Liigse SSH avalikud võtmed on lubatud võtmete faili Linux VM

Tehke kindlaks

Kontrollige, kas teil on rohkem võtmeid, vaadake lubatud võtmed faili (vi .ssh/authorized_keys faili) et teha kindlaks, kas rohkem võtmeid, mida te ei kavatsenud hulka on lisatud.

See on ohutu käsitsi eemaldamine täiendavad ssh avaliku võtmed mis neisse lisatud. See ei mõjuta funktsioonid, mida kasutatakse koos VM. Samuti ei mõjuta teie määratud SSH võti paari autentimiseks.

Kui ei tea või ei saa eristada avaliku klahve .ssh/authorized_keys faili määratud autentimist, toimige järgmiselt.

1. Tutvuge juurutamine mallid.

   1. SSH avalikud võtmed

   2. SSH võtmed pilve käivitamise konfigureerimine

2. Too on juurutatud ssh võtmed loomise ajal sees VM-i, kui teil on juurdepääs sudo/root. Selleks toimige järgmiselt.

   1. Kontrollige edastati CustomData pilve käivitamise konfiguratsiooni. sudo cat /var/lib/waagent/ovf-env.xml | grep "<ns1:CustomData>"CustomData väärtus ja seejärel kasutage base64 dekodeerida avaliku võtme, mida olete juurutanud saamiseks: echo "<customData value>" | base64 -D

   2. Teise vaadata selle eksemplari Meta Data Service (IMDS) näha selle ssh avaliku võtme, mis edastati on ssh avaliku võtme atribuudi VM luua: curl -H Metadata:true "http://169.254.169.254/metadata/instance/compute/publicKeys?api-version=2018-04-02&format=json"

Migreerimisel ning probleemide lahendamisel

Kui te olete kindlaks teinud täiendavaid serdid, mida te ei kavatsenud VM juurutada, võite eemaldada need vastava rea authorized_keys faili kustutamine.

Käivitage puhastamiseks, ühendades VM interaktiivselt või kasutada kohandatud skripti laiendiga või selle RunCommand üle mitme VMs.

VM laiendeid, mis on kaitstud sätted või hallatud identiteedi abil

Järgmise skripti abil eemaldada avalike võtmete sertide VM võeti kasutusele laiendiga või hallatud identiteedi. See on ei Eemalda võtmed VM juurutamisel või VM võeti kasutusele võti hoidla võtmed pole määratud.

#!/bin/bash
set -e

# /var/lib/waagent has *.crt files that include the crt files corresponding to 
# the user provided public keys and one additional .crt file from MSI.
# This script converts the content of the .crt file into the ssh public key and
# remove it from the authorized_keys file
readarray -t CRT_FILES < <(grep -l -E "(Microsoft.ManagedIdentity|Windows Azure)" /var/lib/waagent/*.crt)
for ((i=0; i < ${#CRT_FILES[@]}; i++))
do
    PUBKEY=$(openssl x509 -in "${CRT_FILES[$i]}" -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8)
    sed -i -e "\@$PUBKEY@d" $HOME/.ssh/authorized_keys
Done 

Pärast skripti käitamist, kontrollige ssh/authorized_keys faili tagada ainult tuntud avaliku klahvid on olemas.

VM juurutanud võti hoidla saladused

Kas võtme lisati võti hoidla võtmed juurutamisel tuvastamiseks toimige järgmiselt.

1. Saada võti hoidla serti, mida saate juurutada, kasutades VM nime vaadata juurutamine koodi Az CLI või ARM mallid või käivitada selle Az CLI: az vm show --resource-group <resourceGroupName> --name <vmName> | grep certificateUrlVastus näitab serdi nimi: "certificateUrl": "https://<keyVaultname>.vault.azure.net/secrets/<certName>/xxxxxxxxxxxxx"

2. Laadige alla sert. az keyvault certificate download --vault-name <keyVaultName> --name <certName> --encoding PEM --file public.pem

3. Eraldada avaliku võtme: openssl x509 -in public.pm -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8

4. Võrrelge väljund eelmises etapis ülejäänud certs ssh/authorized_keys faili. vi .ssh/authorized_keys file

Ubuntu 18.04 pildid

Kohandatud pildi allikas värskendamiseks peate tegema järgmised muudatused:

• Redigeeri järgmine fail: /etc/Cloud/Cloud.cfg.d/90-Azure.cfg

• Lisage järgmine kood faili lõppu.

datasource:
   Azure:
     agent_command: [service, walinuxagent, start]

RHEL 7.4/7.5/7.6 ja CentOS 7,6 pildid

Kui olete varem loonud RHEL/CentOS pildid, kasutades järgmist (või sarnase meetodiga), peate värskendama allikas pildi, mille lõite VMs. Meetmeid, mida on vaja lisada oma olemasolevat VM pilt konfiguratsioon on järgmised:

1. samm

Redigeeri järgmine fail:

/etc/cloud/cloud.cfg.d/91-azure_datasource.cfg

Lisage faili lõppu järgmised read:

datasource:
   Azure:
     agent_command: [systemctl, start, waagent, --no-block]

2. etapp

Update Agendi konfiguratsiooni järgmiselt:

cp /lib/systemd/system/waagent.service /etc/systemd/system/waagent.service
sed -i 's/After=network-online.target/WantedBy=cloud-init.service\\nAfter=network.service systemd-networkd-wait-online.service/g' /etc/systemd/system/waagent.service
systemctl daemon-reload

pilve-käivitamise paketid

Kõik pilve käivitamise paketid, mis sisaldavad lahendus on värskendatud. Microsoft uurib probleemi ja lisab selles artiklis on saadaval.