Obce SSH klucze publiczne dodane do pliku autoryzowanego klawisze na maszynie Wirtualnej Linux

Identyfikowanie

Aby sprawdzić, czy masz dodatkowych kluczy, przejrzyj plik autoryzowanego klawisze (plik .ssh/authorized_keys vi) do określenia, czy zostały dodane wszelkie dodatkowe klawisze, które nie mają zostać dołączone.

To bezpieczne, aby ręcznie usunąć wszelkie dodatkowe ssh publicznego klawiszy, których mogły zostać dodane. Spowoduje to nie ma wpływu na funkcje, które są wdrożone razem z maszyny Wirtualnej. Ponadto nie wpłynie z określonym SSH parę kluczy dla uwierzytelniania.

Jeśli nie wiadomo, lub nie może rozróżnić które kluczy publicznych w pliku .ssh/authorized_keys określony dla uwierzytelniania, wykonaj następujące kroki:

1. Przejrzyj szablony wdrażania:

   1. SSH kluczy publicznych

   2. SSH klucze w konfiguracji cloud-init

2. Pobierz rozmieszczonych ssh klucze w czasie tworzenia od wewnątrz maszyny Wirtualnej, jeśli użytkownik ma dostęp sudo/root. Aby to zrobić, wykonaj następujące kroki:

   1. Sprawdź konfigurację cloud-init, który został przekazany w CustomData: sudo cat /var/lib/waagent/ovf-env.xml | grep "<ns1:CustomData>"Należy użyć wartości CustomData i następnie dekodowania base64 użycia uzyskanie kluczy publicznych, które wdrażane: echo "<customData value>" | base64 -D

   2. Alternatywnie, sprawdź usługi danych Meta (IMDS) instancji, aby zobaczyć ssh klucz publiczny, który został przekazany w ssh publiczny klucz właściwość tworzenia maszyny Wirtualnej: curl -H Metadata:true "http://169.254.169.254/metadata/instance/compute/publicKeys?api-version=2018-04-02&format=json"

Korygowanie

Po zidentyfikowaniu dodatkowych certyfikatów, które nie zamierza wdrożyć do maszyny Wirtualnej, można usunąć te przez wymazywanie w odpowiednim wierszu z pliku authorized_keys.

Uruchom działań naprawczych przez połączenie z maszyną wirtualną interaktywnie, lub użyj rozszerzenie skryptu niestandardowego lub UruchomPolecenie (RunCommand) przez wiele maszyn wirtualnych.

Maszyny wirtualne wdrożony przy użyciu rozszerzeń, które mają być chronione ustawienia lub tożsamości zarządzanych

Aby usunąć klucze publiczne z certyfikatów, w których maszyny Wirtualnej został wdrożony z rozszerzeniami lub zarządzane tożsamości, należy użyć następującego skryptu. Spowoduje to nie Usuń klucze, które zostały określone podczas wdrażania maszyny Wirtualnej lub maszyny Wirtualnej został wdrożony za pomocą klawiszy magazyn kluczy.

#!/bin/bash
set -e

# /var/lib/waagent has *.crt files that include the crt files corresponding to 
# the user provided public keys and one additional .crt file from MSI.
# This script converts the content of the .crt file into the ssh public key and
# remove it from the authorized_keys file
readarray -t CRT_FILES < <(grep -l -E "(Microsoft.ManagedIdentity|Windows Azure)" /var/lib/waagent/*.crt)
for ((i=0; i < ${#CRT_FILES[@]}; i++))
do
    PUBKEY=$(openssl x509 -in "${CRT_FILES[$i]}" -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8)
    sed -i -e "\@$PUBKEY@d" $HOME/.ssh/authorized_keys
Done 

Po uruchomieniu skryptu, sprawdź plik ssh/authorized_keys, aby upewnić się, że tylko znany klucze publiczne są obecne.

Wdrażane za pomocą klucza Vault tajemnice maszyn wirtualnych

Aby określić, czy klucz został dodany po wdrożeniu z klucza magazynu kluczy, wykonaj następujące kroki:

1. Pobierz nazwę certyfikatu magazyn kluczy, który zostanie wdrożony przy użyciu maszyny Wirtualnej, przeglądu wdrażania kodu Az CLI lub szablony ARM lub uruchomienie tego CLI Az: az vm show --resource-group <resourceGroupName> --name <vmName> | grep certificateUrlOdpowiedź pojawi się nazwa certyfikatu: "certificateUrl": "https://<keyVaultname>.vault.azure.net/secrets/<certName>/xxxxxxxxxxxxx"

2. Pobierz certyfikat: az keyvault certificate download --vault-name <keyVaultName> --name <certName> --encoding PEM --file public.pem

3. Wyodrębnianie klucza publicznego: openssl x509 -in public.pm -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8

4. Porównaj dane wyjściowe z poprzedniego kroku do pozostałych certyfikatów w pliku ssh/authorized_keys. vi .ssh/authorized_keys file

Obrazy Ubuntu 18.04

Aby zaktualizować niestandardowego obrazu źródłowego, należy wprowadzić następujące zmiany:

• Edytuj następujący plik: /etc/cloud/cloud.cfg.d/90-Azure.cfg

• Dodaj następujący kod do końca pliku.

datasource:
   Azure:
     agent_command: [service, walinuxagent, start]

RHEL 7.4/7.5/7.6 i CentOS 7,6 obrazów

Jeśli wcześniej utworzono obrazów RHEL/CentOS, wykonując powyższe czynności (lub podobnej metody), należy zaktualizować obrazu źródłowego, z którego utworzono VMs. Poniżej przedstawiono dodatkowe kroki, które są wymagane, aby dodać do istniejącej konfiguracji obrazu źródłowego maszyny Wirtualnej:

Krok 1

Edytuj następujący plik:

/etc/cloud/cloud.cfg.d/91-azure_datasource.cfg

Dodaj poniższe wiersze na końcu pliku:

datasource:
   Azure:
     agent_command: [systemctl, start, waagent, --no-block]

Krok 2

Aktualizacja konfiguracji agenta w następujący sposób:

cp /lib/systemd/system/waagent.service /etc/systemd/system/waagent.service
sed -i 's/After=network-online.target/WantedBy=cloud-init.service\\nAfter=network.service systemd-networkd-wait-online.service/g' /etc/systemd/system/waagent.service
systemctl daemon-reload

cloud-init pakietów

Wszystkie pakiety cloud-init, które obejmują poprawki są w trakcie aktualizacji. Firma Microsoft bada ten problem i wprowadzi więcej informacji w niniejszym artykule gdy będą one dostępne.