إضافة إلى ملف "المفاتيح المعتمدة" على الجهاز الظاهري لينكس غريبة "سة المفاتيح العمومية"

تعريف

للتحقق من مفاتيح إضافية، راجع ملف المفاتيح المعتمدة (ملف.ssh/الأخرى vi) لتحديد ما إذا تم إضافة مفاتيح إضافية لم تكن ترغب في تضمين.

أنه من الممكن يدوياً إزالة أية إضافات الغطاء الأمني العام المفاتيح التي قد تمت إضافتها. هذا وسوف لا تؤثر على الميزات التي يتم نشرها إلى جانب VM. أيضا، لن يؤثر زوج مفاتيح SSH الخاص بك المحدد للمصادقة.

إذا لم تكن تعرف أو لا يمكن التمييز بين أي من المفاتيح العامة في.ssh/الأخرى الملف الذي حددته للمصادقة، اتبع الخطوات التالية:

1. مراجعة قوالب النشر الخاص بك:

   1. سة المفاتيح العمومية

   2. سة مفاتيح في تكوين سحابة التهيئة

2. استرداد منشورة سة مفاتيح في وقت الإنشاء من داخل الجهاز الظاهري، إذا كان لديك وصول سودو/الجذر. للقيام بذلك، اتبع الخطوات التالية:

   1. تحقق من تكوين سحابة الأولية التي تم تمريرها في CustomData: sudo cat /var/lib/waagent/ovf-env.xml | grep "<ns1:CustomData>"استخدم قيمة CustomData وثم فك ترميز base64 الاستخدام للحصول على المفاتيح العمومية التي يمكنك نشرها: echo "<customData value>" | base64 -D

   2. بدلاً من ذلك، تحقق في مثيل تعريف بيانات الخدمة (إيمدس) لمعرفة سة المفتاح العام الذي تم تمريره في سة خاصية المفتاح العام من "إنشاء الجهاز الظاهري": curl -H Metadata:true "http://169.254.169.254/metadata/instance/compute/publicKeys?api-version=2018-04-02&format=json"

إصلاح

إذا قمت بتحديد شهادات إضافية غير مقصودة لنشر إلى الجهاز الظاهري، يمكنك إزالة ذلك بمحو البند المقابل من الملفات الأخرى.

تشغيل المعالجة بالاتصال بالجهاز الظاهري بشكل تفاعلي، أو استخدام ملحق برنامج نصي مخصص أو RunCommand عبر عدة VMs.

نشر باستخدام الملحقات التي محمية الإعدادات أو هوية مدارة VMs

استخدام البرنامج النصي التالي لإزالة المفاتيح العمومية من الشهادات التي تم نشرها مع ملحقات VM أو هوية مدارة. سيؤدي هذا الأمر إلى إزالة المفاتيح التي تم تحديدها توفدها VM أو إذا تم نشر الجهاز الظاهري باستخدام مفاتيح "مفتاح المخزن" .

#!/bin/bash
set -e

# /var/lib/waagent has *.crt files that include the crt files corresponding to 
# the user provided public keys and one additional .crt file from MSI.
# This script converts the content of the .crt file into the ssh public key and
# remove it from the authorized_keys file
readarray -t CRT_FILES < <(grep -l -E "(Microsoft.ManagedIdentity|Windows Azure)" /var/lib/waagent/*.crt)
for ((i=0; i < ${#CRT_FILES[@]}; i++))
do
    PUBKEY=$(openssl x509 -in "${CRT_FILES[$i]}" -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8)
    sed -i -e "\@$PUBKEY@d" $HOME/.ssh/authorized_keys
Done 

بعد تشغيل البرنامج النصي، تحقق من ملف ssh/الأخرى لضمان موجودة فقط معروفة عامة مفتاح (مفاتيح).

نشر باستخدام "مفتاح المخزن أسرار" VMs

لتحديد ما إذا كان قد تمت إضافة المفتاح عند نشر باستخدام "مفتاح المخزن مفاتيح"، اتبع الخطوات التالية:

1. الحصول على اسم شهادة "مفتاح المخزن" التي يمكنك نشرها باستخدام الجهاز الظاهري أو مراجعة تعليمات برمجية النشر CLI من الألف إلى الياء أو قوالب ARM تشغيل هذه "المبادرة القطرية من الألف إلى الياء": az vm show --resource-group <resourceGroupName> --name <vmName> | grep certificateUrlسوف تظهر الاستجابة اسم الشهادة: "certificateUrl": "https://<keyVaultname>.vault.azure.net/secrets/<certName>/xxxxxxxxxxxxx"

2. تحميل الشهادة: az keyvault certificate download --vault-name <keyVaultName> --name <certName> --encoding PEM --file public.pem

3. استخراج المفتاح العمومي: openssl x509 -in public.pm -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8

4. مقارنة الإخراج من الخطوة السابقة إلى شهادات المتبقية في ملف ssh/الأخرى. vi .ssh/authorized_keys file

صور 18.04 أوبونتو

لتحديث صورة مصدر مخصصة، يجب إجراء التعديلات التالية:

• قم بتحرير الملف التالي: /etc/cloud/cloud.cfg.d/90-azure.cfg

• أضف التعليمات البرمجية التالية إلى نهاية الملف.

datasource:
   Azure:
     agent_command: [service, walinuxagent, start]

RHEL 7.4/7.5/7.6 وصور CentOS 7.6

إذا قمت مسبقاً بإنشاء RHEL/CentOS الصور استخدام الخطوات التالية (أو أسلوب مشابهة)، يجب تحديث الصورة المصدر الذي قمت بإنشائه نظام رصد السفن. فيما يلي بعض الخطوات الإضافية المطلوبة لإضافة إلى تكوين صورة الجهاز الظاهري مصدر موجود:

الخطوة 1

قم بتحرير الملف التالي:

/etc/cloud/cloud.cfg.d/91-azure_datasource.cfg

أضف الأسطر التالية إلى نهاية الملف:

datasource:
   Azure:
     agent_command: [systemctl, start, waagent, --no-block]

الخطوة 2

تحديث تكوين عامل كما يلي:

cp /lib/systemd/system/waagent.service /etc/systemd/system/waagent.service
sed -i 's/After=network-online.target/WantedBy=cloud-init.service\\nAfter=network.service systemd-networkd-wait-online.service/g' /etc/systemd/system/waagent.service
systemctl daemon-reload

حزم تهيئة مجموعة النظراء

تكون كافة حزم سحابة الأولية التي تتضمن إصلاح يجري استكمالها. Microsoft بدراسة هذه المشكلة وسيتم نشر مزيد من المعلومات في هذه المقالة عندما تصبح متاحة.