Лишние SSH открытых ключей добавляемого файла авторизованных ключей на виртуальной Машине Linux

Определение

Чтобы проверить, имеются ли дополнительные ключи, просмотрите файл авторизованных ключей (vi файл .ssh/authorized_keys) для определения, были ли добавлены дополнительных ключей, которые не планируется включить.

Это безопасно вручную удалить любые дополнительные ssh открытых ключей, были добавлены. Это будет не влияет на возможности, которые развертываются вместе с виртуальной Машины. Кроме того он не повлияет на указанной пары ключей SSH для проверки подлинности.

Если не знаете или не может отличить какие открытых ключей в файле .ssh/authorized_keys, указанный для проверки подлинности, выполните следующие действия.

1. Просмотрите шаблоны развертывания:

   1. SSH открытых ключей

   2. SSH ключи в конфигурации init облака

2. Получение развернутого ssh клавиш во время создания из внутри виртуального компьютера, при наличии доступа sudo/root. Чтобы сделать это, выполните следующие действия.

   1. Проверьте конфигурацию init облака, переданное CustomData: sudo cat /var/lib/waagent/ovf-env.xml | grep "<ns1:CustomData>"Используйте значение CustomData и затем декодировать base64 используется для получения открытых ключей, которые можно развернуть: echo "<customData value>" | base64 -D

   2. Кроме того, проверьте обновления данных метаданных экземпляра (IMDS) для просмотра ssh открытый ключ, который был передан в ssh открытого ключа свойства создания виртуальной Машины: curl -H Metadata:true "http://169.254.169.254/metadata/instance/compute/publicKeys?api-version=2018-04-02&format=json"

Исправлять

Если определены дополнительные сертификаты, которые вы не собираетесь развернуть виртуальный компьютер, можно удалить их, удалив соответствующую строку в файле authorized_keys.

Выполнение обновлений с помощью подключения к виртуальной Машине в интерактивном режиме или использовать расширение пользовательского сценария или ВыполнитьКоманду через несколько виртуальных машин.

Виртуальные машины, развернутые с помощью расширений, которые защищенные параметры или управляемое удостоверение

Используйте следующий сценарий для удаления из которых виртуальной Машины было развернуто с расширениями или управляемого удостоверения сертификатов открытых ключей. Это будет не удалить ключи, которые были указаны при развертывании виртуальной Машины или развертывания виртуальной Машины с ключом хранилища ключей.

#!/bin/bash
set -e

# /var/lib/waagent has *.crt files that include the crt files corresponding to 
# the user provided public keys and one additional .crt file from MSI.
# This script converts the content of the .crt file into the ssh public key and
# remove it from the authorized_keys file
readarray -t CRT_FILES < <(grep -l -E "(Microsoft.ManagedIdentity|Windows Azure)" /var/lib/waagent/*.crt)
for ((i=0; i < ${#CRT_FILES[@]}; i++))
do
    PUBKEY=$(openssl x509 -in "${CRT_FILES[$i]}" -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8)
    sed -i -e "\@$PUBKEY@d" $HOME/.ssh/authorized_keys
Done 

После выполнения сценария, проверьте файл ssh/authorized_keys убедитесь, что имеются только известные открытые ключи.

Виртуальные машины, развернутые с ключом Vault секреты

Чтобы определить ли ключ был добавлен при развертывании с помощью ключа хранилище ключей, выполните следующие действия.

1. Получить имя хранилища ключей сертификата, который развертывается с помощью виртуальной Машины, просмотрите код развертывания Az CLI или ARM шаблонов или запустить этот Az CLI: az vm show --resource-group <resourceGroupName> --name <vmName> | grep certificateUrlОтвет будет отображать имя сертификата: "certificateUrl": "https://<keyVaultname>.vault.azure.net/secrets/<certName>/xxxxxxxxxxxxx"

2. Загрузите сертификат: az keyvault certificate download --vault-name <keyVaultName> --name <certName> --encoding PEM --file public.pem

3. Извлеките открытый ключ: openssl x509 -in public.pm -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8

4. Сравните выходные данные из предыдущего шага в остальные сертификаты в файле ssh/authorized_keys. vi .ssh/authorized_keys file

Ubuntu 18.04 изображений

Для обновления исходного образа, необходимо внести следующие изменения:

• Измените следующий файл: /etc/Cloud/Cloud.cfg.d/90-Azure.cfg

• Добавьте следующий код в конец файла.

datasource:
   Azure:
     agent_command: [service, walinuxagent, start]

RHEL 7.4/7.5/7.6 и изображения CentOS 7.6

Если вы ранее создали RHEL/CentOS изображений, выполнив следующие действия (или аналогичный метод), необходимо обновить исходное изображение, из которого создан виртуальных компьютеров. Ниже перечислены дополнительные действия, которые требуется добавить к существующей конфигурации изображения исходной виртуальной Машины.

Шаг 1

Измените следующий файл:

/etc/cloud/cloud.cfg.d/91-azure_datasource.cfg

Добавьте следующие строки в конец файла:

datasource:
   Azure:
     agent_command: [systemctl, start, waagent, --no-block]

Шаг 2

Обновление конфигурации агента следующим образом:

cp /lib/systemd/system/waagent.service /etc/systemd/system/waagent.service
sed -i 's/After=network-online.target/WantedBy=cloud-init.service\\nAfter=network.service systemd-networkd-wait-online.service/g' /etc/systemd/system/waagent.service
systemctl daemon-reload

пакеты init облака

Все облака init пакетов, содержащих исправления находятся в процессе обновления. Корпорация Майкрософт работает над устранением этой проблемы и опубликует дополнительную информацию в этой статье, когда информация станет доступной.