Régénérer les clés d'hôte SSH et le machine ID d'un hôte Linux cloné

Objectif

Donner à un hôte Linux fraîchement cloné ses propres clés d'hôte SSH et son propre machine ID uniques, et confirmer qu'aucun autre hôte du parc ne partage l'un ou l'autre.

Prérequis

Accès root sur le clone ; l'image doit avoir été préparée avant le clonage, c'est-à-dire que ses clés d'hôte ont été supprimées et que /etc/machine-id a été vidé (étape de nettoyage distincte). Cette méthodologie suppose en effet que ces fichiers sont absents ou vides, et non remplis avec les valeurs de la machine de référence.

Étapes

1. Vérifier si des clés d'hôte sont déjà présentes : ls -l /etc/ssh/ssh_host_*. Si des fichiers existent et proviennent de l'image de référence au lieu d'avoir été générés lors de ce démarrage, les supprimer d'abord (rm -f /etc/ssh/ssh_host_*).
2. Générer un nouveau jeu de clés : ssh-keygen -A. La page de manuel indique que -A génère « host keys of all default key types (rsa, ecdsa, and ed25519) if they do not already exist » (les clés d'hôte de tous les types par défaut, si elles n'existent pas déjà), avec le chemin de fichier par défaut, une phrase secrète vide et le nombre de bits par défaut pour chaque type. Cette commande ignore tout type de clé déjà présent : c'est donc la suppression préalable des anciennes clés (étape 1) qui lui permet de les régénérer réellement, alors qu'elle semble idempotente.
3. Valider la configuration, puis redémarrer le démon SSH pour qu'il charge les nouvelles clés : sshd -t && systemctl restart sshd sous RHEL/Fedora/SUSE, sshd -t && systemctl restart ssh sous Debian/Ubuntu (l'alias sshd n'y existe que tant que l'unité est activée). Les sessions établies survivent au redémarrage ; les clients qui connaissent l'ancienne clé verront une erreur de non-concordance de clé d'hôte et devront exécuter ssh-keygen -R <host>.
4. Vérifier le machine ID : cat /etc/machine-id. Sur le clone d'une image correctement vidée, systemd a généré et enregistré un nouvel identifiant au démarrage. systemd-machine-id-setup « may be used by system installer tools to initialize the machine ID » (peut être utilisé par les outils d'installation du système pour initialiser le machine ID) ; il n'agit que si le fichier est absent ou vide, et il réutilise un identifiant valide provenant de /run/machine-id ou du machine ID de D-Bus avant d'en générer un aléatoire. Sur un clone en cours d'exécution dont l'identifiant est dupliqué, écrire plutôt une nouvelle valeur : systemd-id128 new > /etc/machine-id (systemd 240+ ; sinon dbus-uuidgen > /etc/machine-id). Faire de /var/lib/dbus/machine-id un lien symbolique vers ce fichier, puis redémarrer.
5. Vérifier l'unicité sur l'ensemble du parc : collecter sha256sum /etc/ssh/ssh_host_ed25519_key.pub /etc/machine-id depuis chaque hôte (hacher le machine ID, car sa valeur brute est confidentielle), via la gestion de configuration ou une simple boucle SSH, et confirmer que deux hôtes ne renvoient jamais la même valeur, ni pour l'une ni pour l'autre.

Résultat attendu

Chaque hôte possède ses propres empreintes de clés d'hôte (les clients voient une empreinte différente à la première connexion) et un machine ID distinct de 32 caractères ; aucune valeur en double n'apparaît dans l'inventaire du parc.

Limites et base de vérification

ssh-keygen -A ne touche pas à un type de clé dont le fichier existe déjà ; il ne peut donc pas corriger un parc dont les clones partagent déjà des clés copiées, lesquelles doivent d'abord être supprimées. La page de manuel du machine ID précise qu'il « must not be exposed in untrusted environments, in particular on the network » (ne doit pas être exposé dans des environnements non fiables, notamment sur le réseau) et qu'il ne doit pas servir directement d'identifiant stable pour d'autres applications ; si un composant a besoin d'un identifiant par machine, il faut hacher le machine ID avec une clé propre à l'application plutôt que de l'exposer tel quel. La régénération des clés d'hôte ne nécessite aucun redémarrage. Un changement de machine ID, lui, en exige un : journald, D-Bus et systemd-networkd le lisent au démarrage, et networkd en dérive son DUID DHCP par défaut.