Ajout de clés publiques SSH superflues au fichier des clés autorisées sur une machine virtuelle Linux

Identification

Pour vérifier la présence de clés supplémentaires, consultez le fichier des clés autorisées (vi .ssh/authorized_keys file) pour déterminer si des clés supplémentaires que vous n’aviez pas l’intention d’inclure ont été ajoutées.

Vous pouvez supprimer manuellement les clés publiques SSH supplémentaires éventuellement ajoutées en toute sécurité. Cette suppression n’aura pas d’impact sur les fonctionnalités déployées avec la machine virtuelle. De plus, elle ne perturbera pas la paire de clés SSH que vous avez spécifiée à des fins d’authentification.

Si vous ne connaissez pas ou ne pouvez pas déterminer les clés publiques du fichier .ssh/authorized_keys spécifiées à des fins d’authentification, procédez comme suit :

1. Vérifiez vos modèles de déploiement :

   1. Clés publiques SSH

   2. Clés SSH dans la configuration cloud-init

2. Récupérez les clés SSH déployées lors de la création depuis la machine virtuelle, si vous disposez d’un accès sudo/root. Pour cela, procédez comme suit :

   1. Vérifiez que la configuration cloud-init a été transmise dans CustomData : sudo cat /var/lib/waagent/ovf-env.xml | grep "<ns1:CustomData>"
      Utilisez la valeur CustomData puis le décodage base64 pour obtenir les clés publiques déployées : echo "<customData value>" | base64 -D

   2. Vous pouvez également consulter le service IMDS (Instance Meta Data Service) pour connaître la clé publique SSH transmise dans la propriété de clé publique SSH lors de la création de la machine virtuelle : curl -H Metadata:true "http://169.254.169.254/metadata/instance/compute/publicKeys?api-version=2018-04-02&format=json"

Correction

Si vous avez identifié des certificats supplémentaires que vous n’aviez pas l’intention de déployer sur la machine virtuelle, vous pouvez les supprimer en effaçant la ligne correspondante dans le fichier authorized_keys.

Effectuez la correction en vous connectant à la machine virtuelle de manière interactive ou utilisez l’extension de script personnalisé ou RunCommand sur plusieurs machines virtuelles.

Machines virtuelles déployées à l’aide d’extensions disposant de paramètres protégés ou d’une identité gérée

Utilisez le script ci-dessous pour supprimer les clés publiques des certificats dans lesquels la machine virtuelle a été déployée avec des extensions ou une identité gérée. Cette opération ne supprime pas les clés spécifiées lors du déploiement d’une machine virtuelle ou si la machine virtuelle a été déployée avec des clés Key Vault.

#!/bin/bash
set -e

# /var/lib/waagent has *.crt files that include the crt files corresponding to 
# the user provided public keys and one additional .crt file from MSI.
# This script converts the content of the .crt file into the ssh public key and
# remove it from the authorized_keys file
readarray -t CRT_FILES < <(grep -l -E "(Microsoft.ManagedIdentity|Windows Azure)" /var/lib/waagent/*.crt)
for ((i=0; i < ${#CRT_FILES[@]}; i++))
do
    PUBKEY=$(openssl x509 -in "${CRT_FILES[$i]}" -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8)
    sed -i -e "\@$PUBKEY@d" $HOME/.ssh/authorized_keys
Done 

Après avoir exécuté le script, consultez le fichier .ssh/authorized_keys pour vérifier que seules les clés publiques connues sont présentes.

Machines virtuelles déployées avec des secrets Key Vault

Pour déterminer si la clé a été ajoutée lors du déploiement avec des clés Key Vault, procédez comme suit :

1. Obtenez le nom du certificat Key Vault déployé à l’aide de la machine virtuelle, vérifiez les modèles ARM ou Az CLI du code de déploiement ou exécutez cette interface CLI Az :
     az vm show --resource-group <resourceGroupName> --name <vmName> | grep certificateUrl
   
   La réponse affiche le nom du certificat :
     "certificateUrl": "https://<keyVaultname>.vault.azure.net/secrets/<certName>/xxxxxxxxxxxxx"

2. Téléchargez le certificat :
     az keyvault certificate download --vault-name <keyVaultName> --name <certName> --encoding PEM --file public.pem

3. Extrayez la clé publique :
     openssl x509 -in public.pm -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8

4. Comparez le résultat de l’étape précédente aux certificats restants dans le fichier .ssh/authorized_keys.
     vi .ssh/authorized_keys file

Images Ubuntu 18.04

Pour mettre à jour une image personnalisée source, vous devez apporter les modifications suivantes :

• Modifiez le fichier suivant :
  
  /etc/cloud/cloud.cfg.d/90-azure.cfg

• Ajoutez le code suivant à la fin du fichier :

datasource:
   Azure:
     agent_command: [service, walinuxagent, start]

Images RHEL 7.4/7.5/7.6 et CentOS 7.6

Si vous avez déjà créé les images RHEL/CentOS à l’aide de cette procédure (ou d’une méthode similaire), vous devez mettre à jour l’image source à partir de laquelle vous avez créé les machines virtuelles. Vous devez ajouter les étapes supplémentaires ci-dessous à votre configuration d’image de machine virtuelle source existante :

Étape 1

Modifiez le fichier suivant :

/etc/cloud/cloud.cfg.d/91-azure_datasource.cfg 

Ajoutez les lignes suivantes à la fin du fichier :

datasource:
   Azure:
     agent_command: [systemctl, start, waagent, --no-block]

Étape 2

Mettez à jour la configuration de l’Agent comme suit :

cp /lib/systemd/system/waagent.service /etc/systemd/system/waagent.service
sed -i 's/After=network-online.target/WantedBy=cloud-init.service\\nAfter=network.service systemd-networkd-wait-online.service/g' /etc/systemd/system/waagent.service
systemctl daemon-reload

Packages cloud-init

Tous les packages cloud-init qui incluent un correctif font actuellement l’objet d’une mise à jour. Microsoft étudie actuellement ce problème et publiera des informations supplémentaires dans cet article dès qu’elles seront disponibles.