Hashicorp Vault 吊销 SSH 签名证书

【问题标题】：Hashicorp Vault revoke SSH signed certificateHashicorp Vault 吊销 SSH 签名证书
【发布时间】：2021-08-17 19:34:34
【问题描述】：

如何在 Hashicorp Vault 中撤销 ttl 之前的 SSH 签名证书？

【问题讨论】：

【解决方案1】：

目前无法通过 Vault 撤销 SSH 证书。

主要问题是 SSH 证书没有 TLS 证书所具有的在线吊销系统（来自 CA 或 OCSP 的 CRL）。这意味着任何撤销都需要通过其他方式传播。

在 openssh 中，这是使用指向 key revocation list 的 RevokedKeys 选项完成的。此列表可以包含要拒绝的密钥或证书。

当您想要撤销证书时，您需要将其添加到需要拒绝它的每台主机的撤销列表中。

至少有one request 可以在保险柜中添加生成证书吊销列表，但这已被关闭。推荐的替代方案是非常短的证书生命周期（足以立即连接）。

【讨论】：