Chaves públicas SSH estranhas adicionadas ao arquivo de chaves autorizadas em VM Linux

Identificar

Para verificar se você tem chaves adicionais, revise o arquivo de chaves autorizadas (arquivo vi .ssh/authorized_keys) para determinar se as chaves adicionais que você não pretendia incluir foram adicionadas.

É seguro remover manualmente quaisquer chaves públicas SSH adicionais que possam ter sido adicionadas. Isso não afetará os recursos que são implantados junto com a VM. Isso também não afetará seu par de chaves SSH especificado para autenticação.

Se você não souber ou não puder diferenciar quais chaves públicas no arquivo .ssh/authorized_keys foram especificadas para autenticação, siga estas etapas: 

1. Revise seus modelos de implantação:

   1. chaves públicas ssh

   2. chaves ssh na configuração cloud-init

2. Recupere as chaves ssh implantadas no momento da criação de dentro da VM se tiver acesso sudo/root. Para fazer isto, siga as seguintes etapas:

   1. Verifique a configuração de cloud-init que foi passada em CustomData: sudo cat /var/lib/waagent/ovf-env.xml | grep "<ns1:CustomData>"
      Use o valor CustomData e, em seguida, use a decodificação base64 para obter as chaves públicas que você implantou: echo "<customData value>" | base64 -D

   2. Como alternativa, verifique o IMDS (Serviço de Metadados de Instância) para ver a chave pública ssh que foi passada na propriedade da chave pública ssh de criação da VM: curl -H Metadata:true "http://169.254.169.254/metadata/instance/compute/publicKeys?api-version=2018-04-02&format=json"

Corrigir

Se você tiver identificado certificados adicionais que não pretendia implantar na VM, poderá removê-los apagando a linha correspondente do arquivo authorized_keys.

Execute a correção conectando-se à VM de forma interativa ou use a extensão de script personalizada ou RunCommand em várias VMs.

VMs implantadas usando extensões que têm configurações protegidas ou uma identidade gerenciada

Use o script a seguir para remover chaves públicas de certificados nos quais a VM foi implantada com extensões ou identidade gerenciada. Isso não removerá chaves que foram especificadas quando você implantou uma VM ou se a VM tiver sido implantada com chaves do Cofre de Chaves.

#!/bin/bash
set -e

# /var/lib/waagent has *.crt files that include the crt files corresponding to 
# the user provided public keys and one additional .crt file from MSI.
# This script converts the content of the .crt file into the ssh public key and
# remove it from the authorized_keys file
readarray -t CRT_FILES < <(grep -l -E "(Microsoft.ManagedIdentity|Windows Azure)" /var/lib/waagent/*.crt)
for ((i=0; i < ${#CRT_FILES[@]}; i++))
do
    PUBKEY=$(openssl x509 -in "${CRT_FILES[$i]}" -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8)
    sed -i -e "\@$PUBKEY@d" $HOME/.ssh/authorized_keys
Done 

Após a execução do script, verifique o arquivo ssh/authorized_keys para garantir que apenas as chaves públicas conhecidas estejam presentes.

VMs implantadas com segredos do Cofre de Chaves

Para identificar se a chave foi adicionada quando implantada com chaves do Cofre de Chaves, siga estas etapas:

1. Obtenha o nome do certificado do Cofre de Chaves que você implantou usando a VM, revise o código de implantação de modelos de CLI do Az ou ARM ou execute este CLI do Az:
     az vm show --resource-group <resourceGroupName> --name <vmName> | grep certificateUrl
   
   A resposta mostrará o nome do certificado:
     "certificateUrl": "https://<keyVaultname>.vault.azure.net/secrets/<certName>/xxxxxxxxxxxxx"

2. Baixe o certificado:
     az keyvault certificate download --vault-name <keyVaultName> --name <certName> --encoding PEM --file public.pem

3. Extraia a chave pública:
     openssl x509 -in public.pm -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8

4. Compare a saída da etapa anterior com os certificados restantes no arquivo ssh/authorized_keys.
     vi .ssh/authorized_keys file

Imagens do Ubuntu 18.04

Para atualizar uma imagem personalizada de origem, você deve fazer as seguintes modificações:

• Edite o seguinte arquivo:
  
  /etc/cloud/cloud.cfg.d/90-azure.cfg

• Adicione o seguinte código ao final do arquivo.

datasource:
   Azure:
     agent_command: [service, walinuxagent, start]

Imagens do RHEL 7.4/7.5/7.6 e CentOS 7.6

Se você tiver criado anteriormente as imagens do RHEL/CentOS usando estas etapas (ou um método semelhante), deverá atualizar a imagem de origem da qual criou as VMs. Veja a seguir as etapas adicionais que devem ser adicionadas à sua configuração de imagem de VM de origem existente:

Etapa 1 

Edite o seguinte arquivo:

/etc/cloud/cloud.cfg.d/91-azure_datasource.cfg 

Adicione a seguinte linha ao final do arquivo: 

datasource:
   Azure:
     agent_command: [systemctl, start, waagent, --no-block]

Etapa 2

Atualize a configuração do agente da seguinte maneira:

cp /lib/systemd/system/waagent.service /etc/systemd/system/waagent.service
sed -i 's/After=network-online.target/WantedBy=cloud-init.service\\nAfter=network.service systemd-networkd-wait-online.service/g' /etc/systemd/system/waagent.service
systemctl daemon-reload

pacotes cloud-init

Todos os pacotes cloud-init que incluem uma correção estão em processo de atualização. A Microsoft está pesquisando esse problema e irá publicar mais informações neste artigo assim que estiverem disponíveis.