRootLogin指令並將其變更為：

PermitRootLogin prohibit-password

這比PermitRootLogin yes允許使用 root 密碼更安全。請勿新增重複指令：OpenSSH 會使用其取得的第一個值，且發行版可能會載入Include檔案。請編輯目前設置，並保持無關的身份驗證選項不變。

4. 應用配置前請先驗證配置。

首先檢查語法錯誤：

sudo sshd -t

沒有輸出表示語法檢查通過。請在重新載入之前修復所有報告的錯誤。使用以下命令檢查有效值：

sudo sshd -T | grep permitrootlogin

確認輸出結果是否正確permitrootlogin prohibit-password。如果不是，請檢查包含的文件和適用的Match資料塊。 sshd手冊將其定義-t為語法檢查和-T有效配置報告。

5. 重新載入 SSH 服務

使用您發行版的服務名稱。 Ubuntu 和 Debian 通常使用：

sudo systemctl reload ssh.service

Fedora、RHEL 和許多其他發行版通常使用：

sudo systemctl reload sshd.service

如果不支援重新加載，請使用systemctl restart匹配的服務名稱並保持原始會話開啟。 Ubuntu 的OpenSSH 指南也建議sshd -t在重新啟動前執行此命令。

6. 從第二個終端測試 root 存取權限

在客戶端開啟一個單獨的終端，並指定與您安裝的公鑰相符的私鑰：

ssh -i ~/.ssh/id_ed25519 root@server.example.com

替換密鑰路徑和主機名稱。驗證是否有主機金鑰提示，並確認會話以 root 使用者身分開啟。如果測試失敗，請從原始會話進行故障排除，並保持該會話開啟直至恢復存取權限。

排除 root 使用者登入被拒絕的問題

請Permission denied (publickey)確認完整的公鑰已存在，/root/.ssh/authorized_keys且用戶端正在使用與其相符的私鑰。請重新檢查所有權和權限：

sudo chown -R root:root /root/.ssh
sudo chmod 700 /root/.ssh
sudo chmod 600 /root/.ssh/authorized_keys

同時檢查生效PermitRootLogin值、AllowUsers/DenyUsers規則、伺服器日誌以及 root 使用者的登入 shell。避免將此設定更改為yes快捷方式；這可能會擴展 root 使用者允許的身份驗證方法。

當您不再需要 root SSH 登入時，請停用它。

若要關閉直接的 root 使用者 SSH 訪問，請將 active 指令變更為：

PermitRootLogin no

運行sudo sshd -t並重新載入正確的服務。這會阻止 root 使用者直接透過 SSH 登錄，同時保持管理員帳戶可用。僅使用密碼鎖定可能無法停用 root 使用者的公鑰登入。

詳情請參閱OpenSSH 設定手冊和 Ubuntu Server SSH 文件。