Linux VM에서 권한이 부여된 키 파일에 잘못된 SSH 공개 키가 추가됨

식별

추가 키가 있는지 확인하려면 권한이 부여된 키 파일(vi .ssh/authorized_keys 파일)을 검토하여 포함하지 않으려 했던 추가 키 파일이 추가되었는지 확인합니다.

더 추가되었을 수 있는 ssh 공개 키는 수동으로 제거해도 됩니다. 이러한 키를 제거해도 VM과 함께 배포되는 기능에는 영향을 주지 않습니다. 그리고 인증용으로 지정한 SSH 키 쌍에도 아무런 영향이 없습니다.

.ssh/authorized_keys 파일에서 인증용으로 지정한 공개 키 파일을 모르거나 구분할 수 없는 경우에는 다음 단계를 수행하세요. 

1. 배포 템플릿을 검토합니다.

   1. ssh 공개 키

   2. Cloud-init 구성의 ssh 키

2. sudo/root 액세스 권한이 있는 경우 VM 내부에서 생성 시에 배포한 ssh 키를 검색합니다. 이렇게 하려면 다음 단계를 수행하세요.

   1. CustomData에서 전달된 Cloud-init 구성을 확인합니다. sudo cat /var/lib/waagent/ovf-env.xml | grep "<ns1:CustomData>"
      CustomData 값과 base64 디코드를 차례로 사용하여 배포한 공개 키를 가져옵니다. echo "<customData value>" | base64 -D

   2. IMDS(Instance Metadata Service)를 검사해 VM Create의 ssh 공개 키 속성에서 전달된 ssh 공개 키를 확인할 수도 있습니다. curl -H Metadata:true "http://169.254.169.254/metadata/instance/compute/publicKeys?api-version=2018-04-02&format=json"

교정

VM에 배포하지 않으려던 추가 인증서가 식별된 경우에는 authorized_keys 파일에서 해당 줄을 지워서 추가 인증서를 제거할 수 있습니다.

VM에 대화형으로 연결하여 교정을 실행하거나 여러 VM에서 사용자 지정 스크립트 확장 또는 RunCommand를 사용합니다.

보호된 설정 또는 관리 ID가 포함된 확장을 사용하여 배포된 VM

확장 또는 관리 ID를 사용하여 VM이 배포된 인증서에서 공개 키를 제거하려면 아래 스크립트를 사용합니다. 이렇게 해도 VM을 배포할 때나 키 자격 증명 모음 키를 사용해 VM을 배포한 경우에 지정한 키는 제거되지 않습니다.

#!/bin/bash
set -e

# /var/lib/waagent has *.crt files that include the crt files corresponding to 
# the user provided public keys and one additional .crt file from MSI.
# This script converts the content of the .crt file into the ssh public key and
# remove it from the authorized_keys file
readarray -t CRT_FILES < <(grep -l -E "(Microsoft.ManagedIdentity|Windows Azure)" /var/lib/waagent/*.crt)
for ((i=0; i < ${#CRT_FILES[@]}; i++))
do
    PUBKEY=$(openssl x509 -in "${CRT_FILES[$i]}" -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8)
    sed -i -e "\@$PUBKEY@d" $HOME/.ssh/authorized_keys
Done 

스크립트를 실행한 후에는 ssh/authorized_keys 파일에 알려진 공개 키만 있는지 확인합니다.

키 자격 증명 모음 비밀을 사용하여 배포한 VM

키 자격 증명 모음 키를 사용하여 배포할 때 키가 추가되었는지를 파악하려면 다음 단계를 수행하세요.

1. VM을 사용하여 배포한 키 자격 증명 모음 인증서의 이름을 가져오거나, 배포 코드 Az CLI 또는 ARM 템플릿을 검토하거나, 다음 Az CLI를 실행합니다.
     az vm show --resource-group <resourceGroupName> --name <vmName> | grep certificateUrl
   
   해당 응답에 인증서 이름이 표시됩니다.
     "certificateUrl": "https://<keyVaultname>.vault.azure.net/secrets/<certName>/xxxxxxxxxxxxx"

2. 인증서를 다운로드합니다.
     az keyvault certificate download --vault-name <keyVaultName> --name <certName> --encoding PEM --file public.pem

3. 공개 키를 추출합니다.
     openssl x509 -in public.pm -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8

4. 이전 단계의 출력을 ssh/authorized_keys 파일의 나머지 인증서와 비교합니다.
     vi .ssh/authorized_keys file

Ubuntu 18.04 이미지

원본 사용자 지정 이미지를 업데이트하려면 다음 수정 작업을 수행해야 합니다.

• 다음 파일을 편집합니다.
  
  /etc/cloud/cloud.cfg.d/90-azure.cfg

• 파일의 끝에 다음 코드를 추가합니다.

datasource:
   Azure:
     agent_command: [service, walinuxagent, start]

RHEL 7.4/7.5/7.6 및 CentOS 7.6 이미지

이전에 이 단계 또는 비슷한 방법을 통해 RHEL/CentOS 이미지를 만든 경우에는 VM을 만들었던 원본 이미지를 업데이트해야 합니다. 기존 원본 VM 이미지 구성에 코드를 추가하려면 수행해야 하는 추가 단계는 다음과 같습니다.

1단계 

다음 파일을 편집합니다.

/etc/cloud/cloud.cfg.d/91-azure_datasource.cfg 

파일의 끝에 다음 줄을 추가합니다. 

datasource:
   Azure:
     agent_command: [systemctl, start, waagent, --no-block]

2단계

다음과 같이 에이전트 구성을 업데이트합니다.

cp /lib/systemd/system/waagent.service /etc/systemd/system/waagent.service
sed -i 's/After=network-online.target/WantedBy=cloud-init.service\\nAfter=network.service systemd-networkd-wait-online.service/g' /etc/systemd/system/waagent.service
systemctl daemon-reload

Cloud-init 패키지

픽스를 포함하는 모든 Cloud-init 패키지의 업데이트가 진행되고 있습니다. Microsoft는 현재 이 문제를 조사 중이며, 추가 정보가 입수되면 이 문서에 게시할 예정입니다.