一、背景介绍
在日常的运维工作中，SFTP（安全文件传输协议）服务是我们经常会用到的。它能让我们安全地在不同的服务器之间传输文件。而密钥认证是 SFTP 服务里很常用的一种认证方式，就好比你家门的钥匙，只有拿着正确的钥匙才能打开门进入。不过，密钥是有有效期的，一旦过期，就没办法正常使用 SFTP 服务了，这会给我们的工作带来很大的麻烦。所以，我们需要一个方案来定期检查密钥的有效期，并且及时通知用户更换密钥。
二、应用场景
企业文件传输
在企业里，不同部门之间经常需要传输一些重要的文件，比如财务报表、项目文档等。这些文件通常会通过 SFTP 服务来传输，以保证文件的安全性。如果密钥过期了，文件就无法正常传输，会影响工作的进度。例如，研发部门要把新的代码文件传输给测试部门进行测试，如果密钥过期，测试工作就无法开展。
数据备份
很多企业会定期对数据进行备份，备份数据会通过 SFTP 服务传输到远程的存储服务器上。要是密钥过期，备份工作就会失败，可能会导致数据丢失的风险。比如一家电商企业，每天晚上会把当天的订单数据备份到远程服务器，如果密钥过期，备份失败，第二天就没办法准确统计前一天的订单情况。
三、技术方案设计
1. 确定检查周期
我们可以根据实际情况来确定检查密钥有效期的周期。如果企业对 SFTP 服务的使用比较频繁，建议设置为每天检查一次；如果使用频率相对较低，也可以设置为每周或者每月检查一次。
2. 编写配置脚本
这里我们使用 Shell 脚本作为示例（技术栈：Shell）：
#!/bin/bash
# 定义密钥文件目录
KEY_DIR="/home/user/.ssh"
# 定义过期时间阈值（单位：天）
EXPIRY_THRESHOLD=30
# 遍历密钥文件目录
for key_file in $KEY_DIR/*.pub; do
# 获取密钥文件的创建时间
creation_time=$(stat -c %Y $key_file)
# 获取当前时间
current_time=$(date +%s)
# 计算密钥文件的使用天数
days_used=$(( (current_time - creation_time) / 86400 ))
# 判断是否接近过期
if [ $days_used -ge $((EXPIRY_THRESHOLD - 7)) ]; then
# 获取密钥文件名
key_name=$(basename $key_file)
# 通知用户
echo "密钥 $key_name 即将过期，请及时更换！" | mail -s "SFTP 密钥过期提醒" user@example.com
fi
done
脚本解释：
#!/bin/bash：这是脚本的解释器声明，表示使用 Bash 来执行这个脚本。KEY_DIR：定义了密钥文件所在的目录。EXPIRY_THRESHOLD：定义了密钥的过期时间阈值，这里设置为 30 天。for循环：遍历密钥文件目录下的所有.pub公钥文件。stat -c %Y $key_file：获取密钥文件的创建时间。date +%s：获取当前时间。days_used：计算密钥文件已经使用的天数。if语句：判断密钥是否接近过期（这里设置为提前 7 天提醒）。mail命令：发送邮件通知用户密钥即将过期。
3. 设置定时任务
我们可以使用 Linux 系统的 cron 工具来设置定时任务，让脚本定期执行。例如，我们要让脚本每天凌晨 2 点执行，可以这样设置：
# 编辑定时任务配置文件
crontab -e
# 在文件中添加以下内容
0 2 * * * /path/to/your/script.sh
解释：
0 2 * * *：表示每天凌晨 2 点执行。/path/to/your/script.sh：是你编写的脚本的实际路径。
四、技术优缺点分析
优点
- 自动化：通过配置脚本和定时任务，实现了密钥有效期的自动检查和通知，减少了人工干预，提高了工作效率。
- 提前预警：可以提前通知用户密钥即将过期，让用户有足够的时间来更换密钥，避免因密钥过期而影响工作。
- 灵活性：可以根据实际情况调整检查周期和过期提醒的时间阈值，满足不同企业的需求。
缺点
- 依赖系统环境：脚本的执行依赖于 Linux 系统的
cron工具和mail命令，如果系统环境发生变化，可能会导致脚本无法正常执行。 - 邮件通知的局限性：邮件通知可能会被用户误判为垃圾邮件，或者由于网络问题导致邮件无法及时送达。
五、注意事项
1. 脚本权限
确保脚本具有可执行权限，否则 cron 任务无法正常执行。可以使用以下命令给脚本添加执行权限：
chmod +x /path/to/your/script.sh
2. 邮件配置
要确保系统的邮件服务配置正确，否则无法正常发送通知邮件。可以通过以下命令测试邮件发送功能：
echo "Test email" | mail -s "Test" user@example.com
3. 密钥管理
在更换密钥时，要确保新密钥的安全性，避免密钥泄露。同时，要及时更新 SFTP 服务端和客户端的密钥配置。
六、文章总结
通过配置脚本定期检查 SFTP 服务密钥的有效期，并及时通知用户更换密钥，我们可以有效地避免因密钥过期而导致的 SFTP 服务无法正常使用的问题。这种自动化的运维方案可以提高工作效率，减少人工错误。不过，在实施过程中，我们要注意脚本的权限、邮件配置和密钥管理等问题，确保方案的稳定性和安全性。
评论