Cizí SSH veřejné klíče přidané do souboru klíče oprávnění na Linux VM

Identifikovat

Chcete-li zkontrolovat, zda máte další klíče, zkontrolujte, zda soubor autorizovaného klíče (souboru .ssh/authorized_keys vi) k určení, zda byly přidány další klíče, které jste je nezamýšleli zahrnout.

Je bezpečné ručně odebrat každá další ssh veřejného klíče, které mohly být přidány. Tím nebude mít vliv na funkce, které jsou nasazeny a modulu VM. Neovlivní navíc zadaný SSH dvojici klíčů pro ověřování.

Pokud neznáte nebo nelze rozlišit které veřejné klíče v souboru .ssh/authorized_keys ověřování jste zadali, postupujte takto:

1. Přečtěte si vaše nasazení šablony:

   1. SSH veřejných klíčů

   2. SSH klíče v konfiguraci cloud-init

2. Načíst nasazeném ssh klíče při tvorbě z uvnitř VM, pokud máte přístup k sudo/root. Chcete-li to provést, postupujte takto:

   1. Zkontrolujte konfiguraci cloud-init, která byla předána CustomData: sudo cat /var/lib/waagent/ovf-env.xml | grep "<ns1:CustomData>"Použít hodnotu CustomData a potom pomocí base64 dekódování získat veřejné klíče, které jste nasadili: echo "<customData value>" | base64 -D

   2. Můžete také zkontrolovat Instance Meta datových služeb (IMDS) zobrazíte ssh veřejný klíč, který byl předán ssh veřejných klíčů vlastnost vytvořit VM: curl -H Metadata:true "http://169.254.169.254/metadata/instance/compute/publicKeys?api-version=2018-04-02&format=json"

Nápravě

Pokud zjistíte další certifikáty, které jste nechtěli nasazení modulu VM, můžete odebrat tyto smazáním odpovídajícího řádku ze souboru authorized_keys.

Spustit nápravu pomocí připojení k modulu VM interaktivně nebo přes více VMs pomocí rozšíření vlastních skriptů nebo SpustitPříkaz.

VMs, které jsou nasazeny pomocí rozšíření, které mají chránit nastavení nebo spravované identity

Použijte následující skript odebrat veřejné klíče z certifikátů, ve kterých byl zaveden pomocí rozšíření modulu VM, nebo spravované identity. To není odebrat klíče, které byly zadány při nasazení virtuálního počítače, nebo pokud modul VM byla zavedena s klíči k trezoru klíčů.

#!/bin/bash
set -e

# /var/lib/waagent has *.crt files that include the crt files corresponding to 
# the user provided public keys and one additional .crt file from MSI.
# This script converts the content of the .crt file into the ssh public key and
# remove it from the authorized_keys file
readarray -t CRT_FILES < <(grep -l -E "(Microsoft.ManagedIdentity|Windows Azure)" /var/lib/waagent/*.crt)
for ((i=0; i < ${#CRT_FILES[@]}; i++))
do
    PUBKEY=$(openssl x509 -in "${CRT_FILES[$i]}" -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8)
    sed -i -e "\@$PUBKEY@d" $HOME/.ssh/authorized_keys
Done 

Poté, co byl skript spuštěn, zkontrolujte soubor ssh/authorized_keys zajistit, že jsou k dispozici pouze známých veřejných klíčů.

VMs nasazena s tajemství trezoru klíčů

Chcete-li zjistit, zda byl přidán klíč, při nasazení pomocí trezoru klíčů klíč, postupujte takto:

1. Získat název trezor klíč certifikát, který jste nasadili pomocí modulu VM, zkontrolujte kód nasazení Az CLI nebo šablony ARM nebo spustit tuto Az CLI: az vm show --resource-group <resourceGroupName> --name <vmName> | grep certificateUrlOdpověď se zobrazí název certifikátu: "certificateUrl": "https://<keyVaultname>.vault.azure.net/secrets/<certName>/xxxxxxxxxxxxx"

2. Stažení certifikátu: az keyvault certificate download --vault-name <keyVaultName> --name <certName> --encoding PEM --file public.pem

3. Extrahuje veřejný klíč: openssl x509 -in public.pm -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8

4. Porovnáním výstupu z předchozího kroku na zbývající certifikáty v souboru ssh/authorized_keys. vi .ssh/authorized_keys file

Obrazy se systémem Ubuntu 18.04

Pokud chcete aktualizovat vlastní zdrojový obraz, musíte provést následující úpravy:

• Upravte následující soubor: /ETC/cloud/cloud.cfg.d/90-Azure.cfg

• Přidejte následující kód na konec souboru.

datasource:
   Azure:
     agent_command: [service, walinuxagent, start]

RHEL 7.4/7.5/7.6 a CentOS 7.6 obrázky

Pokud jste dříve vytvořili RHEL/CentOS obrázky pomocí následujících kroků (nebo podobnou metodou), je nutné aktualizovat zdrojový obraz, ze kterého byl vytvořen VMs. Následují další kroky, které jsou potřebné k přidání existující konfigurace VM obraz zdroj:

Krok 1

Upravte následující soubor:

/etc/cloud/cloud.cfg.d/91-azure_datasource.cfg

Na konec souboru přidejte následující řádky:

datasource:
   Azure:
     agent_command: [systemctl, start, waagent, --no-block]

Krok 2

Aktualizace konfigurace agenta následujícím způsobem:

cp /lib/systemd/system/waagent.service /etc/systemd/system/waagent.service
sed -i 's/After=network-online.target/WantedBy=cloud-init.service\\nAfter=network.service systemd-networkd-wait-online.service/g' /etc/systemd/system/waagent.service
systemctl daemon-reload

cloud-init balíčky

Všechny cloud-init balíčky, které zahrnují opravu jsou právě aktualizovány. Microsoft tento problém zkoumá a zveřejní další informace v tomto článku, jakmile budou k dispozici.