Regenerar las claves de host SSH y el machine ID en un host Linux clonado

Objetivo

Dar a un host Linux recién clonado sus propias claves de host SSH y su propio machine ID únicos, y confirmar que ningún otro host de la flota comparte ninguno de los dos.

Requisitos previos

Acceso root en el clon. Antes de clonar, la imagen ya debería haber pasado por una limpieza (paso aparte) que elimine las claves de host y vacíe /etc/machine-id, ya que esta metodología parte de que esos archivos no existen o están vacíos, y no contienen los valores de la máquina de referencia.

Pasos

1. Comprueba si ya hay claves de host: ls -l /etc/ssh/ssh_host_*. Si existen archivos que provienen de la imagen de referencia y no se generaron en este arranque, elimínalos primero (rm -f /etc/ssh/ssh_host_*).
2. Genera un conjunto nuevo: ssh-keygen -A. La página del manual describe -A como la generación de "host keys of all default key types (rsa, ecdsa, and ed25519) if they do not already exist" (claves de host de todos los tipos predeterminados si aún no existen), con la ruta de archivo por defecto, una frase de contraseña vacía y los bits por defecto de cada tipo. Omite cualquier tipo de clave que ya esté presente, así que eliminar antes las claves obsoletas (paso 1) es lo que hace que este comando, de apariencia idempotente, realmente las regenere.
3. Valida y reinicia el demonio SSH para que cargue las claves nuevas: sshd -t && systemctl restart sshd en RHEL/Fedora/SUSE, sshd -t && systemctl restart ssh en Debian/Ubuntu (allí el alias sshd solo existe mientras la unidad está habilitada). Las sesiones establecidas sobreviven al reinicio; los clientes que conocen la clave anterior verán una discrepancia de clave de host y necesitarán ssh-keygen -R <host>.
4. Comprueba el machine ID: cat /etc/machine-id. En un clon de una imagen correctamente vaciada, systemd generó y guardó un ID nuevo durante el arranque. systemd-machine-id-setup "may be used by system installer tools to initialize the machine ID" (puede ser usado por las herramientas de instalación del sistema para inicializar el machine ID); solo actúa si el archivo no existe o está vacío, y reutiliza un ID válido de /run/machine-id o el machine ID de D-Bus antes de generar uno aleatorio. En un clon en ejecución con un ID duplicado, escribe en su lugar un valor nuevo: systemd-id128 new > /etc/machine-id (systemd 240 o posterior; si no, dbus-uuidgen > /etc/machine-id). Haz que /var/lib/dbus/machine-id sea un enlace simbólico a ese archivo y reinicia.
5. Verifica la unicidad en toda la flota: recopila sha256sum /etc/ssh/ssh_host_ed25519_key.pub /etc/machine-id de cada host (calcula el hash del machine ID, porque el valor en bruto es confidencial), ya sea mediante gestión de configuración o un simple bucle SSH, y confirma que ningún par de hosts devuelve el mismo valor en ninguno de los dos.

Resultado esperado

Cada host tiene sus propias huellas de clave de host (los clientes lo ven como una huella distinta en el aviso de la primera conexión) y un machine ID distinto de 32 caracteres; no aparecen valores duplicados en el inventario de la flota.

Límites y base de verificación

ssh-keygen -A no hace nada con un tipo de clave que ya tiene un archivo, por lo que no puede arreglar una flota en la que los clones ya comparten claves copiadas: esas claves hay que eliminarlas primero. La página del manual del machine ID indica que "must not be exposed in untrusted environments, in particular on the network" (no debe exponerse en entornos no confiables, en particular en la red) y que no debe usarse directamente como identificador estable para otras aplicaciones; si algo necesita un identificador por máquina, calcula el hash del machine ID con una clave específica de la aplicación en lugar de exponerlo tal cual. La regeneración de claves de host no requiere reinicio. Un cambio de machine ID sí lo requiere: journald, D-Bus y systemd-networkd lo leen al arrancar, y networkd deriva de él su DUID de DHCP por defecto.