OpenSSH agent forwarding跳板机转发密钥时怎样限制信任范围怎样完成一个可复用的最小示例

限制 OpenSSH agent forwarding 的信任范围，需要同时限制转发入口、agent 中的身份、密钥可用的目的路径和有效期。只把 ForwardAgent 写到一台跳板机的 Host 块中，无法阻止该机上能访问转发套接字的主体请求签名。若只是经跳板机连接目标，优先考虑 ProxyJump，让目标认证留在本地。

官方配置文档：https://man.openbsd.org/ssh_config；受限密钥参数：https://man.openbsd.org/ssh-add。本文给出受控运维场景的示例，不执行实际 SSH 登录或修改任何主机。

1. 先决定是否真的需要转发 agent

agent forwarding 不把私钥文件复制到跳板机：私钥由本地 agent 持有，本地 ssh 为远端暴露转发通道；跳板机套接字让远端 ssh 能请求本地签名，目标 sshd 根据公钥认证。文件留在本地与签名能力没有暴露，是两个不同判断。

工作流先明确触发点：是否必须在跳板机内运行一个需要 SSH 认证的程序？若不必，使用本地 ssh 的 ProxyJump 即可。若必须在远端执行 Git 或其他 SSH 客户端，才考虑短时间、专用身份的 agent 转发。

IdentitiesOnly 影响客户端认证时选择的身份，不能当作“只向远端转发一把钥匙”的隔离开关。共享 agent 中还有无限制身份时，只给其中一把加限制也不能代表整个 agent 都受同样保护。

2. 把授权限制到一条明确的主机路径

下面使用 bastion.example.net 与 app.example.net 占位，必须替换为自己管理的主机。先通过可信渠道核对主机公钥，并登记到本地用于约束解析的 known_hosts；远端客户端也需要正确的目标主机公钥。不能用关闭主机校验代替准备工作。

# 具体主机条目放前面，通用默认值放后面
Host bastion-demo
    HostName bastion.example.net
    User ops
    ForwardAgent yes

Host *
    ForwardAgent no
    StrictHostKeyChecking yes

OpenSSH 多数配置采用首先获得的值，所以具体 Host 放在 Host * 前面。示例显式限制为一台跳板机，其他连接默认不转发。将配置合入已有文件时，应结合原有 Include 和 Match 规则理解最终选择。

专用身份、路径约束与有效期共同定义使用策略；known_hosts 中的主机公钥为目的端认证提供基础。-h 通过主机公钥识别主机，不只是匹配一段任意域名文字。

# 前提：使用任务专用且不含其他身份的 agent，主机公钥已可信登记
# 两个约束共同允许本地到跳板机、跳板机到目标 deploy 用户
ssh-add -t 10m \
  -h bastion.example.net \
  -h 'bastion.example.net>deploy@app.example.net' \
  ~/.ssh/id_ed25519_deploy

# 进入指定跳板机；不要在其他主机上开启全局转发
ssh bastion-demo

# 以下命令在跳板机内执行，目标公钥必须已正确登记
ssh -o ForwardAgent=no deploy@app.example.net hostname

# 退出目标与跳板机会话后，在本地仅撤销本次身份
ssh-add -d ~/.ssh/id_ed25519_deploy.pub

目的约束从 OpenSSH 8.9 引入；使用转发通道时，还要求相关远端 SSH 客户端和服务端支持相应协议。第一条约束允许从本地源端到跳板机，第二条允许经该跳板机到目标 deploy 用户，两跳都必须符合约束。不要只加后一段就以为完整路径已获准。

示例假设已有任务专用 agent，且没有同一密钥的无限制副本或证书身份混在里面；如果当前环境不满足，应先准备隔离身份环境。不要为“清理环境”执行删除整个日常 agent 身份的动作，影响其他会话。

3. 为任务结束和失败准备撤销动作

一次运维任务结束后，应退出远端会话，并在本地撤销本次身份；十分钟有效期是遗漏清理时的时间限制，不是所有已认证会话的自动退出期限。若密钥对应的公钥证书也装入 agent，应按实际身份分别清理。

失败时先区分三类原因：找不到 agent 套接字、受限路径或协议不满足、目标用户没有授权该公钥。保留错误信息与目标指纹；不要为了让流程继续而临时放开所有转发或取消主机公钥校验。

需要交互确认的人工任务还可评估 ssh-add -c，但确认依赖 ssh-askpass 等可用交互机制，不适合无人值守流水线直接照抄。自动化更适合专用短期凭据、明确授权目标与可撤销作业环境。

目的约束也不是把不可信跳板机变为可信：能访问远端套接字的主体仍可能尝试使用它，在协议允许的范围内请求对获准目标的认证。不要将其描述成远端 root 无法利用的绝对隔离。敏感任务应缩小远端账户权限，并避免在不可信主机暴露 agent。

ProxyJump 需要 ForwardAgent yes 吗？

通常不需要。它让本地客户端经跳板通道连接目标，目标认证仍由本地客户端处理。

密钥过期后目标会话会断开吗？

不会自动撤销已经建立的 SSH 会话。有效期限制的是后续 agent 身份使用。

为什么配置了 -h 却认证失败？

核对每一跳约束、主机公钥登记、目标用户名与链路各端的协议支持，不能仅检查域名拼写。