Как мне организовать загрузку ключа ssh с парольной фразой и доступность в ssh-agent для других процессов при запуске Windows?

Я настраиваю автоматическое развертывание приложений в среде Windows из непрерывной интеграции (агенты сборки TeamCity) и использую cygwin + openssh для выполнения части удаленного выполнения - в основном я использую capistrano ruby ​​с кучей настраиваемых задачи.

Поскольку build-agent работает на коробке как служба Windows, он не имеет заголовка. Поле не находится рядом с пользователем, вошедшим в систему, поэтому у пользователя нет возможности ввести ключевую фразу, когда (например) в противном случае может быть загружена цепочка для ключей или конкурс.

Итак, в настоящее время кодовая фраза жестко запрограммирована в сценарии развертывания - я имею в виду, в одном месте, поэтому она не разбросана повсюду, но тем не менее, похоже, что должен быть более безопасный способ сделать это.

Кто-нибудь может сказать мне, что это такое? :-)

• Я действительно не хочу не используйте кодовую фразу.
• Я бы предпочел, чтобы не приходилось вручную входить в сборочные агенты каждый раз, когда они перезагружаются, чтобы выполнить какой-то шаг, чтобы дать каждому парольную фразу, чтобы можно было загрузить ключ.

Обновить:

• Я решил использовать ключи с парольной фразой, потому что это казалось изначально более безопасным, пока позже я не столкнулся с препятствием, как разблокировать ключ для процесса без заголовка. Идея заключалась в том, что развертывать смогут только люди, у которых есть кодовая фраза ключа. Возможно, мне нужен один (тщательно контролируемый) ключ без парольной фразы для использования агентами сборки CI и один ключ с парольной фразой для использования людьми?