Străine SSH chei publice adăugat la fișier autorizat chei pe Linux VM

Identificarea

Pentru a verifica dacă aveți alte chei, examinați cheile autorizat (fișier vi .ssh/authorized_keys) pentru a determina dacă s-au adăugat toate cheile suplimentare care nu doriți să includeți.

Manual este protejat pentru a elimina orice suplimentare ssh public chei care s-ar putea au fost adăugate. Acest lucru va nu afectează caracteristicile care sunt implementate împreună cu VM. De asemenea, nu va afecta vă specificat SSH cheie pereche pentru autentificare.

Dacă nu ştiţi sau nu face deosebirea care chei publice în .ssh/authorized_keys fișierul specificat pentru autentificarea, urmați acești pași:

1. Examinați de șabloane de implementare:

   1. SSH chei publice

   2. SSH cheile în cloud-init configurare

2. Prelua implementată ssh tastele la momentul creării din interiorul VM, dacă aveți acces sudo/root. Pentru a face acest lucru, urmați acești pași:

   1. Verificați configurația cloud init care s-a introdus în CustomData: sudo cat /var/lib/waagent/ovf-env.xml | grep "<ns1:CustomData>"Utilizați valoarea CustomData și apoi utilizați base64 decode pentru a obţine cheile publice care se implementează: echo "<customData value>" | base64 -D

   2. Ca alternativă, Verificați instanță Meta servicii de date (IMDS) pentru a vedea ssh cheie publică care s-a introdus în ssh proprietate cheie publică a crea VM: curl -H Metadata:true "http://169.254.169.254/metadata/instance/compute/publicKeys?api-version=2018-04-02&format=json"

Remedierea

Dacă ați identificat certificate suplimentare care nu doriți să implementați pentru VM, puteţi elimina aceste prin ștergerea linie corespunzătoare din fișierul authorized_keys.

Executați remedierea prin conectarea la VM interactiv, sau utilizați extensia Script particularizat sau ExecuţieComandă prin mai multe SMS.

Virtuale poate să fie implementate utilizând extensii care au protejat setări sau o identitate gestionate

Utilizați următorul script pentru a elimina cheile publice de certificate în care VM a fost implementat cu extensii sau gestionate de identitate. Aceasta va elimina cheile care s-a specificat atunci când se implementează o VM, sau dacă VM a fost implementat cu cheie seiful taste .

#!/bin/bash
set -e

# /var/lib/waagent has *.crt files that include the crt files corresponding to 
# the user provided public keys and one additional .crt file from MSI.
# This script converts the content of the .crt file into the ssh public key and
# remove it from the authorized_keys file
readarray -t CRT_FILES < <(grep -l -E "(Microsoft.ManagedIdentity|Windows Azure)" /var/lib/waagent/*.crt)
for ((i=0; i < ${#CRT_FILES[@]}; i++))
do
    PUBKEY=$(openssl x509 -in "${CRT_FILES[$i]}" -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8)
    sed -i -e "\@$PUBKEY@d" $HOME/.ssh/authorized_keys
Done 

După executarea scriptului, verificați fișierul ssh/authorized_keys pentru a asigura numai taste cunoscute public sunt prezente.

SMS implementat cu cheie seiful secretele

Pentru a identifica dacă s-a adăugat o cheie atunci când se implementează cu cheie seiful de chei, urmați acești pași:

1. Obțineți numele certificatului cheie seif care se implementează utilizând VM, examinați implementare cod Az CLI sau ARM șabloane sau să executați acest Az CLI: az vm show --resource-group <resourceGroupName> --name <vmName> | grep certificateUrlRăspunsul va afișa numele certificatului: "certificateUrl": "https://<keyVaultname>.vault.azure.net/secrets/<certName>/xxxxxxxxxxxxx"

2. Descărcați certificatul: az keyvault certificate download --vault-name <keyVaultName> --name <certName> --encoding PEM --file public.pem

3. Extrage cheia publică: openssl x509 -in public.pm -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8

4. Comparați ieșirea din pasul anterior certs rămase în fișierul ssh/authorized_keys. vi .ssh/authorized_keys file

Ubuntu 18.04 imagini

Pentru a actualiza o imagine particularizată sursă, trebuie să efectuați următoarele modificări:

• Editați fișierul următor: /etc/Cloud/Cloud.cfg.d/90-Azure.cfg

• Adăugaţi următorul cod la sfârşitul fişierului.

datasource:
   Azure:
     agent_command: [service, walinuxagent, start]

RHEL 7.4/7.5/7.6 şi CentOS 7,6 imagini

Dacă ați creat anterior RHEL/CentOS imaginile utilizând pașii (sau o metodă similară), trebuie să actualizați imaginea sursă din care ați creat SMS. Pași suplimentari care sunt necesare pentru a adăuga existente sursă VM Imagine configurației sunt următoarele:

Pasul 1

Editați fișierul următor:

/etc/cloud/cloud.cfg.d/91-azure_datasource.cfg

Adăugați următoarele linii la sfârşitul fişierului:

datasource:
   Azure:
     agent_command: [systemctl, start, waagent, --no-block]

Pasul 2

Actualizarea configuraţiei Agent după cum urmează:

cp /lib/systemd/system/waagent.service /etc/systemd/system/waagent.service
sed -i 's/After=network-online.target/WantedBy=cloud-init.service\\nAfter=network.service systemd-networkd-wait-online.service/g' /etc/systemd/system/waagent.service
systemctl daemon-reload

pachetele de cloud-init

Toate pachetele de cloud-init care includ o remediere sunt în curs de actualizare. Microsoft cercetează această problemă și va publica mai multe informații în acest articol atunci când informațiile devine disponibil.