如何解决“sign_and_send_pubkey: signing failed: agent refused operation”？

Question

使用 SSH 键配置新的 Digital Ocean droplet。 当我运行ssh-copy-id时，这是我得到的：

ssh-copy-id user@012.345.67.89
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
sign_and_send_pubkey: signing failed: agent refused operation
user@012.345.67.89's password: 

Number of key(s) added: 1

Now try logging into the machine, with:   "ssh 'user@012.345.67.89'"
and check to make sure that only the key(s) you wanted were added.

但是，当我随后尝试 ssh 时，会发生这种情况：

ssh user@012.345.67.89
sign_and_send_pubkey: signing failed: agent refused operation
user@012.345.67.89's password: 

输入密码后，我就可以正常登录了，但这当然违背了最初创建 SSH 密钥的目的。 我决定看一下 ssh-agent 服务器端，这是我得到的：

user@012.345.67.89:~# eval `ssh-agent -s`
Agent pid 5715
user@012.345.67.89:~# ssh-add -l
The agent has no identities.

user/.ssh/authorized_keys 确实也包含一个 ssh-rsa 密钥条目，但是find -name "keynamehere"不返回任何内容。

Answer 1

在客户端计算机上运行ssh-add ，这会将 SSH 密钥添加到代理。

使用ssh-add -l （再次在客户端）确认它确实已添加。

Answer 2

将 Fedora 26 升级到 28 后，我遇到了同样的问题。 并且缺少以下日志

/var/log/secure
/var/log/messages

问题：

antop@localmachine  ~  ssh root@ocp1.example.com
sign_and_send_pubkey: signing failed: agent refused operation
root@ocp1.example.com's password:

错误消息没有指向实际问题。 问题解决者

chmod 700 ~/.ssh
chmod 600 ~/.ssh/*

Answer 3

我在Linux Ubuntu 18中遇到了同样的问题。 从Ubuntu 17.10更新后，每个 git 命令都会显示该消息。

解决方法是确保您对id_rsa和id_rsa.pub拥有正确的权限。

使用stat --format '%a' <file>检查当前的 chmod 编号。 id_rsa应该是600 ， id_rsa.pub应该是644 。

要更改文件的权限，请使用

chmod 600 id_rsa
chmod 644 id_rsa.pub

这解决了我的更新问题。

Answer 4

运行以下命令来解决此问题。

它对我有用。

chmod 600 ~/.ssh/id_rsa

Answer 5

我曾经遇到过和您一样的问题，这就是我通过以下步骤解决的方法。

1. chmod 700 ~/.ssh
2. chmod 600 ~/.ssh/*
3. ssh-copy-id 用户@ip
4. ssh-代理-s
5. ssh-添加

Answer 6

使用 gpg-agent 作为我的 ssh-agent 并使用 gpg 子项作为我的 ssh 密钥https://wiki.archlinux.org/index.php/GnuPG#gpg-agent时出现错误。

我怀疑问题是由于我的 sway 配置中使用的 sleep+lock 命令导致 gpg 的 pin 条目 tty 无效

bindsym $mod+Shift+l exec "sh -c 'gpg-connect-agent reloadagent /bye>/dev/null; systemctl suspend; swaylock'"

或者只是睡眠/暂停

重置 pin 条目 tty 以解决问题

gpg-connect-agent updatestartuptty /bye > /dev/null

以及我的摇摆睡眠+锁定命令的修复：

bindsym $mod+Shift+l exec "sh -c 'gpg-connect-agent reloadagent /bye>/dev/null; systemctl suspend; swaylock; gpg-connect-agent updatestartuptty /bye > /dev/null'"

Answer 7

对于这个错误：

# git pull
sign_and_send_pubkey: signing failed: agent refused operation
git@github.com: Permission denied (publickey).    
fatal: Could not read from remote repository.

Please make sure you have the correct access rights and the repository exists.

在 Github account > profile > ssh 中验证或再次添加公钥。

我这样解决：

# chmod 400 ~/.ssh/id_rsa

# ls  ~/.ssh/id_rsa -ls  
4 -r--------. 1 reinaldo reinaldo 1679 Jul 26  2017 /home/reinaldo/.ssh/id_rsa

# git pull                                 
remote: Counting objects: 35, done.
remote: Compressing objects: 100% (19/19), done.
remote: Total 35 (delta 9), reused 34 (delta 9), pack-reused 0
Unpacking objects: 100% (35/35), done.

谢谢你。

Answer 8

首先ssh-add然后ssh user@ip

这对我有用

Answer 9

eval "$(ssh-agent -s)"
首先启动 ssh 代理

ssh-add
然后添加 ssh 密钥

Answer 10

出现 SSH 错误可能有多种原因：

sign_and_send_pubkey：签名失败：代理拒绝操作

其中一些可能与其他答案突出显示的问题有关（请参阅此线程答案），其中一些可能是隐藏的，因此需要进行更仔细的调查。

就我而言，我收到以下错误消息：

sign_and_send_pubkey：签名失败：代理拒绝操作

user@website.domain.com：权限被拒绝（publickey、gssapi-keyex、gssapi-with-mic）

找到真正问题的唯一方法是调用-v详细选项，这会导致打印大量调试信息：

debug1: Connecting to website.domain.com [xxx.xxx.xxx.xxx] port 22.
debug1: Connection established.
debug1: identity file /home/user/.ssh/id_rsa.website.domain.com type 0
debug1: key_load_public: No such file or directory
debug1: identity file /home/user/.ssh/id_rsa.website.domain.com-cert type -1

请注意， key_load_public: No such file or directory是指下一行而不是上一行。

所以 SSH 真正说的是它找不到名为id_rsa.website.domain.com-cert的公钥文件，这似乎是我的问题，因为我的公钥文件不包含-cert后缀。

长话短说：在我的情况下，修复只是为了确保公钥文件按预期命名。 如果不调试连接，我永远不会怀疑。

底线是使用 SSH 详细模式（-v 选项）找出问题所在，可能有各种原因，在这个/另一个线程上找不到。

Answer 11

是的。 在客户端机器上运行ssh-add 。 然后重复命令ssh-copy-id userserver@012.345.67.89

Answer 12

我得到了一个sign_and_send_pubkey: signing failed: agent refused operation错误。 但在我的情况下，问题是错误的pinentry路径。

在我的${HOME}/.gnupg/gpg-agent.conf中， pinentry-program属性指向一个旧的 pinentry 路径。 更正那里的路径并重新启动gpg-agent为我修复了它。

我通过使用journalctl -f跟踪日志发现了它。 那里的日志行如下包含错误的路径：

Jul 02 08:37:50 my-host gpg-agent[12677]: ssh sign request failed: No pinentry <GPG Agent>
Jul 02 08:37:57 my-host gpg-agent[12677]: can't connect to the PIN entry module '/usr/local/bin/pinentry': IPC connect call failed

Answer 13

在我的情况下，问题是 GNOME 密钥环为要使用的 ssh 密钥持有无效的密码。 在花费大量时间解决此问题后，我运行seahorse并找到了包含空字符串的条目。 我只能猜测这是由于在第一次使用时输入错误密码造成的，然后可能会取消请求者左右以回退到命令行。 使用正确的密码更新条目立即解决了问题。 删除该条目（从“登录”密钥环）并在第一个提示时重新输入密码（并选中相应的复选框）也可以解决此问题。 现在代理从名为“login”的登录密钥环中解锁的正确密码，并且不再要求密码或“拒绝操作”。 当然是 YMMV。

Answer 14

这应该是一个超级用户的问题。

是的，我在 MacOSX SourceTree 中遇到了完全相同的错误，但是，在 iTerm2 终端中，一切正常。

但是，问题似乎是我运行了两个ssh-agent ；(

第一个是/usr/bin/ssh-agent （又名 MacOSX），然后是 HomeBrew 安装的/usr/local/bin/ssh-agent正在运行。

从 SourceTree 启动终端，让我看到SSH_AUTH_SOCK的差异，使用lsof我找到了两个不同的ssh-agent ，然后我能够将密钥（使用ssh-add ）加载到系统的默认ssh-agent （即/usr/bin/ssh-agent ），SourceTree 又开始工作了。

Answer 15

对我来说，问题是将公钥错误地复制/粘贴到 Gitlab 中。 该副本产生了额外的回报。 确保您粘贴的是单行键。

Answer 16

我需要分享，因为我花了太多时间寻找解决方案

这是解决方案： https ://unix.stackexchange.com/a/351742/215375

我正在使用这个命令：

ssh-keygen -o -t rsa -b 4096 -C "email@example.com"

gnome-keyring 不支持生成的密钥。

删除-o参数解决了这个问题。

Answer 17

什么在这里工作：在客户端

1) ssh-添加

2) ssh-copy-id 用户@服务器

密钥是前段时间用普通的“ssh-keygen -t rsa”创建的，我打开了错误消息，因为我在没有先运行 ssh-add 的情况下将我的 ssh 公钥从客户端复制到服务器（使用 ssh-id-copy），因为我错误地认为我早先添加了它们。

Answer 18

对于最近升级到“现代”ssh 版本的用户的快速说明 [OpenSSH_8.1p1，OpenSSL 1.1.1d FIPS 2019 年 9 月 10 日] - 随 fedora 31 提供，似乎不再接受旧的 DSA SHA256 密钥（我的日期是 2006 年！） -创建了一个新的 rsa 密钥，公共添加到授权，客户端私有，一切正常。

感谢之前的建议，尤其是 ssh -v 非常有用

Answer 19

正如其他人所提到的，此错误可能有多种原因。

如果您将SSH 与 Smart Card (PIV) 一起使用，并将卡添加到 ssh-agent
ssh-add -s /usr/lib64/pkcs11/opensc-pkcs11.so
你可能会得到错误
sign_and_send_pubkey: signing failed: agent refused operation
如果 PIV 身份验证已过期，或者您已移除并重新插入 PIV 卡，则从 ssh 访问。

在这种情况下，如果您尝试执行另一个ssh-add -s您仍然会收到错误消息：
Could not add card "/usr/lib64/opensc-pkcs11.so": agent refused operation

根据RedHat Bug 1609055 - 代理中的 pkcs11 支持很笨重，您需要这样做

ssh-add -e /usr/lib64/opensc-pkcs11.so
ssh-add -s /usr/lib64/opensc-pkcs11.so

Answer 20

另一个原因是 OpenSSH v9.0 的新默认 NTRU 素数 + x25519 密钥交换，结合 gpg-agent（至少，在 v2.2.32 中）。

要解决此问题，请禁用新的密钥交换算法（因此它是安全的好处），因此：

ssh -o 'KexAlgorithm -sntrup761x25519-sha512@openssh.com' [...]

（或在 SSH 配置中相同。）

参看。 https://unix.stackexchange.com/questions/701131/use-ntrux25519-key-exchange-with-gpg-agent

Answer 21

根据 Github 安全博客，不再接受带有 SHA-1 的 RSA 密钥。

使用以下命令使用 ECDSAencryption 创建新的 SSH 密钥并将其添加到 Github。

ssh-keygen -t ecdsa -b 521 -C "your_email@example.com"

可以在此处找到带有详细信息的原始答案

Answer 22

这可能是因为 1Passsword 不支持ssh-rsa密钥交换。 出于安全考虑，它们支持较新rsa-sha-512和rsa-sha-256 。

https://1password.community/discussion/comment/632712/#Comment_632712

Answer 23

注意如何命名 ssh 密钥文件

如果您有多个密钥对，您可能正在使用带有-f <key name>的ssh-keygen来命名 output 文件。 就我而言，我将密钥命名为username@organization和username@organization.pub ，这有助于保持多个密钥对的有序性。

问题是 ssh 代理不喜欢@字符。

在我的情况下，这导致了sign_and_send_pubkey: signing failed: agent refused operation错误，并阻止了 session 密钥环与 ssh 代理交互。

将我的密钥文件重命名为username_at_organization解决了这个问题。

Answer 24

只是为了把另一个原因扔进戒指......

我的 env 配置为使用 Gemalto 卡...但是我的~/.ssh/中有一个名为id_rsa_gemalto_old(.pub)的旧密钥对——名称中有gemalto足以让git fetch结果sign_and_send_pubkey: signing failed: agent refused operation 。

(Ubuntu 18.04.6)