Adición de claves públicas SSH extrañas al archivo de claves autorizadas en la VM de Linux

Identificar

Para comprobar si tiene claves adicionales, revise el archivo de claves autorizadas (archivo vi.ssh/authorized_keys) para determinar si se han agregado claves adicionales que no tenía intención de incluir.

Es seguro eliminar manualmente cualquier clave pública SSH adicional que pueda haber sido agregada. Esto no afectará a las características que se implementan junto con la VM. Además, tampoco afectará al par de claves SSH especificado para la autenticación.

Si no sabe o no puede diferenciar qué claves públicas del archivo .ssh/authorized_keys ha especificado para la autenticación, siga estos pasos: 

1. Revise las plantillas de implementación:

   1. claves públicas SSH

   2. claves SSH en la configuración de cloud-init

2. Recupere las claves SSH implementadas en el momento de la creación de dentro de la VM, si tiene acceso a sudo/root. Para ello, siga estos pasos:

   1. Compruebe la configuración de cloud-init que se pasó en CustomData: sudo cat /var/lib/waagent/ovf-env.xml | grep "<ns1:CustomData>"
      Use el valor CustomData y, después, la descodificación Base64 para obtener las claves públicas que implementó: echo "<customData value>" | base64 -D

   2. Alternativamente, compruebe el servicio Instance Meta Data (IMDS) para ver la clave pública SSH que se pasó en la propiedad de la clave pública SSH de la creación de la VM: curl -H Metadata:true "http://169.254.169.254/metadata/instance/compute/publicKeys?api-version=2018-04-02&format=json"

Corregir

Si ha identificado certificados adicionales que no tenía intención de implementar en la VM, puede eliminarlos borrando la línea correspondiente del archivo authorized_keys.

Ejecute la corrección conectándose a la VM de forma interactiva, o utilice la extensión de script personalizado o RunCommand en varias VM.

VM implementadas con extensiones con configuración protegida o una identidad administrada

Use el siguiente script para eliminar las claves públicas de los certificados en los que se ha implementado la VM con extensiones o identidad administrada. Esta acción no eliminará las claves que se especificaron al implementar una VM, o si la VM se implementó con claves de Key Vault.

#!/bin/bash
set -e

# /var/lib/waagent has *.crt files that include the crt files corresponding to 
# the user provided public keys and one additional .crt file from MSI.
# This script converts the content of the .crt file into the ssh public key and
# remove it from the authorized_keys file
readarray -t CRT_FILES < <(grep -l -E "(Microsoft.ManagedIdentity|Windows Azure)" /var/lib/waagent/*.crt)
for ((i=0; i < ${#CRT_FILES[@]}; i++))
do
    PUBKEY=$(openssl x509 -in "${CRT_FILES[$i]}" -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8)
    sed -i -e "\@$PUBKEY@d" $HOME/.ssh/authorized_keys
Done 

Una vez ejecutado el script, compruebe el archivo ssh/authorized_keys para asegurarse de que solo están presentes las claves públicas conocidas.

VM implementadas con secretos de Key Vault

Para identificar si la clave se agregó al implementar con claves de Key Vault, siga estos pasos:

1. Obtenga el nombre del certificado de Key Vault que ha implementado con la VM, revise las plantillas de código de implementación Az CLI o ARM, o ejecute Az CLI:
     az vm show --resource-group <resourceGroupName> --name <vmName> | grep certificateUrl
   
   La respuesta mostrará el nombre del certificado:
     "certificateUrl": "https://<keyVaultname>.vault.azure.net/secrets/<certName>/xxxxxxxxxxxxx"

2. Descargue el certificado:
     az keyvault certificate download --vault-name <keyVaultName> --name <certName> --encoding PEM --file public.pem

3. Extraiga la clave pública:
     openssl x509 -in public.pm -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8

4. Compare la salida del paso anterior con los certificados restantes del archivo ssh/authorized_keys.
     vi .ssh/authorized_keys file

Imágenes de Ubuntu 18.04

Para actualizar una imagen personalizada de origen, debe realizar las siguientes modificaciones:

• Edite el siguiente archivo:
  
  /etc/cloud/cloud.cfg.d/90-azure.cfg

• Agregue el código siguiente al final del archivo.

datasource:
   Azure:
     agent_command: [service, walinuxagent, start]

Imágenes de RHEL 7.4/7.5/7.6 y CentOS 7.6

Si ha creado previamente las imágenes de RHEL o CentOS con estos pasos (o un método similar), debe actualizar la imagen de origen a partir de la cual creó las VM. Los siguientes son pasos adicionales que se requieren para agregar a la configuración de la imagen de VM de origen existente:

Paso 1 

Edite el siguiente archivo:

/etc/cloud/cloud.cfg.d/91-azure_datasource.cfg 

Agregue las líneas siguientes al final del archivo: 

datasource:
   Azure:
     agent_command: [systemctl, start, waagent, --no-block]

Paso 2

Actualice la configuración del agente como se muestra a continuación:

cp /lib/systemd/system/waagent.service /etc/systemd/system/waagent.service
sed -i 's/After=network-online.target/WantedBy=cloud-init.service\\nAfter=network.service systemd-networkd-wait-online.service/g' /etc/systemd/system/waagent.service
systemctl daemon-reload

paquetes de cloud-init

Todos los paquetes de cloud-init que incluyen una corrección están en proceso de actualización. Microsoft está investigando este problema y publicará más información en este artículo cuando tenga más datos a su disposición.