[转]Linux:如何使得执行scp命令时不需要输入用户密码

转自：http://blog.tianya.cn/blogger/post_read.asp?BlogID=3668847&PostID=32922633
由于很多部门需要从公司服务器后台的数据库中去拉报表，
　　
　　　　且因为每个部门对数据库表的需求、字段的需求不一样，
　　
　　　　例如：
　　
　　　　客服可能需要用户表、仓库产品表。
　　
　　　　而产品部门却需要产品列表等。
　　
　　　　这样会导致数据库反复的去检索查询数据库中的数据，并且在前段用户同时访问的情况下，这样就无形的导致
　　
　　　　数据库系统以及操作系统的压力过大。
　　
　　　　为解决这个问题，所以准备将数据库整个目录定时备份到另一台机器上，然后使得需要拉报表的人员从这台backup的机器上去拉报表。
　　
　　　　========================================================================================================
　　
　　　　问题出现：
　　
　　　　但是这时候写脚本，问题就出现，因为我要从这个“执行脚本”的机器上面备份到另一台“接收数据”的机器上去。
　　
　　　　这时候就想到了SCP命令。
　　
　　　　但是我们知道在使用SCP命令的时候，其中因为安全机制的问题会跳出输入密码的部分，而且如果两台机器如果是第一次互相通信，
　　
　　　　那么还会出现如下的需要确认的信息：
　　
　　　　[root@test2 idaphne]# scp -rv 1.txt roo@192.168.2.70:/root/scripts/
　　
　　　　Executing: program /usr/bin/ssh host 192.168.2.70, user roo, command scp -v -r -t /root/scripts/
　　
　　　　OpenSSH_4.3p2, OpenSSL 0.9.8e-fips-rhel5 01 Jul 2008
　　
　　　　debug1: Reading configuration data /etc/ssh/ssh_config
　　
　　　　debug1: Applying options for *
　　
　　　　debug1: Connecting to 192.168.2.70 [192.168.2.70] port 22.
　　
　　　　debug1: Connection established.
　　
　　　　debug1: permanently_set_uid: 0/0
　　
　　　　debug1: identity file /root/.ssh/identity type -1
　　
　　　　debug1: identity file /root/.ssh/id_rsa type -1
　　
　　　　debug1: identity file /root/.ssh/id_dsa type -1
　　
　　　　debug1: loaded 3 keys
　　
　　　　debug1: Remote protocol version 2.0, remote software version OpenSSH_4.3
　　
　　　　debug1: match: OpenSSH_4.3 pat OpenSSH*
　　
　　　　debug1: Enabling compatibility mode for protocol 2.0
　　
　　　　debug1: Local version string SSH-2.0-OpenSSH_4.3
　　
　　　　debug1: SSH2_MSG_KEXINIT sent
　　
　　　　debug1: SSH2_MSG_KEXINIT received
　　
　　　　debug1: kex: server->client aes128-cbc hmac-md5 none
　　
　　　　debug1: kex: client->server aes128-cbc hmac-md5 none
　　
　　　　debug1: SSH2_MSG_KEX_DH_GEX_REQUEST(1024<1024<8192) sent
　　
　　　　debug1: expecting SSH2_MSG_KEX_DH_GEX_GROUP
　　
　　　　debug1: SSH2_MSG_KEX_DH_GEX_INIT sent
　　
　　　　debug1: expecting SSH2_MSG_KEX_DH_GEX_REPLY
　　
　　　　The authenticity of host '192.168.2.70 (192.168.2.70)' can't be established.
　　
　　　　RSA key fingerprint is 3d:33:ce:58:2c:27:6a:bb:93:19:14:f7:7b:bc:42:8a.
　　
　　　　Are you sure you want to continue connecting (yes/no)?
　　
　　　　上面最后一行，就已经提示输入yes或是no了。这是两台机器建立临时信任机制的过程。
　　
　　　　通过信息我们可以想到，scp命令使用是SSH服务的22端口进行通信。所以这一步输入“yes”
　　
　　　　Are you sure you want to continue connecting (yes/no)? yes
　　
　　　　Warning: Permanently added '192.168.2.70' (RSA) to the list of known hosts.
　　
　　　　debug1: ssh_rsa_verify: signature correct
　　
　　　　debug1: SSH2_MSG_NEWKEYS sent
　　
　　　　debug1: expecting SSH2_MSG_NEWKEYS
　　
　　　　debug1: SSH2_MSG_NEWKEYS received
　　
　　　　debug1: SSH2_MSG_SERVICE_REQUEST sent
　　
　　　　debug1: SSH2_MSG_SERVICE_ACCEPT received
　　
　　　　debug1: Authentications that can continue: publickey,gssapi-with-mic,password
　　
　　　　debug1: Next authentication method: gssapi-with-mic
　　
　　　　debug1: Unspecified GSS failure. Minor code may provide more information
　　
　　　　No credentials cache found
　　
　　　　debug1: Unspecified GSS failure. Minor code may provide more information
　　
　　　　No credentials cache found
　　
　　　　debug1: Unspecified GSS failure. Minor code may provide more information
　　
　　　　No credentials cache found
　　
　　　　debug1: Next authentication method: publickey
　　
　　　　debug1: Trying private key: /root/.ssh/identity
　　
　　　　debug1: Trying private key: /root/.ssh/id_rsa
　　
　　　　debug1: Trying private key: /root/.ssh/id_dsa
　　
　　　　debug1: Next authentication method: password
　　
　　　　roo@192.168.2.70's password:
　　
　　　　这时候，想如果使用没有密码的用户，是否就不会跳出输入密码的部分了呢？
　　
　　　　尝试操作：
　　
　　　　1、去掉接收文件机器上的密码：
　　
　　　　[root@test1 ~]# passwd -d root
　　
　　　　Removing password for user root.
　　
　　　　passwd: Success
　　
　　　　[root@test1 ~]#
　　
　　　　2、尝试登录：
　　
　　　　login as: root
　　
　　　　root@192.168.2.70's password:
　　
　　　　Access denied
　　
　　　　3、执行脚本试一试：
　　
　　　　[root@test2 idaphne]# scp -rv 1.txt roo@192.168.2.70:/root/scripts/
　　
　　　　Executing: program /usr/bin/ssh host 192.168.2.70, user roo, command scp -v -r -t /root/scripts/
　　
　　　　OpenSSH_4.3p2, OpenSSL 0.9.8e-fips-rhel5 01 Jul 2008
　　
　　　　（中间信息略）
　　
　　　　roo@192.168.2.70's password:
　　
　　　　debug1: Authentications that can continue: publickey,gssapi-with-mic,password
　　
　　　　Permission denied, please try again.
　　
　　　　roo@192.168.2.70's password:
　　
　　　　4、说明：
　　
　　　　删除root密码后，从机器终端是可以登录的，但在远程是无法登录的。
　　
　　　　早期版本的linux如ReadHat8以前的版本，只要删除了root密码，在执行脚本后，需要输入密码的时候，输入任意字符就可以登录。
　　
　　　　========================================================================================================
　　
　　　　按照以上的方法是不成功的，查阅了大量资料后发现有一篇文章提及“scp和rsync的实际应用”，文章大致内容如下：
　　
　　　　http://www.lslnet.com/linux/dosc1/30/linux-238181.htm
　　
　　　　近段时间工作需要做了些scp和rsync的异地安全备份，整理了一下，希望多大家有用。
　　
　　　　scp的备份指南：
　　
　　　　需求：用scp自动完成异地文件的定时copy
　　
　　　　难点：如何让异地主机建立安全的信任关系
　　
　　　　1、在A机器上用root运行ssh-keygen，将生成/root/.ssh/identity和/root/.ssh/identity.pub两个文件；
　　
　　　　2、在A机器上运行scp /root/.ssh/identity.pub test@192.168.1.10:/upload/.ssh/authorized_keys（假设B机器的IP地址为192.168.1.10，B机器上开了用户test，要上传到的目录是/upload，需输入密码）。目的是将本地的identity.pub放到远程机器上并改名为authorized_keys，这样就建立了新任主机，以后就不需要每次ssh都需要输入密码了;
　　
　　　　3、通过crontab建立脚本，例：30 02 * * 1-5 scp /home/data/* test@192.168.1.10:/upload。
　　
　　　　（每天2:30am自动将/home/data下面的所有文件以test用户名传到远程主机192.168.1.10的/upload目录中）;
　　
　　　　认证原理：
　　
　　　　如果你希望从A作为用户user1 SSH 到B 作为用户user2, 若要用RSA键对法认证且不需要密码，则B上的ssh 后台程序拿出~user2/.ssh/authorized_keys中的与A有关的RSA公钥来对A上的以user1身份运行的ssh客户程序进行挑战，前面我们已经把A上的identity.pub拷贝到B上作为authorized_keys了。则A保持私钥identity,而B上的sshd又拿出A的公钥来挑战，因此成功，你可以加很多行到authorized_keys以允许其它服务器的公钥可以加进来。
　　
　　　　scp特点：
　　
　　　　使用ssl加密，安全性高。
　　
　　　　rsync的备份指南：
　　
　　　　需求：用rsync完成异地文件的同步
　　
　　　　难点：如何建立异地信任关系
　　
　　　　1、在A主机上（rsync服务器）上编译安装rsync，需要版本在2.4.3以上（http://rsync.samba.org），在/etc目录下建立rsyncd.conf文件，内容如下：
　　
　　　　uid = nobody
　　
　　　　gid = nobody
　　
　　　　use chroot = no # 不使用chroot
　　
　　　　max connections = 4 # 最大连接数为4
　　
　　　　log　file　=　/var/log/rsyncd.log
　　
　　　　pid　file　=　/var/run/rsyncd.pid
　　
　　　　lock　file　=　/var/run/rsync.lock # 日志记录文件
　　
　　　　[test] # 这里是认证的模块名，在客户端需要指定
　　
　　　　　　　path　=　/home/test # 需要同步的目录
　　
　　　　　　　comment　=　test　folder
　　
　　　　　　　uid　=　root
　　
　　　　　　　ignore　errors # 可以忽略一些无关的IO错误
　　
　　　　　　　read　only　=　yes # 只读
　　
　　　　　　　list　=　no # 不允许列文件
　　
　　　　　　　auth　users　=　rsynctest # 认证的用户名，如果没有这行，则表明是匿名
　　
　　　　　　　secrets　file　=　/etc/test.scrt # 认证用户密码文件
　　
　　　　2、在/etc下建立test.scrt文件，输入：
　　
　　　　用户名：密码
　　
　　　　例：rsynctest:testrsync
　　
　　　　将文件属性修改为600（千万注意）
　　
　　　　3、启动rsync服务：rsync --daemon （rsync运行在tcp 873端口，可以通过netstat -an|grep LISTEN察看）。
　　
　　　　4、在B主机上（rsync客户机）上建立/etc/test文件，内容为A主机的密码，例：
　　
　　　　testsync
　　
　　　　5、用crontab建立脚本，例：0　21　*　*　1-5 rsync -vzrtp --progress --delete --password-file=/etc/test rsynctest@192.168.1.10::test /home/rsynctest
　　
　　　　rsync中的参数：v是verbose，z是压缩，r是recursive，tp都是保持文件原有属性如属主、时间
　　
　　　　的参数。--progress是指显示出详细的进度情况，--delete是指如果服务器端删除了这一文件，那么客户端也相应把文件删除，保持真正的一致。--password-file=/etc/test来指定密码文件，这样就可以在脚本中使
　　
　　　　用而无需交互式地输入验证密码了，这里需要注意的是这份密码文件权限属性要设得只有属主可读(600)。
　　
　　　　rsynctest@192.168.1.10中，rsynctest是指定密码文件中的用户名，192.168.1.10是A主机的IP地址::test是指模块名[test]，也就是在/etc/rsyncd.conf中自定义的名称。最后的/home/rsynctest是备份到本地的目录名。
　　
　　　　（也可以用-e ssh的参数建立起加密的连接，然后和scp中信任主机的办法一样如法炮制）
　　
　　　　（在上面实例中的rsynctest并不是真实的用户，可以根据自己需要文本定义，这也是使用rsync的一大好处）
　　
　　　　rsync的特点：
　　
　　　　特性如下：
　　
　　　　1、可以镜像保存整个目录树和文件系统。
　　
　　　　2、可以很容易做到保持原来文件的权限、时间、软硬链接等等。
　　
　　　　3、无须特殊权限即可安装。
　　
　　　　4、优化的流程，文件传输效率高。
　　
　　　　5、可以使用rcp、ssh等方式来传输文件，当然也可以通过直接的socket连接。
　　
　　　　6、支持匿名传输。
　　
　　　　rsync的功能还很强大，深入的眼就可以到官方网站上了解。
　　
　　　　==========================================================================================================资料中介绍：
　　
　　　　在两台机器的两个用户之间建立安全的信任关系后，可实现执行scp命令时不需要输入用户密码。
　　
　　　　==========================================================================================================下面实现操作：
　　
　　　　1、首先在“执行脚本”的机器上，root用户执行ssh-keygen命令，生成建立安全信任关系的证书：
　　
　　　　[root@test2 idaphne]# ssh-keygen -b 1024 -t rsa
　　
　　　　Generating public/private rsa key pair.
　　
　　　　#出现下面位置部分，直接回车即可，或输入目录位置，来存储生成的文件，这里回车。
　　
　　　　Enter file in which to save the key (/root/.ssh/id_rsa):
　　
　　　　#<-- 直接输入回车，表示不需要密码，因为我们的目的就不需要这个密码了。
　　
　　　　Enter passphrase (empty for no passphrase):
　　
　　　　#<-- 直接输入回车，既然上面密码都没输入，自然这里也直接回车即可。
　　
　　　　Enter same passphrase again:
　　
　　　　Your identification has been saved in /root/.ssh/id_rsa.
　　
　　　　Your public key has been saved in /root/.ssh/id_rsa.pub.
　　
　　　　The key fingerprint is:
　　
　　　　b5:2c:45:9a:6e:de:ff:f2:e0:1e:e6:bb:00:78:e6:f8 [e-mail]
　　
　　　　[root@test2 idaphne]#
　　
　　　　注意：
　　
　　　　在程序提示输入passphrase时直接输入回车，表示无证书密码。
　　
　　　　上述命令将生成私钥证书id_rsa和公钥证书id_rsa.pub，存放在用户家目录的.ssh子目录中。
　　
　　　　[root@test2 idaphne]# cd /root/.ssh/
　　
　　　　[root@test2 .ssh]# pwd
　　
　　　　/root/.ssh
　　
　　　　[root@test2 .ssh]# ls
　　
　　　　id_rsa id_rsa.pub known_hosts
　　
　　　　[root@test2 .ssh]#
　　
　　　　2、将公钥证书id_rsa.pub复制到机器“接收数据的机器”的root家目录的.ssh子目录中，同时将文件名更换为authorized_keys。
　　
　　　　[root@test2 .ssh]# scp -p id_rsa.pub root@192.168.2.70:/root/.ssh/authorized_keys
　　
　　　　#输入机器“接收数据的机器”的root用户密码
　　
　　　　root@192.168.2.70's password:
　　
　　　　id_rsa.pub 100% 230 0.2KB/s 00:00
　　
　　　　[root@test2 .ssh]#
　　
　　　　可以看到这个步骤，还是需要输入密码的。
　　
　　　　说明：
　　
　　　　在执行传输文件“id_rsa.pub”所需要的命令时，两台机器的root用户之间还未建立安全信任关系，所以还需要输入机器“接收数据的机器”的root用户密码。
　　
　　　　经过以上2步，就在机器“执行脚本”的root和机器“接收数据的机器”的root之间建立安全信任关系。
　　
　　　　下面我们看看效果：
　　
　　　　[root@test2 idaphne]# pwd
　　
　　　　/usr/local/mysql/var/idaphne
　　
　　　　[root@test2 idaphne]# ls
　　
　　　　1.txt 2.txt 3.txt
　　
　　　　[root@test2 idaphne]# scp -p 1.txt root@192.168.2.70:/usr/local/mysql/var/idaphne
　　
　　　　1.txt 100% 2 0.0KB/s 00:00
　　
　　　　[root@test2 idaphne]#
　　
　　　　到这里，实验结束，结果是成功的，这样将scp命令中就不用在输入密码了。
　　
　　　　下面另加一段：
　　
　　　　当执行scp命令的时候，如果出现了如下错误：
　　
　　　　@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
　　
　　　　@ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @
　　
　　　　@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
　　
　　　　IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
　　
　　　　Someone could be eavesdropping on you right now (man-in-the-middle attack)!
　　
　　　　It is also possible that the RSA host key has just been changed.
　　
　　　　The fingerprint for the RSA key sent by the remote host is
　　
　　　　62:5a:5b:e3:be:5e:fa:ec:94:35:d2:de:db:c9:b1:f4.
　　
　　　　Please contact your system administrator.
　　
　　　　Add correct host key in /root/.ssh/known_hosts to get rid of this message.
　　
　　　　Offending key in /root/.ssh/known_hosts:3
　　
　　　　RSA host key for 192.168.2.70 has changed and you have requested strict checking.
　　
　　　　Host key verification failed.
　　
　　　　lost connection
　　
　　　　这是因为：/root/.ssh/known_hosts记录rsa相关信息，删除，其中关于，上面错误中显示主机：192.168.2.70的记录即可。