Workbench临时SSH密钥对免密登录原理说明_云服务器 ECS(ECS)-阿里云帮助中心

通过使用阿里云Workbench的临时SSH密钥对，可安全地免密登录实例，无需管理和暴露长期性的密码或密钥，有效规避凭证泄露和暴力破解的风险。

为什么使用临时密钥对免密登录

传统的静态凭证（如密码和长期使用的SSH密钥对）存在安全风险。由于其长期有效性，一旦凭证被破解或泄露，攻击者即可获得服务器的持久性访问权限。同时，凭证的分发、轮转与回收流程复杂且易于出错。Workbench通过临时密钥对来解决以上问题：

核心优势	说明
减少凭证泄露风险	用户全程无需接触任何永久性密码或密钥，减少人为原因导致的凭证泄露的风险。
防御暴力破解	登录凭证为一次性生成，且仅在 60 秒内有效，极大地降低了ECS实例被暴力破解的风险。
集中权限管控	通过RAM权限策略实现对实例登录者的精细化管控。

临时密钥对登录并非无需认证，而是将静态凭证认证方式，升级为一种由阿里云平台统一授权的、更加安全的中心化身份认证机制。其原理如图所示：

在控制台发起免密登录。
验证RAM权限：Workbench会验证当前RAM用户是否具备登录目标实例的权限。
生成临时SSH密钥对： 验证通过后，Workbench 会动态生成一对一次性的SSH密钥对（公钥和私钥），有效期为60秒。私钥会暂存在阿里云的Workbench服务端。
下发公钥至实例：通过安装在ECS实例上的云助手Agent，Workbench将临时公钥添加至实例。
完成SSH认证并建立连接： Workbench使用保存在服务端的临时私钥，与实例上SSH服务共同完成公钥认证流程，并建立连接。
自动销毁密钥对： 60秒的有效期过后，无论登录是否成功，该临时密钥对都会被立即自动销毁。公钥会从ECS实例中移除，私钥也会从Workbench中销毁，确保其“一次一密”，无法被重复使用。