שאינם שייכים SSH מפתחות ציבוריים נוסף לקובץ מורשה מפתחות ב- Linux VM

זיהוי

כדי לבדוק אם יש לך מפתחות נוספים, סקור את מפתחות מורשים (קובץ vi .ssh/authorized_keys) כדי לקבוע אם כל מפתחות נוספים שלא היה בכוונתך לכלול נוספו.

היא בטוחה באופן ידני ייתכן הסרה נוספות ssh public מקשים נוספו. זה לא משפיע על התכונות הנפרסים יחד עם ה-VM. כמו כן, הדבר לא ישפיע שלך זוג המפתחות SSH שצוין עבור אימות.

אם לא ידוע או לא ניתן להבחין אילו מפתחות ציבוריים בקובץ .ssh/authorized_keys שציינת עבור אימות, בצע את הפעולות הבאות:

1. סקור את התבניות הפריסה שלך:

   1. ssh מפתחות ציבוריים

   2. ssh מפתחות בתצורת אתחול הענן

2. אחזר שנפרס ssh מפתחות בזמן היצירה מתוך בתוך ה-VM, אם יש לך גישה sudo/בסיס. לשם כך, בצע את הפעולות הבאות:

   1. בדוק את תצורת אתחול הענן שהועברה CustomData: sudo cat /var/lib/waagent/ovf-env.xml | grep "<ns1:CustomData>"השתמש בערך CustomData ופענוח מכן base64 השתמש כדי לקבל את מפתחות ציבוריים אשר פרסת: echo "<customData value>" | base64 -D

   2. לחלופין, בדוק את מופע המטה נתונים שירות (IMDS) כדי לראות ssh מפתח ציבורי שהועברה ssh מאפיין מפתח ציבורי של יצירת ה-VM: curl -H Metadata:true "http://169.254.169.254/metadata/instance/compute/publicKeys?api-version=2018-04-02&format=json"

תיקון

אם זיהית אישורים נוספים אשר לא התכוונת כדי לפרוס את ה-VM, באפשרותך להסיר אלה על-ידי מחיקת שורת המתאימה מתוך קובץ ה-authorized_keys.

להפעיל את התיקון על-ידי התחברות ל- VM באופן אינטראקטיבי, או להשתמש בסיומת קובץ Script מותאם אישית או RunCommand על-פני סוגי מרובים.

סוגי שנפרסו באמצעות הרחבות הגנת הגדרות או זהות מנוהלת

היעזר בתסריט הבא כדי להסיר מפתחות ציבוריים מאישורים שבו ה-VM נפרס עם הרחבות או מנוהל זהות. פעולה זו לא מפתחות הסרה שצוינו בעת פריסת של VM, או אם ה-VM נפרס עם מפתחות מפתח מאגר האישורים.

#!/bin/bash
set -e

# /var/lib/waagent has *.crt files that include the crt files corresponding to 
# the user provided public keys and one additional .crt file from MSI.
# This script converts the content of the .crt file into the ssh public key and
# remove it from the authorized_keys file
readarray -t CRT_FILES < <(grep -l -E "(Microsoft.ManagedIdentity|Windows Azure)" /var/lib/waagent/*.crt)
for ((i=0; i < ${#CRT_FILES[@]}; i++))
do
    PUBKEY=$(openssl x509 -in "${CRT_FILES[$i]}" -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8)
    sed -i -e "\@$PUBKEY@d" $HOME/.ssh/authorized_keys
Done 

לאחר הפעלת קובץ ה-script, בדוק את הקובץ ssh/authorized_keys כדי להבטיח את שהמפתח הציבורי מוכרים רק קיימים.

סוגי לפרוס עם סודות מאגר האישורים של מפתח

כדי לזהות אם המפתח נוספה בעת פריסת מפתחות של מפתח מאגר האישורים, בצע את הפעולות הבאות:

1. קבל את השם של האישור מאגר האישורים של מפתח אשר פרסת באמצעות ה-VM, לסקור קוד פריסה Az CLI או תבניות ARM או להפעיל CLI Az זה: az vm show --resource-group <resourceGroupName> --name <vmName> | grep certificateUrlהתגובה יציג את שם אישור: "certificateUrl": "https://<keyVaultname>.vault.azure.net/secrets/<certName>/xxxxxxxxxxxxx"

2. הורד את האישור: az keyvault certificate download --vault-name <keyVaultName> --name <certName> --encoding PEM --file public.pem

3. לחלץ את מפתח ציבורי: openssl x509 -in public.pm -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8

4. השווה את הפלט מהשלב הקודם כדי אישורי הנותרים בקובץ ה-ssh/authorized_keys. vi .ssh/authorized_keys file

תמונות Ubuntu 18.04

כדי לעדכן תמונה מותאמת אישית של המקור, עליך לבצע את השינויים הבאים:

• ערוך את הקובץ הבא: /etc/cloud/cloud.cfg.d/90-azure.cfg

• הוסף את הקוד הבא לסוף הקובץ.

datasource:
   Azure:
     agent_command: [service, walinuxagent, start]

RHEL 7.4/7.5/7.6 ותמונות CentOS 7.6

אם יצרת בעבר את התמונות RHEL/CentOS באמצעות הפעולות הבאות (או באמצעות שיטה דומה), עליך לעדכן את תמונת המקור שממנה יצרת את סוגי. להלן השלבים הנוספים הנדרשים כדי להוסיף את התצורה הקיימת של התמונה VM מקור:

שלב 1

ערוך את הקובץ הבא:

/etc/cloud/cloud.cfg.d/91-azure_datasource.cfg

הוסף את השורות הבאות לסוף הקובץ:

datasource:
   Azure:
     agent_command: [systemctl, start, waagent, --no-block]

שלב 2

עדכן את התצורה של סוכן כדלקמן:

cp /lib/systemd/system/waagent.service /etc/systemd/system/waagent.service
sed -i 's/After=network-online.target/WantedBy=cloud-init.service\\nAfter=network.service systemd-networkd-wait-online.service/g' /etc/systemd/system/waagent.service
systemctl daemon-reload

חבילות אתחול הענן

כל החבילות אתחול הענן הכוללים תיקון נמצאות בתהליך עדכון. Microsoft בודקת את הבעיה ובכוונתה לפרסם מידע נוסף במאמר זה ברגע שיהיה זמין.