Främmande SSH offentliga nycklar läggs till filen tillstånd nycklar på Linux VM

Identifiera

Om du vill kontrollera om det finns fler nycklar, granska de auktoriserade nycklar (fil vi .ssh/authorized_keys) om du vill ta reda på om några ytterligare nycklar som du inte vill inkludera har lagts.

Det är säkert att manuellt kan ta bort ytterligare ssh offentliga nycklar som har lagts till. Detta kommer inte påverka funktioner som distribueras tillsammans med VM. Dessutom påverkas inte den angivna SSH-nyckel för autentisering.

Om du inte känner till eller inte kan skilja på vilka offentliga nycklar i filen .ssh/authorized_keys du angett för autentisering, så här:

1. Granska dina mallar för distribution:

   1. SSH offentliga nycklar

   2. SSH nycklar i molnet init-konfiguration

2. Hämta den distribuerade nycklar ssh vid Skapandetid i VM, om du har tillgång till sudo/rot. Gör så här:

   1. Kontrollera konfigurationen för cloud-init som skickades CustomData: sudo cat /var/lib/waagent/ovf-env.xml | grep "<ns1:CustomData>"Använd värdet CustomData och sedan använda base64 avkoda för att få de offentliga nycklarna som du har distribuerat: echo "<customData value>" | base64 -D

   2. Du kan också kontrollera förekomst Meta Data Service (IMDS) att se den ssh offentliga nyckel som skickades den ssh offentlig nyckel egenskap av VM skapar: curl -H Metadata:true "http://169.254.169.254/metadata/instance/compute/publicKeys?api-version=2018-04-02&format=json"

Efterbehandla

Om du har identifierat ytterligare certifikat som du inte tänker distribuera för VM kan du ta bort dessa genom att ta bort motsvarande rad från filen authorized_keys.

Kör justering genom att ansluta till VM interaktivt eller använda tillägget anpassade skript eller KörKommando över flera virtuella maskiner.

VMs som distribueras med hjälp av tillägg som har skyddat inställningar eller en hanterad identitet

Använda följande skript för att ta bort offentliga nycklar från certifikat där VM har distribuerats med tillägg eller hanteras identitet. Detta kommer inte ta bort nycklar som angavs när du har distribuerat en VM eller VM distribuerades med Key Vault nycklar.

#!/bin/bash
set -e

# /var/lib/waagent has *.crt files that include the crt files corresponding to 
# the user provided public keys and one additional .crt file from MSI.
# This script converts the content of the .crt file into the ssh public key and
# remove it from the authorized_keys file
readarray -t CRT_FILES < <(grep -l -E "(Microsoft.ManagedIdentity|Windows Azure)" /var/lib/waagent/*.crt)
for ((i=0; i < ${#CRT_FILES[@]}; i++))
do
    PUBKEY=$(openssl x509 -in "${CRT_FILES[$i]}" -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8)
    sed -i -e "\@$PUBKEY@d" $HOME/.ssh/authorized_keys
Done 

När skriptet har körts kan du kontrollera ssh/authorized_keys-filen för att säkerställa att endast kända offentliga nycklar finns.

VMs distribueras med Key Vault hemligheter

Gör följande om du vill identifiera om nyckeln lades till när distribueras med valv nycklar:

1. Hämta namnet på nyckeln valv certifikatet som du har distribuerat med VM, granska distribution kod Az CLI eller ARM-mallar eller köra den här Az-CLI: az vm show --resource-group <resourceGroupName> --name <vmName> | grep certificateUrlSvaret visas namnet på: "certificateUrl": "https://<keyVaultname>.vault.azure.net/secrets/<certName>/xxxxxxxxxxxxx"

2. Hämta certifikatet: az keyvault certificate download --vault-name <keyVaultName> --name <certName> --encoding PEM --file public.pem

3. Extrahera den offentliga nyckeln: openssl x509 -in public.pm -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8

4. Jämför utdata från föregående steg till återstående certifikat i ssh/authorized_keys-fil. vi .ssh/authorized_keys file

Ubuntu 18.04 bilder

Om du vill uppdatera en anpassad källbilden, måste du göra följande ändringar:

• Redigera följande fil: /etc/cloud/cloud.cfg.d/90-Azure.cfg

• Lägg till följande kod i slutet av filen.

datasource:
   Azure:
     agent_command: [service, walinuxagent, start]

RHEL 7.4/7.5/7.6 och CentOS 7.6 bilder

Om du redan har skapat RHEL/CentOS-bilder med hjälp av dessa steg (eller en liknande metod), måste du uppdatera källbilden som du har skapat de virtuella maskiner. Ytterligare åtgärder som krävs för att lägga till i den befintliga källa VM image-konfigurationen är följande:

Steg 1

Redigera följande fil:

/etc/cloud/cloud.cfg.d/91-azure_datasource.cfg

Lägg till följande rader i slutet av filen:

datasource:
   Azure:
     agent_command: [systemctl, start, waagent, --no-block]

Steg 2

Uppdatera konfigurationen för Agent enligt följande:

cp /lib/systemd/system/waagent.service /etc/systemd/system/waagent.service
sed -i 's/After=network-online.target/WantedBy=cloud-init.service\\nAfter=network.service systemd-networkd-wait-online.service/g' /etc/systemd/system/waagent.service
systemctl daemon-reload

cloud-init-paket

Alla moln init-paket som innehåller en korrigeringsfil håller på att uppdateras. Microsoft undersöker problemet och kommer att publicera mer information i den här artikeln när informationen blir tillgänglig.