nsheridan/cashier

Cashier

镜像概述和主要用途

Cashier是一个SSH证书颁发机构（CA），用于管理OpenSSH证书认证。OpenSSH支持使用SSH证书进行身份验证，证书包含公钥、身份信息并由标准SSH密钥签名。与普通SSH密钥相比，证书可包含更多信息（允许使用的用户、有效期、权限等），且无需分发到每台机器（仅需服务器信任签名密钥），支持吊销，适用于集中化管理SSH访问的场景。

核心功能和特性

• 证书管理：支持SSH证书的签名、颁发与吊销，记录证书信息用于审计。
• 身份验证集成：通过OAuth providers（Google、GitHub、GitLab等）验证用户身份。
• 灵活的配置存储：支持多种文件路径类型（本地文件、AWS S3、Google GCS、Vault）存储关键配置（如签名密钥、TLS证书）。
• 权限与有效期控制：可指定证书允许的操作（如permit-pty）、最大有效期，确保访问权限可控。
• 跨平台支持：兼容macOS和Linux，客户端需OpenSSH 5.6+及运行中的SSH agent。

使用场景和适用范围

• 企业服务器集群：集中管理多台服务器的SSH访问，避免密钥分发到每台机器。
• 生产环境访问控制：通过证书有效期和权限限制，控制临时或长期访问权限。
• 主机密钥认证：为机器颁发签名主机证书，客户端无需手动确认"yes"即可验证主机身份。
• 审计与合规：记录所有颁发的证书，支持吊销功能，满足安全审计需求。

详细配置说明

基础要求

• 服务端：Go 1.10+
• 客户端：Go 1.10+、OpenSSH 5.6+、运行中的SSH agent（GPG agent不支持证书）

配置项说明

配置分为server、auth、ssh、aws、vault等部分，支持HCL格式。

文件路径说明

以下配置项的文件路径支持多种类型（除http_logfile仅支持本地文件）：

• 本地路径（绝对/相对）：如/data/ssh_signing_key、tls/server.key
• AWS S3路径：以/s3/开头，如/s3/my-bucket/ssh_signing_key（需配置aws）
• Google GCS路径：以/gcs/开头，如/gcs/my-bucket/ssh_signing_key
• Vault路径：以/vault/开头，如/vault/secret/cashier/ssh_signing_key（需配置vault）

server配置

控制服务端基础行为，包括TLS、数据库、监听地址等。

database配置示例（支持mysql、sqlite、mem类型）：

hcl
server {
  database {
    type = "mysql"
    address = "my-db-host.corp"
    username = "user"
    password = "passwd"  # 可存储于Vault：/vault/secret/cashier/mysql_password
    dbname = "cashier_production"
  }

  database {
    type = "sqlite"
    filename = "/data/cashier.db"  # 本地SQLite文件路径
  }
}

auth配置

配置用户身份验证（OAuth）。

provider_opts示例：

hcl
auth {
  provider = "google"
  provider_opts {
    domain = "example.com"  # 仅允许example.com域用户
  }
}

auth {
  provider = "github"
  provider_opts {
    organization = "my-org"  # 仅允许my-org组织成员
  }
}

ssh配置

控制SSH证书的签名规则。

aws配置（可选）

用于访问存储在AWS S3的文件（如签名密钥），支持通过IAM角色或环境变量配置。

vault配置（可选）

用于访问Vault中的密钥（如签名密钥、OAuth密钥）。

使用方法

服务端部署（Docker）

bash
# 运行Cashier容器，映射端口10000，挂载当前目录作为配置目录
docker run -it --rm -p 10000:10000 --name cashier -v ${PWD}:/cashier nsheridan/cashier

客户端使用

1. 配置客户端：创建~/.cashier.conf（HCL格式）或使用命令行参数：

   hcl
   ca = "https://sshca.example.com"  # CA服务器地址
   key_type = "ed25519"             # 密钥类型（rsa/ecdsa/ed25519）
   validity = "24h"                 # 证书有效期
   

2. 获取证书：

   bash
   cashier --config ~/.cashier.conf  # 启动客户端，自动打开浏览器进行OAuth认证
   

   • 浏览器中完成认证后，复制CA返回的token并粘贴到客户端终端。
   • 客户端生成密钥对，将公钥发送至CA签名，获取证书后加载到SSH agent。

服务器配置（sshd_config）

1. 信任CA公钥：将CA签名公钥（ssh_ca.pub）添加到sshd_config：

   conf
   TrustedUserCAKeys /etc/ssh/ca.pub  # 信任CA签名公钥
   

2. 启用证书吊销（可选）：

   conf
   RevokedKeys /etc/ssh/revoked_keys  # 证书吊销列表路径
   

   • 通过定时任务更新吊销列表：

     bash
     */10 * * * * curl -s -o /etc/ssh/revoked_keys https://sshca.example.com/revoked
     

证书吊销

• 在CA管理界面（https://<ca url>/admin/certs）查看已颁发证书，选择需吊销的证书并执行吊销。
• 吊销后，证书将被添加到吊销列表，服务器通过RevokedKeys配置拒绝该证书访问。

未来工作

• 支持主机证书（当前仅支持用户证书）。

贡献

欢迎提交PR，依赖项通过govendor管理。详情参考https://github.com/nsheridan/cashier%E3%80%82