Permissão ssh negada apenas no trabalho cron

Tendo um problema muito estranho. Eu criei um pequeno script bash que executa um comando em um host remoto via ssh (usando autenticação de chave pública).

Quando executo esse script manualmente a partir da linha de comando, ele funciona bem, mas quando colocado em /etc/cron.hourly, falha com Permission denied, please try again.erro.

• Eu defini explicitamente a chave no script usando ssh -i /root/.ssh/id_rsa user@remote "command";
• o script está sendo executado como root (adicionei um echo `id` > /tmp/whoami.logpara verificar novamente); e
• a chave ssh não é protegida por senha ...

O sistema é o servidor Ubuntu 12.04, não tenho muito acesso no lado remoto para solucionar problemas, mas como eu disse, executar o ssh manualmente ou o mesmo script bash na linha de comando funciona.

Alguma idéia de por que isso está acontecendo ou como corrigi-lo?

atualizar

Acontece que eu estava enganado, e a chave ssh estava protegida por senha (com as chaves carregando o ssh-agent), por isso, falhou em um script, mas não ao executar a partir da sessão do bash. A adição . ~/.keychain/$HOSTNAME-shao meu script resolveu o problema (graças a @grawity, que me indicou a direção certa e forneceu uma resposta abrangente).

Comandos interativos e tarefas cron executadas em ambientes diferentes - em particular, uma sessão interativa pode ter um agente SSH em execução ou um Kerberos TGT armazenado. Devido à maneira como os sshmétodos de autenticação são solicitados, você não pode ter certeza de que sua chave é usada apenas porque você adicionou a -iopção.

• Se um agente SSH estiver em execução, o sshcliente sempre tenta as chaves do agente antes de usar qualquer chave especificada explicitamente.

• Se a rede usa Kerberos e um Kerberos TGT estiver presente, o OpenSSH o usará antes de tentar a autenticação de chave pública.

Não sei nada sobre o seu ambiente, mas é fácil verificar essas duas possibilidades:

1. Adicione unset SSH_AUTH_SOCKe unset KRB5CCNAMEantes do sshcomando e, em seguida , execute manualmente o script modificado.

   Isso impedirá que o script veja o agente ou os tíquetes Kerberos e usará apenas a chave especificada explicitamente.

2. Adicione a -vopção a ssh. Isso exibirá mais detalhes sobre como a autenticação acontece.

Você também pode adicionar -oIdentitiesOnly=yesao sshcomando; isso forçará o uso da chave especificada .

E se você adicionar dicas sobre como acessar o agente a partir do cron - melhor ainda

Geralmente, isso não é recomendado, pois o agente geralmente está intimamente ligado à sua sessão de logon interativo. Em particular, ele é iniciado apenas quando você faz login e mata quando você faz logoff - e ele precisa de sua senha para desbloquear as chaves SSH (supondo que elas estejam protegidas por senha).

Você mencionou "Keychain" - este é o programa OS X ou o script Linux? (Não sei muito sobre a arquitetura do Mac OS X, mas o AFAIK torna muito mais difícil acessar o agente ssh do usuário a partir de um cronjob ...)

Outra solução alternativa para esse problema é definir cron como ssh na caixa local para, por sua vez, executar o comando ssh em vez de executar o arquivo ou comando por seu caminho absoluto local. Isso armazena em cache o KRB5CCNAME e funciona onde / path / command não.

# Fails:
0 * * * * /home/user/sshscript.sh

# Works:
0 * * * * /usr/bin/ssh user@localhost /home/user/sshscript.sh

#!/bin/bash
# Works:
unset SSH_AUTH_SOCK
unset KRB5CCNAME
/usr/bin/ssh user@localhost /home/user/sshscript.sh

Você pode usar o ssh-cron para configurar conexões SSH agendadas para proteger servidores sem expor suas chaves SSH, mas usando o agente SSH.

você pode executar seu script ou comando no crontab como:

0 * * * * bash -c -l "/home/user/sshscript.sh"

ou

0 * * * * bash -c -l "ssh root @ yourhost 'echo $ HOSTNAME'"