無関係な SSH 公開キーが Linux VM 上の承認キー ファイルに追加される

特定

追加のキーがあるかどうかを調べるには、承認キーファイル (vi .ssh/authorized_keys ファイル) を確認し、意図しないキーが追加されたかどうかを判断します。

追加された可能性のある ssh 公開キーは、手動で削除しても構いません。 削除しても、VM と共にデプロイされている機能に影響はありません。 また、認証用に指定した SSH キーペアには影響しません。

認証用に指定した .ssh/authorized_keys ファイル内の公開キーがわからない場合、または区別できない場合は、次の手順を実行します。 

1. 次のデプロイ テンプレートを確認します。

   1. ssh 公開キー

   2. cloud-init 構成の ssh キー

2. sudo/root アクセス権がある場合は、作成時にデプロイされた ssh キーを VM 内から取得します。 これを行うには、次の手順を実行します。

   1. CustomData に渡された cloud-init 構成を調べます。 sudo cat /var/lib/waagent/ovf-env.xml | grep "<ns1:CustomData>"
      CustomData 値を使用し、次に base64 デコードを使用してデプロイした公開キーを取得します。 echo "<customData value>" | base64 -D

   2. または、Instance Meta Data Service (IMDS) を調べ、VM 作成の ssh 公開キー プロパティに渡された ssh 公開キーを確認します。 curl -H Metadata:true "http://169.254.169.254/metadata/instance/compute/publicKeys?api-version=2018-04-02&format=json"

修復

VM にデプロイする予定がなかった追加の証明書を特定した場合は、authorized_keys ファイルから対応する行を削除することで追加の証明書を削除できます。

対話形式で VM に接続して修復を実行するか、複数の VM に対してカスタム スクリプト拡張機能または RunCommand を使用します。

保護された設定がある拡張機能またはマネージド ID を使用してデプロイされた VM

次のスクリプトを使用して、拡張機能またはマネージド ID を使用して VM がデプロイされた証明書の公開キーを削除します。 VM をデプロイしたとき、または VM が Key Vault キーを使用してデプロイされた場合に指定されたキーは、この操作では削除されません。

#!/bin/bash
set -e

# /var/lib/waagent has *.crt files that include the crt files corresponding to 
# the user provided public keys and one additional .crt file from MSI.
# This script converts the content of the .crt file into the ssh public key and
# remove it from the authorized_keys file
readarray -t CRT_FILES < <(grep -l -E "(Microsoft.ManagedIdentity|Windows Azure)" /var/lib/waagent/*.crt)
for ((i=0; i < ${#CRT_FILES[@]}; i++))
do
    PUBKEY=$(openssl x509 -in "${CRT_FILES[$i]}" -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8)
    sed -i -e "\@$PUBKEY@d" $HOME/.ssh/authorized_keys
Done 

スクリプトの実行後は、ssh/authorized_keys ファイルを調べ、既知の公開キーのみが存在することを確認します。

Key Vault のシークレットを使用してデプロイされた VM

Key Vault キーを使用してデプロイしたときにキーが追加されたかどうかを特定するには、次の手順を実行します。

1. VM を使用してデプロイした Key Vault 証明書の名前を取得するか、デプロイ コード Az CLI または ARM テンプレートを確認するか、次の Az CLI を実行します。
     az vm show --resource-group <resourceGroupName> --name <vmName> | grep certificateUrl
   
   応答に証明書名が表示されます。
     "certificateUrl": "https://<keyVaultname>.vault.azure.net/secrets/<certName>/xxxxxxxxxxxxx"

2. 証明書をダウンロードします。
     az keyvault certificate download --vault-name <keyVaultName> --name <certName> --encoding PEM --file public.pem

3. 公開キーを抽出します。
     openssl x509 -in public.pm -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8

4. 前の手順の出力と ssh/authorized_keys ファイル内のその他の証明書を比較します。
     vi .ssh/authorized_keys file

Ubuntu 18.04 イメージ

ソース カスタム イメージを更新するには、次の変更を加える必要があります。

• 次のファイルを編集します。
  
  /etc/cloud/cloud.cfg.d/90-azure.cfg

• ファイルの末尾に次のコードを追加します。

datasource:
   Azure:
     agent_command: [service, walinuxagent, start]

RHEL 7.4/7.5/7.6 イメージと CentOS 7.6 イメージ

こちらの手順 (または同様の方法) を使用して RHEL/CentOS イメージを以前に作成した場合は、VM を作成したソース イメージを更新する必要があります。 既存のソース VM イメージ構成に追加するには、次の追加の手順を実行します。

手順 1 

次のファイルを編集します。

/etc/cloud/cloud.cfg.d/91-azure_datasource.cfg 

ファイルの末尾に次の行を追加します。 

datasource:
   Azure:
     agent_command: [systemctl, start, waagent, --no-block]

手順 2

エージェントの構成を次のように更新します。

cp /lib/systemd/system/waagent.service /etc/systemd/system/waagent.service
sed -i 's/After=network-online.target/WantedBy=cloud-init.service\\nAfter=network.service systemd-networkd-wait-online.service/g' /etc/systemd/system/waagent.service
systemctl daemon-reload

cloud-init パッケージ

現在、修正プログラムを含むすべての cloud-init パッケージは更新段階です。 マイクロソフトでは、この問題について現在調査中です。詳細については、わかり次第この資料に掲載する予定です。