Connexion ssh renvoie "Permission denied (publickey)"

Bonjour,

Préliminaires

Avant de rentrer dans le vif du sujet, il faut d'abord bien comprendre ce que fait ssh-copy-id :

1. ssh-copy-id se connecte à un serveur SSH cible avec un compte cible. L'authentification est réalisée commune avec une commande ssh ordinaire (typiquement avec une clé SSH préinstallée au niveau du compte cible, et dans le cas contraire, à l'aide d'un mot de passe si le serveur SSH l'autorise). Cela signifie que si tu ne peux pas te connecter avec la commande ssh, aucune chance que ssh-copy-id te débloque (et encore heureux, sinon n'importe qui pourrait installer sa clé SSH chez n'importe qui !).
2. Si le dossier ~/.ssh n'est pas présent dans le compte cible, il est créé avec les droits adéquats
3. Si le fichier ~/.ssh/authorized_keys n'est pas présent dans le compte cible, il est créé avec les droits adéquats
4. Le fichier ~/.ssh/authorized_keys est complété avec la clé (publique) SSH passée en paramètre à ssh-copy-id.

En résumé, ssh-copy-id n'est qu'un "facilitateur" comparé à ce que tu pourrais faire "à la main" au travers de ssh. Si tu ne peux pas te connecter en ssh, tu ne peux pas te connecter avec ssh-copy-id.

Retour à ton problème

Il y a deux grandes causes (non exclusives) possibles à ton problèmes

Problème de connectivité

Avant d'aller plus avant, il faut s'assurer que le problème n'est pas d'ordre réseau. :

• le routage entre le client est correct (par exemple, tu arrives à pinger ton serveur depuis le client) 

  ping -c2 mon.serveur.ssh.fr
  

• il n'y a pas de problème de pare feu (au niveau du client, du serveur, ou entre les deux) afin que la connexion ssh puisse s'établir.
  • Un outil comme nmap peut t'aider à scanner les ports d'une machine et vérifier les ports qui semblent ouvert.

    sudo apt update
    sudo apt install nmap
    nmap -Pn -p 22 mon.serveur.ssh.fr

    Tu devrais voir : 

    Starting Nmap 7.95 ( https://nmap.org ) at 2025-09-25 16:54 CEST
    Nmap scan report for **** (137.194.47.130)
    Host is up (0.0058s latency).
    Other addresses for **** (not scanned): ****
    rDNS record for ****: ****
    
    PORT   STATE SERVICE
    22/tcp open  ssh
    
    Nmap done: 1 IP address (1 host up) scanned in 0.09 seconds

Problème au niveau de la configuration du serveur SSH

Tes messages ne donnent pas non plus d'indications sur la manière dont est configuré le serveur et donc ne permettent pas de savoir dans quelle mesure ton client peut se connecter (avec ssh ou ssh-copy-id). Notamment, est-il possible de se connecter par mot de passe ?

Pour cela il faut vérifier côté serveur si l'option PasswordAuthentication no y est présente dans /etc/ssh/sshd_config ou l'un des éventuels fichiers contenus dans /etc/ssh/sshd_config.d.

• Côté serveur, que donne la commande : 

  grep -nr PasswordAuthentication /etc/ssh/sshd_config*

Résolution du problème

Ensuite de deux choses l'unes :

• Soit l'authentification par mot de passe est possible : si aucune clé SSH privée côté client (voir ~/.ssh/*) ne concorde avec une clé publique référencée côté serveur (voir ~/.ssh/authorized_keys), alors ssh-copy-id devrait te basculer en authentification par mot de passe (faute de trouver une clé SSH valide).
• Soit l'authentification par mot de passe n'est pas possible : deux approches possibles :
  • Méthode 1 :
    1. Commenter temporairement l'option PasswordAuthentication no côté serveur dans le.s fichier.s concernés, pour retomber dans le cas précédent.
    2. Relancer le serveur ssh côté serveur. 

       sudo service ssh restart

    3. Relancer la commande ssh-copy-id côté client.
  • Méthode 2 :
    • Côté serveur créer/compléter manuellement le fichier ~/.ssh/authorized_keys par une autre moyen (accès local ou via un autre compte au serveur). En admettant que le compte cible soit toto, et que son home soit /home/toto, alors ~ = ~toto = /home/toto
      • Créer le dossier ~/.ssh avec les droits adéquats : 

        mkdir ~toto/.ssh
        # Si l'on n'est pas connecté en toto, lancer aussi:
        sudo chown -R toto:toto ~toto/.ssh
        sudo chmod 600 ~toto/.ssh

      • Créer le fichier ~/.ssh/authorized_hosts avec les droits adéquats : 

        touch ~toto/.ssh/authorized_keys
        # Si l'on n'est pas connecté en toto, lancer aussi:
        sudo chown -R toto:toto ~toto/.ssh/authorized_keys
        sudo chmod 700 ~toto/.ssh/authorized_keys

      • Ajouter à la fin de ce fichier une nouvelle ligne contenant la clé publique (voir côté client, e.g., ~/.ssh/id_rsa.pub).

Bonne chance

Bonjour,

Je ne sais pas.

Un tuto pour mettre en place les clés publique et privée avec Linux Mint (le problème semble résider au moins dans la création des clés privées)?

https://cloudspinx.com/how-to-use-ssh-and-ssh-keys-on-linux-mint/

Bonsoir, 

J'ai bien regardé le tuto sans trouver la solution. 

J'ai constaté quelque chose qui pourrait me / nous mettre sur la piste. 

bernard@bernardlm:~$ ssh-copy-id XXX@XXX
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 3 key(s) remain to be installed -- if you are prompted now it is to install the new keys
***@***: Permission denied (publickey).

Lorsque je copie une autre clé, j'obtiens ça. Je ne sais pas comment faire pour copier les autres formats de clé (est-ce utile d'en installer d'autres car mon site est modeste et non marchand et comment supprimer celles déjà installées ( voir à la fin)

bernard@bernardlm:~$ ssh-copy-id_ecdsa XXX@XXX
ssh-copy-id_ecdsa : commande introuvable

Extraits des logs de ssh XXX@192.168.1.250 -v

debug1: Authenticating to 192.168.1.250:22 as 'XXX'
debug1: SSH2_MSG_KEXINIT sent
debug1: SSH2_MSG_KEXINIT received
debug1: kex: algorithm: ***@***
debug1: kex: host key algorithm: ssh-ed25519
debug1: kex: server->client cipher: ***@*** MAC: <implicit> compression: none
debug1: kex: client->server cipher: ***@*** MAC: <implicit> compression: none
debug1: expecting SSH2_MSG_KEX_ECDH_REPLY
debug1: SSH2_MSG_KEX_ECDH_REPLY received
debug1: Server host key: ssh-ed25519 SHA256:YXXXXXXXXXX
debug1: Host '192.168.1.250' is known and matches the ED25519 host key.

La connexion au serveur fonctionne 

debug1: Host '192.168.1.250' is known and matches the ED25519 host key.

debug1: Found key in /home/bernard/.ssh/known_hosts:3
debug1: ssh_packet_send2_wrapped: resetting send seqnr 3
debug1: rekey out after 134217728 blocks
debug1: SSH2_MSG_NEWKEYS sent
debug1: expecting SSH2_MSG_NEWKEYS
debug1: ssh_packet_read_poll2: resetting read seqnr 3
debug1: SSH2_MSG_NEWKEYS received
debug1: rekey in after 134217728 blocks
debug1: SSH2_MSG_EXT_INFO received
debug1: kex_ext_info_client_parse: server-sig-algs=<ssh-ed25519,***@***,ecdsa-sha2-nistp256,ecdsa-sha2-nistp384,ecdsa-sha2-nistp521,***@***,***@***,ssh-dss,ssh-rsa,rsa-sha2-256,rsa-sha2-512>
debug1: kex_ext_info_check_ver: ***@***=<0>
debug1: SSH2_MSG_SERVICE_ACCEPT received
debug1: Authentications that can continue: publickey
debug1: Next authentication method: publickey

debug1: get_agent_identities: bound agent to hostkey
debug1: get_agent_identities: agent returned 3 keys
debug1: Will attempt key: /home/bernard/.ssh/id_ed25519 ED25519 SHA256:XXXXXXXXXXXXXXXagent
debug1: Will attempt key: /home/bernard/.ssh/id_rsa RSA SHA256:XXXXXXXXXXXXXXX agent
debug1: Will attempt key: bernard@bernardlm ED25519 SHA256:XXXXXXXXXXXXXX agent
debug1: Will attempt key: /home/bernard/.ssh/id_ecdsa
debug1: Will attempt key: /home/bernard/.ssh/id_ecdsa_sk
debug1: Will attempt key: /home/bernard/.ssh/id_ed25519_sk
debug1: Will attempt key: /home/bernard/.ssh/id_xmss
debug1: Will attempt key: /home/bernard/.ssh/id_dsa
debug1: Offering public key: /home/bernard/.ssh/id_ed25519 ED25519 SHA256:XXXXXXXXXXXXXXXX agent
debug1: Authentications that can continue: publickey
debug1: Offering public key: /home/bernard/.ssh/id_rsa RSA SHA256:XXXXXXXXXXXXXX agent
debug1: Authentications that can continue: publickey
debug1: Offering public key: bernard@bernardlm ED25519 SHA256:XXXXXXXXXXXXXXXXXXXX agent
debug1: Authentications that can continue: publickey

Trois clés sont acceptées :

id_ed25519, id_rsa,  bernard@bernardlm ED25519 ( je ne comprends pas bien le nom qui ne commence pas par "id".)

debug1: get_agent_identities: bound agent to hostkey
debug1: get_agent_identities: agent returned 3 keys
debug1: Will attempt key: /home/bernard/.ssh/id_ed25519 ED25519 SHA256:XXXXXXXXXXXXXXXagent
debug1: Will attempt key: /home/bernard/.ssh/id_rsa RSA SHA256:XXXXXXXXXXXXXXX agent
debug1: Will attempt key: bernard@bernardlm ED25519 SHA256:XXXXXXXXXXXXXX agent
debug1: Will attempt key: /home/bernard/.ssh/id_ecdsa
debug1: Will attempt key: /home/bernard/.ssh/id_ecdsa_sk
debug1: Will attempt key: /home/bernard/.ssh/id_ed25519_sk
debug1: Will attempt key: /home/bernard/.ssh/id_xmss
debug1: Will attempt key: /home/bernard/.ssh/id_dsa
debug1: Offering public key: /home/bernard/.ssh/id_ed25519 ED25519 SHA256:XXXXXXXXXXXXXXXX agent
debug1: Authentications that can continue: publickey
debug1: Offering public key: /home/bernard/.ssh/id_rsa RSA SHA256:XXXXXXXXXXXXXX agent
debug1: Authentications that can continue: publickey
debug1: Offering public key: bernard@bernardlm ED25519 SHA256:XXXXXXXXXXXXXXXXXXXX agent
debug1: Authentications that can continue: publickey

   Les clés aux formats  id_ecdsa_sk,id_ecdsa,id_ed25519_sk, id_xmss, id_dsa n'ont pas été copiées. 

Est-il possible de les supprimer du serveur en sachant que la connexion fonctionne ? Sinon, comment copier les clés à ces formats du PC vers le serveur ?  

Je regarde  How to remove ssh keys? J'arrête pour aujourd'hui !!

Bonjour et merci pour cette réponse si complète. 
J'ai solutionné le pb en accédant à la micro carte sd via un adaptateur et en commentant temporairement l'option PasswordAuthentication no. Je n'ai pas encore intégralement terminé mais cela fonctionne. 

Une nouvelle fois, merci !