Zusätzliche öffentliche SSH-Schlüssel werden auf Linux-VM zur Datei „authorized_keys“ hinzugefügt

Identifizieren

Um festzustellen, ob zusätzliche Schlüssel vorhanden sind, überprüfen Sie die Datei mit den autorisierten Schlüsseln (vi .ssh/authorized_keys) auf zusätzliche Schlüssel, die unerwartet hinzugefügt wurden.

Zusätzliche öffentliche SSH-Schlüssel, die hinzugefügt wurden, können problemlos manuell entfernt werden. Features, die zusammen mit der VM bereitgestellt werden, sind hiervon nicht betroffen. Ihr für die Authentifizierung angegebenes SSH-Schlüsselpaar ist ebenfalls nicht davon betroffen.

Wenn Sie nicht wissen oder nicht feststellen können, welche öffentlichen Schlüssel Sie in der Datei „.ssh/authorized_keys“ für die Authentifizierung angegeben haben, gehen Sie folgendermaßen vor: 

1. Prüfen Sie Ihre Bereitstellungsvorlagen:

   1. Öffentliche SSH-Schlüssel

   2. SSH-Schlüssel in der Cloudinitialisierungskonfiguration

2. Rufen Sie die bei der Erstellung bereitgestellten SSH-Schlüssel in der VM ab, falls Sie Sudo/Root-Zugriff haben. Gehen Sie dazu wie folgt vor:

   1. Prüfen Sie die Cloudinitialisierungskonfiguration, die in „CustomData“ übergeben wurde: sudo cat /var/lib/waagent/ovf-env.xml | grep "<ns1:CustomData>"
      Verwenden Sie den „CustomData value“, und rufen Sie anschließend mithilfe der Base64-Decodierung die von Ihnen bereitgestellten öffentlichen Schlüssel ab: echo "<customData value>" | base64 -D

   2. Überprüfen Sie alternativ den Instance Meta Data Service (IMDS), um den öffentlichen SSH-Schlüssel anzuzeigen, der in der Eigenschaft für den öffentlichen SSH-Schlüssel der VM-Erstellung übergeben wurde: curl -H Metadata:true "http://169.254.169.254/metadata/instance/compute/publicKeys?api-version=2018-04-02&format=json"

Korrigieren

Wenn Sie zusätzliche Zertifikate festgestellt haben, die Sie nicht für die VM bereitstellen möchten, können Sie diese entfernen, indem Sie in der Datei „authorized_keys“ die entsprechende Zeile löschen.

Führen Sie die Korrektur aus, indem Sie eine interaktive Verbindung mit der VM herstellen, oder verwenden Sie die benutzerdefinierte Skripterweiterung oder „AusführenBefehl“ für mehrere VMs.

Mithilfe von Erweiterungen bereitgestellte VMs, die geschützte Einstellungen oder eine verwaltete Identität aufweisen

Entfernen Sie mithilfe des folgenden Skripts öffentliche Schlüssel in Zertifikaten, in denen die VM mit Erweiterungen oder einer verwalteten Identität bereitgestellt wurde. Schlüssel, die beim Bereitstellen einer VM angegeben wurden, oder eine mit Key Vault-Schlüsseln bereitgestellte VM werden hiermit nicht entfernt.

#!/bin/bash
set -e

# /var/lib/waagent has *.crt files that include the crt files corresponding to 
# the user provided public keys and one additional .crt file from MSI.
# This script converts the content of the .crt file into the ssh public key and
# remove it from the authorized_keys file
readarray -t CRT_FILES < <(grep -l -E "(Microsoft.ManagedIdentity|Windows Azure)" /var/lib/waagent/*.crt)
for ((i=0; i < ${#CRT_FILES[@]}; i++))
do
    PUBKEY=$(openssl x509 -in "${CRT_FILES[$i]}" -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8)
    sed -i -e "\@$PUBKEY@d" $HOME/.ssh/authorized_keys
Done 

Vergewissern Sie sich nach dem Ausführen des Skripts, dass in der Datei „ssh/authorized_keys“ nur die bekannten öffentlichen Schlüssel vorhanden sind.

Mit Key Vault-Schlüsseln bereitgestellte VMs

Um festzustellen, ob der Schlüssel bei der Bereitstellung mit Key Vault-Schlüsseln hinzugefügt wurde, gehen Sie folgendermaßen vor:

1. Rufen Sie den Namen des Key Vault-Zertifikats ab, das Sie mithilfe der VM bereitgestellt haben, überprüfen Sie den Bereitstellungscode der az-CLI oder die ARM-Vorlagen, oder führen Sie diese az-CLI aus:
     az vm show --resource-group <resourceGroupName> --name <vmName> | grep certificateUrl
   
   Die Antwort enthält den Zertifikatnamen:
     "certificateUrl": "https://<keyVaultname>.vault.azure.net/secrets/<certName>/xxxxxxxxxxxxx"

2. Laden Sie das Zertifikat herunter:
     az keyvault certificate download --vault-name <keyVaultName> --name <certName> --encoding PEM --file public.pem

3. Extrahieren Sie den öffentlichen Schlüssel:
     openssl x509 -in public.pm -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8

4. Vergleichen Sie die Ausgabe aus dem vorherigen Schritt mit den restlichen Zertifikaten in der Datei „ssh/authorized_keys“.
     vi .ssh/authorized_keys file

Ubuntu 18.04-Images

Sie müssen die folgenden Änderungen vornehmen, um ein benutzerdefiniertes Quellimage zu aktualisieren:

• Bearbeiten Sie die folgende Datei:
  
  /etc/cloud/cloud.cfg.d/90-azure.cfg

• Fügen Sie am Dateiende den folgenden Code hinzu.

datasource:
   Azure:
     agent_command: [service, walinuxagent, start]

RHEL 7.4/7.5/7.6- und CentOS 7.6-Images

Wenn Sie zuvor die RHEL/CentOS-Images mithilfe dieser Schritte (oder einer ähnlichen Methode) hinzugefügt haben, müssen Sie das Quellimage aktualisieren, von dem Sie die VMs erstellt haben. Die folgenden zusätzlichen Schritte sind zum Hinzufügen zu Ihrer vorhandenen VM-Quellimagekonfiguration erforderlich:

Schritt 1 

Bearbeiten Sie die folgende Datei:

/etc/cloud/cloud.cfg.d/91-azure_datasource.cfg 

Fügen Sie am Dateiende die folgenden Zeilen hinzu: 

datasource:
   Azure:
     agent_command: [systemctl, start, waagent, --no-block]

Schritt 2

Aktualisieren Sie die Agent-Konfiguration wie folgt:

cp /lib/systemd/system/waagent.service /etc/systemd/system/waagent.service
sed -i 's/After=network-online.target/WantedBy=cloud-init.service\\nAfter=network.service systemd-networkd-wait-online.service/g' /etc/systemd/system/waagent.service
systemctl daemon-reload

Cloudinitialisierungspakete

Alle Cloudinitialisierungspakete (cloud-init), die einen Fix enthalten, werden aktualisiert. Dieses Problem wird derzeit von Microsoft untersucht. Entsprechende Informationen werden in der Microsoft Knowledge Base veröffentlicht, sobald sie verfügbar sind.