Nebitna zadnja SSH javne ključeve dodati datoteku ovlašteni tipke na Linux VM

Prepoznavanje

Da biste provjerili imate li dodatnih ključeva, pregledajte datoteke ovlaštenog tipke (smjer .ssh authorized_keys datoteka) da biste odredili da li su dodani dodatnih ključeva koji niste namjeravali uključiti.

Je sigurno ručno Ukloni dodatne ssh javno tipke koje možda dodani. To će ne utječu i na značajke koje su uvedene s na VM. Također, neće utjecati par vaše navedeni SSH ključa za provjeru autentičnosti.

Ako ne znate ili ne može razlikovati javne tipke u navedenu datoteku .ssh authorized_keys za provjeru autentičnosti, slijedite ove korake:

1. Pregledajte uvođenja predložaka:

   1. ssh javnih ključeva

   2. ssh tipke u konfiguraciji init oblaka

2. Dohvaćanje na distribuiranih ssh tipki u trenutku stvaranja iz unutar VM, ako imate pristup sudo korijen. Da biste to učinili, slijedite ove korake:

   1. Provjerite konfiguraciju oblak inicijalizacije koji je proslijeđen CustomData: sudo cat /var/lib/waagent/ovf-env.xml | grep "<ns1:CustomData>"Koristite vrijednost CustomData i zatim dekodirati base64 koristite da biste dobili javni ključ možete uvesti: echo "<customData value>" | base64 -D

   2. Umjesto toga, provjerite na instancu Meta podataka servisa (IMDS) da biste vidjeli na ssh javni ključ koji je proslijeđen u u ssh javnog ključa svojstvo VM stvoriti: curl -H Metadata:true "http://169.254.169.254/metadata/instance/compute/publicKeys?api-version=2018-04-02&format=json"

Remediate

Ako identificiranja Dodatni certifikati koje niste namjeravali uvođenje u VM, možete ukloniti te po brisanje odgovarajućem retku iz datoteke authorized_keys.

Pokrenite u olakšava povezivanjem na VM interaktivno ili koristiti prilagođene skripte proširenje ili na RunCommand preko više VMs.

VMs implementirati pomoću proširenja zaštićene postavke ili upravljani identitet

Koristite sljedeću skriptu za uklanjanje javnih ključeva iz potvrde u kojem se VM je uveden s nastavcima ili upravljani identitet. To će ne Ukloni ključeve koje su navedeni kada uveden na VM ili na VM je uveden s tipkama ključ sef.

#!/bin/bash
set -e

# /var/lib/waagent has *.crt files that include the crt files corresponding to 
# the user provided public keys and one additional .crt file from MSI.
# This script converts the content of the .crt file into the ssh public key and
# remove it from the authorized_keys file
readarray -t CRT_FILES < <(grep -l -E "(Microsoft.ManagedIdentity|Windows Azure)" /var/lib/waagent/*.crt)
for ((i=0; i < ${#CRT_FILES[@]}; i++))
do
    PUBKEY=$(openssl x509 -in "${CRT_FILES[$i]}" -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8)
    sed -i -e "\@$PUBKEY@d" $HOME/.ssh/authorized_keys
Done 

Nakon što je pokrenuti skriptu, provjerite datoteku ssh/authorized_keys da biste osigurali prisutni su samo poznate javnih ključeva.

VMs uveden tajne sef ključ

Da biste identificirali li ključ je dodan kada uveden s tipkama sef ključ, slijedite ove korake:

1. Dobivanje naziva certifikat sef ključ koji implementirati pomoću na VM, pregledajte uvođenja kod Az CLI za Defragmentaciju ili ARM predlošci ili pokrenuti ovaj Az CLI za Defragmentaciju: az vm show --resource-group <resourceGroupName> --name <vmName> | grep certificateUrlOdgovor će prikazati naziv certifikata: "certificateUrl": "https://<keyVaultname>.vault.azure.net/secrets/<certName>/xxxxxxxxxxxxx"

2. Preuzmite certifikat: az keyvault certificate download --vault-name <keyVaultName> --name <certName> --encoding PEM --file public.pem

3. Izdvoji javni ključ: openssl x509 -in public.pm -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8

4. Usporedba izlaza iz prethodni korak preostale certifikati o u datoteci ssh/authorized_keys. vi .ssh/authorized_keys file

Ubuntu 18.04 slike

Da biste ažurirali izvor prilagođenu sliku, morate napraviti sljedeće izmjene:

• Uređivanje sljedeće datoteke: /etc/Cloud/Cloud.CFG.d/90-Azure.CFG

• Dodajte sljedeći kôd kraj datoteke.

datasource:
   Azure:
     agent_command: [service, walinuxagent, start]

RHEL 7.4/7.5/7.6 i CentOS 7.6 slike

Ako ste prethodno stvorili RHEL CentOS slike korištenjem ove korake (ili sličan način), morate ažurirati izvorne slike iz kojeg je kreirana u VMs. Dodatne korake potrebne za dodavanje postojeće konfiguracija izvora VM slike su:

Korak 1

Uređivanje sljedeće datoteke:

/etc/cloud/cloud.cfg.d/91-azure_datasource.cfg

Dodajte sljedeće retke na kraj datoteke:

datasource:
   Azure:
     agent_command: [systemctl, start, waagent, --no-block]

Korak 2

Ažuriranja konfiguracija Agent kako slijedi:

cp /lib/systemd/system/waagent.service /etc/systemd/system/waagent.service
sed -i 's/After=network-online.target/WantedBy=cloud-init.service\\nAfter=network.service systemd-networkd-wait-online.service/g' /etc/systemd/system/waagent.service
systemctl daemon-reload

Oblak init paketi

Sve oblak init pakete koji uključuju popravak su upravo ažurira. Microsoft ispituje taj problem i knjižiti dodatne informacije u ovom članku kada informacije postane dostupna.