Nadbytočné SSH verejných kľúčov do súboru povolené klávesy na Linux VM

Identifikácia

Skontrolujte, či máte ďalšie kľúče, skontrolujte povolené klávesy (súbor vi .ssh/authorized_keys) zistiť, či boli pridané ďalšie kľúče, ktoré nemal obsahovať.

Je to manuálne odstrániť všetky ďalšie ssh verejné kľúče, ktoré boli pridané. To nemusí mať vplyv na funkcie, ktoré sú spolu s VM. Tiež neovplyvní vaše zadané SSH kľúčov pre overovanie.

Ak nepoznáte alebo nerozlišuje verejné klávesy v .ssh/authorized_keys zadaný súbor overovanie, postupujte nasledovne:

1. Skontrolovať nasadenie šablón:

   1. SSH verejných kľúčov

   2. SSH kľúče v cloude inicializáciou konfigurácie

2. Načítanie nasadené ssh kľúče v čase vytvorenia z vnútri VM, ak sudo/root prístup. Ak to chcete urobiť, postupujte nasledovne:

   1. Kontrola konfigurácie cloud inicializáciou schválil CustomData: sudo cat /var/lib/waagent/ovf-env.xml | grep "<ns1:CustomData>"Hodnota CustomData a potom použiť base64 dekódovanie získať verejných kľúčov, ktoré sa: echo "<customData value>" | base64 -D

   2. Môžete tiež skontrolovať inštancie Meta Data Service (IMDS) zobrazíte ssh verejný kľúč, ktorý bol zadaný ssh verejný kľúč vlastnosť vytvoriť VM: curl -H Metadata:true "http://169.254.169.254/metadata/instance/compute/publicKeys?api-version=2018-04-02&format=json"

Náprava

Ak ste identifikovali ďalšie certifikáty, ktoré nemal v úmysle zaviesť VM, môžete odstrániť tieto vymazanie zodpovedajúci riadok v súboru authorized_keys.

Spustenie liečením pripojíte VM interaktívne alebo použiť vlastný skript rozšírenie alebo SpustiťPríkaz vo viacerých VM.

VM nasadený pomocou rozšírenia chránený nastavenia alebo spravované identity

Použite nasledujúci skript odstrániť verejných kľúčov certifikáty VM nasadzovania rozšírenia alebo spravovať totožnosti. Bude nie odstrániť kľúče, ktoré boli uvedené, ak ste nasadili VM alebo VM nasadzovania klávesmi Trezor kľúč.

#!/bin/bash
set -e

# /var/lib/waagent has *.crt files that include the crt files corresponding to 
# the user provided public keys and one additional .crt file from MSI.
# This script converts the content of the .crt file into the ssh public key and
# remove it from the authorized_keys file
readarray -t CRT_FILES < <(grep -l -E "(Microsoft.ManagedIdentity|Windows Azure)" /var/lib/waagent/*.crt)
for ((i=0; i < ${#CRT_FILES[@]}; i++))
do
    PUBKEY=$(openssl x509 -in "${CRT_FILES[$i]}" -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8)
    sed -i -e "\@$PUBKEY@d" $HOME/.ssh/authorized_keys
Done 

Po spustení skriptu, skontrolujte súbor ssh/authorized_keys tak známe verejný kľúč.

VM s kľúčom Trezor tajomstvo

Zistiť, či kľúč bol pridaný pri klávesmi Trezor kľúč, postupujte nasledovne:

1. Názov Trezor kľúč certifikátu, ktorý je nasadený pomocou VM nasadenie kód Az CLI alebo ARM šablóny a spustiť tento Az CLI: az vm show --resource-group <resourceGroupName> --name <vmName> | grep certificateUrlOdpoveď zobrazí názov certifikátu: "certificateUrl": "https://<keyVaultname>.vault.azure.net/secrets/<certName>/xxxxxxxxxxxxx"

2. Stiahnuť certifikát: az keyvault certificate download --vault-name <keyVaultName> --name <certName> --encoding PEM --file public.pem

3. Rozbaľte verejného kľúča: openssl x509 -in public.pm -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8

4. Porovnajte výstup z predchádzajúceho kroku na zvyšných CERT ssh/authorized_keys súboru. vi .ssh/authorized_keys file

Ubuntu 18.04 obrázkov

Aktualizovať zdroj vlastný obrázok, je potrebné vykonať nasledujúce zmeny:

• Upraviť tento súbor: /etc/cloud/cloud.cfg.d/90-Azure.cfg

• Pridajte nasledujúci kód na koniec súboru.

datasource:
   Azure:
     agent_command: [service, walinuxagent, start]

RHEL 7.4/7.5/7.6 a CentOS 7,6 obrázkov

Ak ste vytvorili RHEL/CentOS obrázkov pomocou týchto krokov (alebo podobnou metódou), musíte aktualizovať zdroj obrazu, z ktorej ste vytvorili VM. Ďalšie kroky, ktoré je potrebné pridať existujúci zdroj VM obraz konfigurácie sú:

Krok 1

Upraviť tento súbor:

/etc/cloud/cloud.cfg.d/91-azure_datasource.cfg

Na koniec súboru pridajte nasledujúce riadky:

datasource:
   Azure:
     agent_command: [systemctl, start, waagent, --no-block]

Krok 2

Aktualizujte konfiguráciu agenta takto:

cp /lib/systemd/system/waagent.service /etc/systemd/system/waagent.service
sed -i 's/After=network-online.target/WantedBy=cloud-init.service\\nAfter=network.service systemd-networkd-wait-online.service/g' /etc/systemd/system/waagent.service
systemctl daemon-reload

balíky cloud inicializáciou

Všetky balíky cloud inicializáciou zahrnúť opravu práve aktualizované. Spoločnosť Microsoft tento problém skúma a zverejní v tomto článku ďalšie informácie, keď budú k dispozícii.