目标
一次性删除旧密钥的轮换导致错过通知的成员失去 SSH 访问。本配方先在 authorized_keys 中追加新公钥，确认成员能用新密钥登录，经过重叠窗口后再删除旧密钥，并在此期间保留带外访问作为兜底；同时提醒需确认每位成员都已测试新密钥。
步骤要点
- 追加新公钥并确认成员能用其登录。
- 经过重叠窗口后再删除旧密钥。
- 确认删除后旧密钥不再生效、新密钥仍可用。
- 全程保留带外访问路径。
ssh user@host 'echo new key login ok'
ssh-add -l排错提示
- 仍有人依赖旧密钥会导致其失去访问。
- 根账号锁定风险需带外控制台兜底。
- 需准确的密钥归属清单。
适用边界
- 不覆盖硬件令牌密钥。
- 依赖兜底访问路径。