Vreemde SSH openbare sleutels toegevoegd aan sleutels geautoriseerd bestand op Linux VM

Identificeren

Als u wilt controleren of er extra toetsen, bekijk de geautoriseerde sleutels (bestand vi .ssh/authorized_keys) om te bepalen of de toetsen die u wilt opnemen niet wilde zijn toegevoegd.

Is het veilig om handmatig verwijderen van eventuele aanvullende ssh publieke sleutels die zijn toegevoegd. Dit zal geen invloed op de functies die worden geïmplementeerd met de VM. Bovendien wordt uw opgegeven SSH-sleutelpaar voor verificatie niet worden gewijzigd.

Als u niet weet of niet kan onderscheiden welke openbare sleutels in de .ssh/authorized_keys bestand opgegeven voor verificatie, gaat u als volgt te werk:

1. Bekijk de sjablonen voor uw implementatie:

   1. SSH openbare sleutels

   2. SSH sleutels in de configuratie van de wolk-init

2. Ophalen van de geïmplementeerde sleutels ssh bij het maken van binnen de VM, hebt u toegang tot de sudo/hoofdmap. Ga hiervoor als volgt te werk:

   1. Controleer de configuratie van de wolk init die is doorgegeven in CustomData: sudo cat /var/lib/waagent/ovf-env.xml | grep "<ns1:CustomData>"Gebruik de waarde CustomData en vervolgens gebruik base64 decoderen als u de openbare sleutels die u hebt geïmplementeerd: echo "<customData value>" | base64 -D

   2. Controleer ook de instantie Meta Data Service (IMDS) voor een overzicht van de ssh openbare sleutel die is doorgegeven in de ssh openbare belangrijke eigenschap van de VM maken: curl -H Metadata:true "http://169.254.169.254/metadata/instance/compute/publicKeys?api-version=2018-04-02&format=json"

Verhelpen

Als u extra certificaten die u van plan bent om te implementeren op de VM hebt geïdentificeerd, kunt u verwijderen door de bijbehorende regel van het bestand authorized_keys te wissen.

De oplossing door verbinding te maken met de VM interactief uitvoeren of het aangepaste Script extensie of de OpdrachtUitvoeren (RunCommand) gebruiken in meerdere VMs.

VMs geïmplementeerd met extensies die instellingen of een beheerde identiteit hebt beveiligd

Het volgende script gebruiken voor het verwijderen van openbare sleutels van certificaten waarin de VM is geïmplementeerd met extensies of beheerde identiteit. Dit zal geen sleutels verwijderen die zijn opgegeven wanneer u een VM geïmplementeerd of als de VM met sleutel kluis sleutels is geïmplementeerd.

#!/bin/bash
set -e

# /var/lib/waagent has *.crt files that include the crt files corresponding to 
# the user provided public keys and one additional .crt file from MSI.
# This script converts the content of the .crt file into the ssh public key and
# remove it from the authorized_keys file
readarray -t CRT_FILES < <(grep -l -E "(Microsoft.ManagedIdentity|Windows Azure)" /var/lib/waagent/*.crt)
for ((i=0; i < ${#CRT_FILES[@]}; i++))
do
    PUBKEY=$(openssl x509 -in "${CRT_FILES[$i]}" -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8)
    sed -i -e "\@$PUBKEY@d" $HOME/.ssh/authorized_keys
Done 

Nadat het script is uitgevoerd, controleren de ssh/authorized_keys bestand, zodat alleen de bekende openbare sleutel (s) aanwezig zijn.

VMs geïmplementeerd met sleutel kluis geheimen

Als u wilt vaststellen of de sleutel wanneer geïmplementeerd met sleutel kluis sleutels is toegevoegd, als volgt te werk:

1. De naam van het certificaat sleutel kluis die u met behulp van de VM hebt geïmplementeerd, implementatie code Az CLI of ARM sjablonen bekijken of deze Az CLI uitvoeren: az vm show --resource-group <resourceGroupName> --name <vmName> | grep certificateUrlHet antwoord wordt de certificaatnaam weergegeven: "certificateUrl": "https://<keyVaultname>.vault.azure.net/secrets/<certName>/xxxxxxxxxxxxx"

2. Download het certificaat: az keyvault certificate download --vault-name <keyVaultName> --name <certName> --encoding PEM --file public.pem

3. De openbare sleutel ophalen: openssl x509 -in public.pm -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8

4. De uitvoer van de vorige stap om de resterende certificaten in het ssh/authorized_keys bestand te vergelijken. vi .ssh/authorized_keys file

Ubuntu 18.04 afbeeldingen

Een aangepaste bronafbeelding bijwerken, moet u de volgende wijzigingen aanbrengen:

• Bewerk het volgende bestand: /etc/cloud/cloud.cfg.d/90-Azure.cfg

• De volgende code toevoegen aan het einde van het bestand.

datasource:
   Azure:
     agent_command: [service, walinuxagent, start]

7.4/7.5/7.6 RHEL en CentOS 7.6 afbeeldingen

Als u afbeeldingen met behulp van deze stappen RHEL/CentOS (of een vergelijkbare methode) hebt gemaakt, moet u de bronafbeelding waaruit u de VMs hebt gemaakt bijwerken. Er zijn extra stappen die nodig zijn om toe te voegen aan een bestaande bron VM image-configuratie:

Stap 1

Bewerk het volgende bestand:

/etc/cloud/cloud.cfg.d/91-azure_datasource.cfg

De volgende regels toevoegen aan het einde van het bestand:

datasource:
   Azure:
     agent_command: [systemctl, start, waagent, --no-block]

Stap 2

De configuratie van de Agent als volgt bijwerken:

cp /lib/systemd/system/waagent.service /etc/systemd/system/waagent.service
sed -i 's/After=network-online.target/WantedBy=cloud-init.service\\nAfter=network.service systemd-networkd-wait-online.service/g' /etc/systemd/system/waagent.service
systemctl daemon-reload

cloud-init pakketten

Alle cloud init-pakketten die met een correctie zijn worden bijgewerkt. Microsoft is dit probleem aan het onderzoeken en meer informatie zal worden weergegeven in dit artikel als de informatie beschikbaar is.