Pašalinių SSH viešųjų raktų įtraukta į failą leidžiama raktų Linux VM

Nustatyti

Norėdami patikrinti, ar nėra papildomų raktų, peržiūrėti įgaliotasis raktų failą (vi .ssh/authorized_keys failą) Norėdami nustatyti, ar visi papildomi raktai, kurios neketinote yra įtrauktas.

Tai galima rankiniu būdu pašalinti bet kokį papildomą ssh viešųjų raktų, buvo pridėtas. Tai neturi įtakos funkcijų, kurios yra įdiegta kartu su VM. Be to, tai neturės įtakos jūsų nurodyto SSH rakto autentifikavimas.

Jei nežinote arba negalima atskirti kokia viešųjų raktų nurodytas .ssh/authorized_keys failas autentifikavimo, atlikite šiuos veiksmus:

1. Peržiūrėkite savo diegimo šablonus:

   1. SSH raktą

   2. SSH raktai debesies paleidimo konfigūracijos

2. Gauti ir visuotinai įdiegtos ssh raktus Kada kūrimas viduje VM, jei turite sudo /. Norėdami tai padaryti, atlikite šiuos veiksmus:

   1. Patikrinkite, ar buvo priimtas CustomData debesies paleidimo konfigūracijos: sudo cat /var/lib/waagent/ovf-env.xml | grep "<ns1:CustomData>"Naudokite CustomData reikšmę, ir tada naudokite base64 iššifruoti viešųjų raktų, kurioje galite gauti: echo "<customData value>" | base64 -D

   2. Be to, patikrinkite, ar egzempliorių Meta duomenų tarnyba (IMDS) Norėdami pamatyti į ssh viešuoju raktu, kuris buvo priimtas į ssh viešojo rakto ypatybę VM sukurti: curl -H Metadata:true "http://169.254.169.254/metadata/instance/compute/publicKeys?api-version=2018-04-02&format=json"

Eksploatavimo

Jei nustatėte papildomas sertifikatus, kurie nenori įdiegti VM, galite pašalinti juos ištrinti atitinkamos eilutės iš authorized_keys failą.

Paleisti atkūrimą interaktyviai prisijungus prie VM, arba Pasirinktinis scenarijų plėtinį arba kad Vykdyti_komandą per daug VM.

VM naudojant plėtinius, kurie yra apsaugoti parametrai arba valdomų vartotojas

Naudokite šį scenarijų pašalinti viešųjų raktų sertifikatai, kai VM buvo įdiegta su plėtiniais arba valdomi tapatybę. Tai bus ne šalinti raktų, kurie nurodyti išdėstyto VM arba VM buvo įdiegta su kodas saugyklos raktais.

#!/bin/bash
set -e

# /var/lib/waagent has *.crt files that include the crt files corresponding to 
# the user provided public keys and one additional .crt file from MSI.
# This script converts the content of the .crt file into the ssh public key and
# remove it from the authorized_keys file
readarray -t CRT_FILES < <(grep -l -E "(Microsoft.ManagedIdentity|Windows Azure)" /var/lib/waagent/*.crt)
for ((i=0; i < ${#CRT_FILES[@]}; i++))
do
    PUBKEY=$(openssl x509 -in "${CRT_FILES[$i]}" -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8)
    sed -i -e "\@$PUBKEY@d" $HOME/.ssh/authorized_keys
Done 

Po to, kai buvo paleisti scenarijų, patikrinkite, ar norint užtikrinti tik žinomų visuomenės klavišas(-i) ssh/authorized_keys failą.

VM visuotinai kodas saugyklos paslapčių

Norėdami nustatyti, ar raktas buvo pridėta naudojant kodą saugyklos raktus, atlikite šiuos veiksmus:

1. Gauti kodą saugyklos sertifikatą, galite įdiegti naudojant VM pavadinimas, diegimo kodas Az CLI arba ARM šablonai arba vykdyti šį Az CLI: az vm show --resource-group <resourceGroupName> --name <vmName> | grep certificateUrlAtsakymas parodys sertifikato pavadinimas: "certificateUrl": "https://<keyVaultname>.vault.azure.net/secrets/<certName>/xxxxxxxxxxxxx"

2. Atsisiųsti sertifikatą: az keyvault certificate download --vault-name <keyVaultName> --name <certName> --encoding PEM --file public.pem

3. Išskleisti viešasis raktas: openssl x509 -in public.pm -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8

4. Palyginkite su komandos iš ankstesnio veiksmo ir likusius sertifikatai ssh/authorized_keys failą. vi .ssh/authorized_keys file

Ubuntu 18.04 vaizdai

Norėdami atnaujinti šaltinio pasirinktinis vaizdas, turite būti šiuos pakeitimus:

• Redaguoti šį failą: /etc/Cloud/Cloud.cfg.d/90-Azure.cfg

• Įtraukti šį kodą į failo pabaigoje.

datasource:
   Azure:
     agent_command: [service, walinuxagent, start]

RHEL 7.4/7.5/7.6 ir CentOS 7,6 vaizdai

Jei anksčiau sukūrėte atlikdami šiuos veiksmus RHEL/CentOS vaizdus (arba panašų būdą), turite atnaujinti šaltinio vaizdą, iš kurio sukūrėte VM. Toliau pateikiami papildomi veiksmai, kurių reikia pridėti prie esamo šaltinio VM vaizdo konfigūracijos:

1 veiksmas

Redaguoti šį failą:

/etc/cloud/cloud.cfg.d/91-azure_datasource.cfg

Failo pabaigoje, atlikite šiuos veiksmus:

datasource:
   Azure:
     agent_command: [systemctl, start, waagent, --no-block]

2 veiksmas

Naujinimo agento konfigūravimą taip:

cp /lib/systemd/system/waagent.service /etc/systemd/system/waagent.service
sed -i 's/After=network-online.target/WantedBy=cloud-init.service\\nAfter=network.service systemd-networkd-wait-online.service/g' /etc/systemd/system/waagent.service
systemctl daemon-reload

debesies paleidimo paketai

Debesies paleidimo paketai, kuriuose yra nustatyti šiuo metu atnaujinamas. Microsoft tiria šią problemą ir paskelbsime daugiau informacijos šiame straipsnyje, kai tokia informacija bus žinoma.