Arrêter le client ssh d'offrir toutes les clés publiques qu'il peut trouver?

Comme la plupart des administrateurs système, j'utilise openssh tout le temps. J'ai environ une douzaine de clés ssh, j'aime avoir une clé ssh différente pour chaque hôte. Cependant, cela pose problème lorsque je me connecte à un hôte pour la première fois et que je n'ai qu'un mot de passe. Je veux juste me connecter à l'hôte en utilisant un mot de passe, pas de clé ssh dans ce cas. Cependant, le client ssh offrira toutes les clés publiques de mon ~/.ssh/(je le sais en regardant la sortie de ssh -v). Étant donné que j'en ai tellement, je serai déconnecté pour trop d'échecs d'authentification.

Existe-t-il un moyen de dire à mon client ssh de ne pas offrir toutes les clés ssh?

Il s'agit d'un comportement attendu selon la page de manuel de ssh_config:

 IdentityFile
         Specifies a file from which the user's DSA, ECDSA or DSA authentica‐
         tion identity is read.  The default is ~/.ssh/identity for protocol
         version 1, and ~/.ssh/id_dsa, ~/.ssh/id_ecdsa and ~/.ssh/id_rsa for
         protocol version 2.  Additionally, any identities represented by the
         authentication agent will be used for authentication.  

         [...]

         It is possible to have multiple identity files specified in configu‐
         ration files; all these identities will be tried in sequence.  Mul‐
         tiple IdentityFile directives will add to the list of identities
         tried (this behaviour differs from that of other configuration
         directives).

Fondamentalement, la spécification de IdentityFiles ajoute simplement des clés à une liste actuelle de l'agent SSH déjà présenté au client.

Essayez de remplacer ce comportement avec ceci au bas de votre .ssh/configfichier:

Host *
  IdentitiesOnly yes

Vous pouvez également remplacer ce paramètre au niveau de l'hôte, par exemple:

Host foo
  User bar
  IdentityFile /path/to/key
  IdentitiesOnly yes

Bien que d'autres aient fait allusion à cela avec des solutions basées sur la configuration, il convient probablement de souligner que vous pouvez facilement le faire une seule fois sur la ligne de commande avec:

ssh -o 'PubkeyAuthentication no' myhostname.mydomain

Suite à la solution de James Sneeringer, vous voudrez peut-être simplement définir un ssh_config dans le sens de:

Host *.mycompany.com
  IdentityFile .ssh/id_dsa_mycompany_main

Host *.mycustomer.com
  IdentityFile .ssh/id_dsa_mycustomer

Host *
  RSAAuthentication no #this should be up top, avoid ssh1 at all costs
  PubkeyAuthentication no

Si vous vous connectez avec une clé particulière à de nombreuses machines n'appartenant pas à un domaine commun, pensez à leur attribuer tous les CNAME de votre propre DNS. Je le fais avec tous les systèmes clients.

Semblable à la solution de user23413, vous pouvez désactiver complètement l'authentification par clé publique pour un hôte particulier (ou modèle générique):

Host *.example.org
RSAAuthentication no        # SSHv1
PubkeyAuthentication no     # SSHv2

Si vous pointez sur un fichier de clé particulier avec ssh -i / chemin / vers / clé, il ne l'utilisera que si d'autres sont chargés dans l'agent, et vous ne serez pas invité à entrer le mot de passe. Vous pouvez également modifier votre ~ / .ssh / config et publier quelque chose comme ça ...

Hôte foo.example.com
IdentityFile .ssh / id_rsa_foo.example.com

vous pouvez aussi faire ...

Hôte * .example.org
IdentityFile .ssh / id_rsa_example.org