Tuje SSH javne ključe dodati dovoljena ključi file na Linux VM

Prepoznavanje

Preverite, ali imate dodatne tipke, preglejte datoteko pooblaščeni ključe (vi .ssh/authorized_keys datoteke) za določitev, ali so bile dodane vse dodatne tipke, ki niste nameravali vključiti.

To je varno ročno odstranite dodatni ssh javne ključe, ki morda so bile dodane. To hoteti ne vplivati na značilnosti, ki se razporedi skupaj s VM. Tudi, to ne bo vplivalo na vaš določen SSH par ključev za preverjanje pristnosti.

Če ne veste ali ne morejo razlikovati katere javne ključe v datoteko .ssh/authorized_keys, določite za preverjanje pristnosti, sledite tem korakom:

1. Pregled uvajanja predloge:

   1. SSH javnih ključev

   2. SSH sklepnik v oblak-init konfiguracijo

2. Rešitev je razporejeno ssh tipke na ustvarjeno od znotraj VM, če imate sudo/root dostop. Če želite to narediti, sledite tem korakom:

   1. Preverite konfiguracijo init oblak, ki je bil sprejet v CustomData: sudo cat /var/lib/waagent/ovf-env.xml | grep "<ns1:CustomData>"Uporabite vrednost CustomData in potem uporabo base64 dešifrirati dobiti javne ključe, ki ste uvedli: echo "<customData value>" | base64 -D

   2. Pa preverite stopnje Meta podatkov storitev (IMDS) za prikaz je ssh javni ključ, ki je bil sprejet na ssh javnega ključa lastnost VM ustvariti: curl -H Metadata:true "http://169.254.169.254/metadata/instance/compute/publicKeys?api-version=2018-04-02&format=json"

Sanacijo

Če so ugotovljene dodatne certifikate, da ne nameravate uvesti VM, lahko odstranite to z izbris ustrezne vrstice iz authorized_keys datoteke.

Sanacijo vzpostavite VM interaktivno ali uporabljate skript po meri razširitev ali je dejanje čez več.

VMs, uvedeno z uporabo pripone, ki so zaščitene nastavitve ali upravljane identiteto

Uporabite ta skript umakniti javnih ključev s certifikati v kateri VM je bila uvedena z razširitvami ali upravljati identitete. To bo ne odstrani ključi, ki so navedli, ko ste uvedli VM ali VM je bil uveden s zakleniti Vault tipke.

#!/bin/bash
set -e

# /var/lib/waagent has *.crt files that include the crt files corresponding to 
# the user provided public keys and one additional .crt file from MSI.
# This script converts the content of the .crt file into the ssh public key and
# remove it from the authorized_keys file
readarray -t CRT_FILES < <(grep -l -E "(Microsoft.ManagedIdentity|Windows Azure)" /var/lib/waagent/*.crt)
for ((i=0; i < ${#CRT_FILES[@]}; i++))
do
    PUBKEY=$(openssl x509 -in "${CRT_FILES[$i]}" -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8)
    sed -i -e "\@$PUBKEY@d" $HOME/.ssh/authorized_keys
Done 

Ko je teči scenarij, preverite ssh/authorized_keys datoteke, da zagotovi prisotnost le znane javne tipke.

VMs, uveden s zakleniti Vault skrivnosti

Ugotoviti ali ključ je bila dodana, ko s zakleniti Vault ključe, sledite tem korakom:

1. Dobil ime ključa Vault potrdilo, ki ste uvedli z uporabo VM, pregled uvajanje kodo Az CLI ali roko predloge ali teči ta skupina Az CLI: az vm show --resource-group <resourceGroupName> --name <vmName> | grep certificateUrlV odgovor prikaže ime potrdila: "certificateUrl": "https://<keyVaultname>.vault.azure.net/secrets/<certName>/xxxxxxxxxxxxx"

2. Travnato gričevje potrdilo: az keyvault certificate download --vault-name <keyVaultName> --name <certName> --encoding PEM --file public.pem

3. Citat javnega ključa: openssl x509 -in public.pm -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8

4. Primerjati izhod iz prejšnjega koraka v preostalih cert v ssh/authorized_keys datoteke. vi .ssh/authorized_keys file

Ubuntu 18.04 slike

Posodobiti sliko po meri vir, naredite naslednje spremembe:

• Izdajati sledeč pila: /etc/Cloud/Cloud.cfg.d/90-Azure.cfg

• Dodajte naslednjo kodo na konec datoteke.

datasource:
   Azure:
     agent_command: [service, walinuxagent, start]

RHEL 7.4/7.5/7.6 in CentOS 7,6 slike

Če ste prej ustvarili RHEL/CentOS slike po teh navodilih (ali na podoben način), je treba posodobiti slike vir, iz katerega ste ustvarili SSP. V nadaljevanju so dodatne ukrepe, ki so morali dodati obstoječo vir VM podoba konfiguracijo:

Korak 1

Izdajati sledeč pila:

/etc/cloud/cloud.cfg.d/91-azure_datasource.cfg

Na koncu datoteke dodajte naslednje vrstice:

datasource:
   Azure:
     agent_command: [systemctl, start, waagent, --no-block]

Korak 2

Posodobi konfiguracijo agenta, kot sledi:

cp /lib/systemd/system/waagent.service /etc/systemd/system/waagent.service
sed -i 's/After=network-online.target/WantedBy=cloud-init.service\\nAfter=network.service systemd-networkd-wait-online.service/g' /etc/systemd/system/waagent.service
systemctl daemon-reload

oblak-init paketi

Vse oblak-init pakete, ki vključujejo popravek so v procesu posodablja. Microsoft težavo še raziskuje in bo po več informacij v tem članku, ko ti podatki postanejo dostopni.