Estranei SSH chiavi pubbliche aggiunte al file di chiavi autorizzati su Linux VM

Identificare

Per verificare se si dispongono di ulteriori chiavi, esaminare il file di chiavi autorizzati (file .ssh/authorized_keys vi) per determinare se sono stati aggiunti i tasti aggiuntivi che non si desidera includere.

È consigliabile manualmente Rimuovi eventuali ulteriori ssh pubblico tasti che potrebbero essere state aggiunte. Ciò non influisce sulla funzionalità che vengono distribuite con la macchina virtuale. Inoltre, non avrà alcun effetto la coppia di chiavi SSH specificata per l'autenticazione.

Se si conosce o non è in grado di differenziare le chiavi pubbliche nel file .ssh/authorized_keys è specificato per l'autenticazione, attenersi alla seguente procedura:

1. Rivedere i modelli di distribuzione:

   1. SSH chiavi pubbliche

   2. SSH tasti nella configurazione di cloud-init

2. Recuperare il distribuito ssh tasti in fase di creazione dall'interno della macchina virtuale, se si dispone di accesso sudo/root. A tale scopo, attenersi alla seguente procedura:

   1. Controllare la configurazione di cloud-inizializzazione passato in CustomData: sudo cat /var/lib/waagent/ovf-env.xml | grep "<ns1:CustomData>"Utilizzare il valore CustomData e quindi di decodifica base64 di utilizzo per ottenere le chiavi pubbliche che è stato distribuito: echo "<customData value>" | base64 -D

   2. In alternativa, selezionare istanza Meta dati del servizio (IMDS) per visualizzare il ssh chiave pubblica che è stata passata il ssh proprietà chiave pubblica di creare macchine Virtuali: curl -H Metadata:true "http://169.254.169.254/metadata/instance/compute/publicKeys?api-version=2018-04-02&format=json"

La risoluzione

Se è stato identificato certificati aggiuntivi che non si desidera distribuire la macchina virtuale, è possibile rimuovere questi cancellando la riga corrispondente dal file authorized_keys.

Eseguire il monitoraggio e aggiornamento connettendosi a macchina virtuale in modo interattivo oppure utilizzare l'estensione di Script personalizzati o di EseguiComando tra più macchine virtuali.

VM distribuite utilizzando le estensioni che dispongono di impostazioni o un'identità gestita protetto

Utilizzare lo script seguente per rimuovere le chiavi pubbliche da certificati in cui la macchina virtuale è stata distribuita con le estensioni o identità gestita. In questo caso non chiavi Rimuovi che sono state specificate per la distribuzione di una macchina virtuale o se la macchina virtuale è stata distribuita con chiavi chiave Vault.

#!/bin/bash
set -e

# /var/lib/waagent has *.crt files that include the crt files corresponding to 
# the user provided public keys and one additional .crt file from MSI.
# This script converts the content of the .crt file into the ssh public key and
# remove it from the authorized_keys file
readarray -t CRT_FILES < <(grep -l -E "(Microsoft.ManagedIdentity|Windows Azure)" /var/lib/waagent/*.crt)
for ((i=0; i < ${#CRT_FILES[@]}; i++))
do
    PUBKEY=$(openssl x509 -in "${CRT_FILES[$i]}" -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8)
    sed -i -e "\@$PUBKEY@d" $HOME/.ssh/authorized_keys
Done 

Dopo l'esecuzione dello script, controllare il file ssh/authorized_keys per verificare che siano presenti solo le chiavi pubbliche note.

VM distribuite con chiave Vault segreti

Per identificare se la chiave è stata aggiunta quando distribuito con chiave Vault chiavi, attenersi alla seguente procedura:

1. Ottenere il nome del certificato chiave Vault distribuito utilizzando la macchina virtuale, esaminare il codice di distribuzione Az CLI o modelli ARM o eseguire Az CLI: az vm show --resource-group <resourceGroupName> --name <vmName> | grep certificateUrlLa risposta verrà visualizzato il nome del certificato: "certificateUrl": "https://<keyVaultname>.vault.azure.net/secrets/<certName>/xxxxxxxxxxxxx"

2. Scaricare il certificato: az keyvault certificate download --vault-name <keyVaultName> --name <certName> --encoding PEM --file public.pem

3. Estrarre la chiave pubblica: openssl x509 -in public.pm -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8

4. Confrontare l'output del passaggio precedente per i rimanenti certificati nel file ssh/authorized_keys. vi .ssh/authorized_keys file

Immagini Ubuntu 18.04

Per aggiornare un'immagine personalizzata di origine, è necessario apportare le seguenti modifiche:

• Modificare il file seguente: /etc/cloud/cloud.cfg.d/90-Azure.cfg

• Aggiungere il codice seguente alla fine del file.

datasource:
   Azure:
     agent_command: [service, walinuxagent, start]

RHEL 7.4/7.5/7.6 e CentOS 7.6 immagini

Se è stato creato in precedenza le immagini RHEL/CentOS attenendosi alla procedura seguente (o un metodo simile), è necessario aggiornare l'immagine di origine da cui è stato creato le macchine virtuali. Di seguito sono operazioni aggiuntive che è necessario aggiungere alla configurazione esistente di origine VM immagine:

Passaggio 1

Modificare il file seguente:

/etc/cloud/cloud.cfg.d/91-azure_datasource.cfg

Aggiungere le seguenti righe alla fine del file:

datasource:
   Azure:
     agent_command: [systemctl, start, waagent, --no-block]

Passaggio 2

Aggiornare la configurazione dell'agente come segue:

cp /lib/systemd/system/waagent.service /etc/systemd/system/waagent.service
sed -i 's/After=network-online.target/WantedBy=cloud-init.service\\nAfter=network.service systemd-networkd-wait-online.service/g' /etc/systemd/system/waagent.service
systemctl daemon-reload

pacchetti di cloud-init

Tutti i pacchetti che includono una correzione cloud-inizializzazione sono in fase di aggiornamento. Microsoft si sta occupando del problema e pubblicherà ulteriori informazioni in questo articolo, non appena disponibili.