Regenerar as chaves de host SSH e o machine ID em um host Linux clonado

Objetivo

Dar a um host Linux recém-clonado chaves de host SSH e um machine ID próprios e únicos, e confirmar que nenhum outro host da frota compartilha qualquer um dos dois.

Pré-requisitos

Acesso root no clone. A imagem já deve ter tido as chaves de host removidas e o /etc/machine-id esvaziado antes da clonagem (uma etapa de limpeza separada), pois esta metodologia parte do princípio de que esses arquivos estão ausentes ou vazios, e não preenchidos com os valores da máquina de referência.

Passos

1. Verifique se já existem chaves de host: ls -l /etc/ssh/ssh_host_*. Se os arquivos existirem e tiverem sido herdados da imagem de referência, em vez de gerados neste boot, remova-os primeiro (rm -f /etc/ssh/ssh_host_*).
2. Gere um conjunto novo: ssh-keygen -A. A página de manual descreve a opção -A como a geração de "host keys of all default key types (rsa, ecdsa, and ed25519) if they do not already exist", com o caminho de arquivo padrão, senha vazia e o número de bits padrão de cada tipo. Ela ignora qualquer tipo de chave que já exista; por isso, remover as chaves antigas antes (passo 1) é o que faz esse comando, de aparência idempotente, realmente regenerá-las.
3. Valide e depois reinicie o daemon SSH para que ele carregue as novas chaves: sshd -t && systemctl restart sshd no RHEL/Fedora/SUSE, sshd -t && systemctl restart ssh no Debian/Ubuntu (lá, o alias sshd só existe enquanto a unit estiver habilitada). As sessões já estabelecidas sobrevivem à reinicialização; os clientes que conhecem a chave antiga verão um erro de divergência da chave do host e precisarão executar ssh-keygen -R <host>.
4. Verifique o machine ID: cat /etc/machine-id. Em um clone de uma imagem corretamente esvaziada, o systemd gerou e salvou um novo ID no boot. O systemd-machine-id-setup "may be used by system installer tools to initialize the machine ID"; ele só age se o arquivo estiver ausente ou vazio e, antes de gerar um valor aleatório, reaproveita um ID válido de /run/machine-id ou o machine ID do D-Bus. Em um clone em execução com ID duplicado, grave um valor novo: systemd-id128 new > /etc/machine-id (systemd 240+; caso contrário, dbus-uuidgen > /etc/machine-id). Faça de /var/lib/dbus/machine-id um link simbólico para ele e reinicie.
5. Verifique a unicidade em toda a frota: colete sha256sum /etc/ssh/ssh_host_ed25519_key.pub /etc/machine-id de cada host (calcule o hash do machine ID, pois o valor bruto é confidencial), seja por gerenciamento de configuração, seja por um simples loop de SSH, e confirme que nenhum par de hosts retorna o mesmo valor para qualquer um dos dois.

Resultado esperado

Cada host tem as próprias impressões digitais de chave de host (visíveis para os clientes como uma impressão digital diferente no primeiro acesso) e um machine ID próprio, de 32 caracteres; nenhum valor duplicado aparece no inventário da frota.

Limites e base de verificação

O ssh-keygen -A não faz nada com um tipo de chave cujo arquivo já exista, portanto não corrige uma frota em que os clones já compartilham chaves copiadas; essas chaves precisam ser apagadas antes. A página de manual do machine ID afirma que ele "must not be exposed in untrusted environments, in particular on the network" e que não deve ser usado diretamente como identificador estável por outras aplicações. Se algo precisar de um identificador por máquina, calcule o hash do machine ID com uma chave específica da aplicação, em vez de expô-lo como está. A regeneração das chaves de host não exige reinicialização do sistema. Já a mudança do machine ID exige: o journald, o D-Bus e o systemd-networkd o leem na inicialização, e o networkd deriva dele o DUID padrão de DHCP.