Registre servidores com auth keys

Uma auth key permite registrar um dispositivo sem abrir o fluxo de login interativo naquele dispositivo. Ela é útil em provisionamento de servidores, mas precisa ser tratada como segredo.

Escolha a finalidade

Para cadastrar uma única máquina, prefira uma chave de uso único. Use uma chave reutilizável somente quando o processo realmente precisar registrar vários dispositivos. Escolha a validade e as tags conforme a função do servidor.

No painel, abra Keys e gere a auth key com uma descrição que identifique o uso. Confira as opções de dispositivo efêmero, pré-aprovação e tags antes de confirmar.

Entregue pelo mecanismo de segredos

Use o cofre ou o mecanismo de segredos da sua automação. Não grave a chave no repositório, em imagens de container ou em comentários de tarefas. Evite imprimir a linha de comando com o segredo nos logs.

A opção –auth-key do comando tailscale up recebe a chave durante o registro. Consulte a referência de comandos da versão instalada para escolher a forma de entrega adequada ao seu ambiente. Este guia não inclui uma chave reutilizável nem um valor pronto para copiar.

Confira o dispositivo registrado

Em Machines, confirme nome, sistema, tags e estado do servidor. Teste uma conexão permitida pela política. Verifique também se a aprovação de dispositivos ainda precisa ser concluída.

A validade da auth key e a validade da chave do dispositivo são diferentes. Expirar ou revogar a auth key não deve ser tratado como remoção automática de todos os dispositivos que ela registrou.

Diferencie as credenciais do servidor

Credencial	Finalidade
Auth key	Autorizar o registro do dispositivo
Chave do dispositivo	Autenticar o cliente já registrado
Chave SSH convencional	Autenticar um usuário no servidor SSH

A expiração de uma delas não equivale à expiração das demais. Gerar uma auth key nova não renova automaticamente todos os dispositivos antigos. Da mesma forma, revogar uma chave de registro não elimina as credenciais SSH existentes no sistema operacional.

No provisionamento, confira a presença do segredo sem imprimi-lo e limite sua leitura ao processo responsável. Depois do cadastro, consulte Machines para confirmar nome, tags e aprovação. Teste uma conexão permitida antes de considerar o registro pronto.

Em uma automação que recria containers, preserve o estado quando a intenção for manter a mesma identidade. Use dispositivos efêmeros apenas quando o ciclo de vida da execução exigir esse comportamento. O nome escolhido para o servidor, sozinho, não garante a reutilização de um cadastro anterior.

Encerre o uso

Revogue uma chave que não será mais utilizada. Se o segredo foi exposto, revogue-o, confira os dispositivos registrados e remova os cadastros indevidos. Depois, gere outra chave com o alcance necessário e corrija o ponto de exposição na automação.