ไม่เกี่ยวข้อง SSH คีย์สาธารณะเพิ่มไฟล์คีย์ที่ได้รับอนุญาตบน Linux VM

ระบุ

เมื่อต้องการตรวจสอบว่า คุณมีแป้นเพิ่มเติม ตรวจทานแฟ้มคีย์ที่ได้รับอนุญาต (แฟ้ม.ssh/authorized_keys vi) เพื่อตรวจสอบว่า มีการเพิ่มคีย์เพิ่มเติมใด ๆ ที่คุณไม่ได้ตั้งใจที่จะรวมไว้

ไซต์มีความปลอดภัยไปด้วยตนเองเอาใด ๆ เติม ssh สาธารณะแป้นขึ้นไปซึ่งอาจมีการเพิ่ม จะไม่มีผลต่อลักษณะการทำงานที่มีการติดตั้งพร้อมกับการ VM ดังกล่าวจะไม่ส่งผลต่อการระบุ SSH คู่ของคีย์สำหรับการรับรองความถูกต้อง

ถ้าคุณไม่ทราบ หรือไม่สามารถแยกความแตกต่างที่คีย์สาธารณะในแฟ้ม.ssh/authorized_keys คุณระบุสำหรับการรับรองความถูกต้อง ให้ทำตามขั้นตอนเหล่านี้:

1. ตรวจทานการปรับใช้แม่แบบ:

   1. ssh คีย์สาธารณะ

   2. ssh คีย์ในการตั้งค่าคอนฟิก cloud init

2. เรียกการใช้งาน ssh คีย์ในเวลาที่สร้างจากภายใน VM ถ้าคุณสามารถเข้าถึง sudo/ราก เมื่อต้องการทำเช่นนี้ ให้ทำตามขั้นตอนเหล่านี้

   1. ตรวจสอบการตั้งค่าคอนฟิก init เมฆที่ถูกส่งผ่านใน CustomData: sudo cat /var/lib/waagent/ovf-env.xml | grep "<ns1:CustomData>"ใช้ค่า CustomData และจากนั้น ใช้ base64 ถอดรหัสเพื่อรับคีย์สาธารณะที่คุณปรับใช้: echo "<customData value>" | base64 -D

   2. อีกวิธีหนึ่งคือ ตรวจสอบการอินสแตนซ์ Meta ข้อมูลการบริการ (IMDS) เมื่อต้องการดู ssh คีย์สาธารณะที่ผ่านเข้ามาใน ssh คุณสมบัติของคีย์สาธารณะของสร้าง VM: curl -H Metadata:true "http://169.254.169.254/metadata/instance/compute/publicKeys?api-version=2018-04-02&format=json"

Remediate

ถ้าคุณได้ระบุใบรับรองที่คุณไม่ต้องการปรับใช้ VM จะไม่ เพิ่มเติม คุณสามารถลบสิ่งเหล่านี้ โดยการลบบรรทัดสอดคล้องจากแฟ้ม authorized_keys

เรียกใช้ด้านที่ ด้วยการเชื่อมต่อแบบ VM มีการโต้ตอบ หรือใช้นามสกุลของสคริปต์กำหนดเองหรือ RunCommand ที่ข้ามหลาย VMs

VMs ปรับใช้ โดยใช้ส่วนขยายที่มีป้องกันการตั้งค่าหรือข้อมูลเฉพาะตัวที่มีการจัดการ

ใช้สคริปต์ต่อไปนี้เพื่อลบคีย์สาธารณะจากใบรับรองที่ถูกปรับใช้กับส่วนขยาย VM หรือจัดการข้อมูลเฉพาะตัว ดำเนินการนี้จะเอาไม่คีย์ที่ระบุไว้ เมื่อคุณปรับใช้ VM หรือ ถ้า VM ถูกปรับใช้กับชุดเก็บคีย์คีย์

#!/bin/bash
set -e

# /var/lib/waagent has *.crt files that include the crt files corresponding to 
# the user provided public keys and one additional .crt file from MSI.
# This script converts the content of the .crt file into the ssh public key and
# remove it from the authorized_keys file
readarray -t CRT_FILES < <(grep -l -E "(Microsoft.ManagedIdentity|Windows Azure)" /var/lib/waagent/*.crt)
for ((i=0; i < ${#CRT_FILES[@]}; i++))
do
    PUBKEY=$(openssl x509 -in "${CRT_FILES[$i]}" -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8)
    sed -i -e "\@$PUBKEY@d" $HOME/.ssh/authorized_keys
Done 

หลังจากรันสคริปต์ ตรวจสอบแฟ้ม ssh/authorized_keys เพื่อให้แน่ใจว่า มีเฉพาะคีย์สาธารณะทราบ

VMs ที่ปรับใช้กับความลับกชุดเก็บคีย์

เมื่อต้องการระบุว่าคีย์ถูกเพิ่มเมื่อปรับใช้กับแป้นกชุดเก็บคีย์ ให้ทำตามขั้นตอนเหล่านี้:

1. ดูชื่อของใบรับรองกชุดเก็บคีย์ที่คุณปรับใช้ โดยใช้ VM ทบทวนรหัสของการปรับใช้ไม่ Az หรือแม่แบบ ARM หรือรันไม่ Az นี้: az vm show --resource-group <resourceGroupName> --name <vmName> | grep certificateUrlคำตอบจะแสดงชื่อของใบรับรอง: "certificateUrl": "https://<keyVaultname>.vault.azure.net/secrets/<certName>/xxxxxxxxxxxxx"

2. ดาวน์โหลดใบรับรอง: az keyvault certificate download --vault-name <keyVaultName> --name <certName> --encoding PEM --file public.pem

3. ขยายคีย์สาธารณะ: openssl x509 -in public.pm -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8

4. เปรียบเทียบผลลัพธ์จากขั้นตอนก่อนหน้าเพื่อใบรับรองเหลืออยู่ในไฟล์ ssh/authorized_keys vi .ssh/authorized_keys file

รูป Ubuntu 18.04

การปรับปรุงรูปแบบกำหนดเองเป็นแหล่งที่มา คุณต้องทำการแก้ไขต่อไปนี้:

• แก้ไขแฟ้มต่อไปนี้: /etc/cloud/cloud.cfg.d/90-azure.cfg

• เพิ่มรหัสต่อไปนี้ลงในส่วนท้ายของแฟ้ม

datasource:
   Azure:
     agent_command: [service, walinuxagent, start]

RHEL 7.4/7.5/7.6 และ CentOS 7.6 ภาพพื้นหลัง

ถ้าคุณเคยสร้างรูป RHEL/CentOS โดยใช้ขั้นตอนเหล่านี้(หรือวิธีการคล้ายกัน), คุณต้องปรับปรุงรูปต้นฉบับที่คุณสร้างขึ้นมาแบบ VMs ต่อไปนี้คือ ขั้นตอนเพิ่มเติมที่จำเป็นเพื่อเพิ่มโครงรูป VM แหล่งที่มีอยู่ของคุณ:

ขั้นตอนที่ 1

แก้ไขแฟ้มต่อไปนี้:

/etc/cloud/cloud.cfg.d/91-azure_datasource.cfg

เพิ่มบรรทัดต่อไปนี้ลงในส่วนท้ายของแฟ้ม:

datasource:
   Azure:
     agent_command: [systemctl, start, waagent, --no-block]

ขั้นตอนที่ 2

ปรับปรุงการตั้งค่าคอนฟิกของบริษัทตัวแทนดังนี้:

cp /lib/systemd/system/waagent.service /etc/systemd/system/waagent.service
sed -i 's/After=network-online.target/WantedBy=cloud-init.service\\nAfter=network.service systemd-networkd-wait-online.service/g' /etc/systemd/system/waagent.service
systemctl daemon-reload

แพคเกจ cloud init

แพคเกจ init เมฆทั้งหมดที่มีการแก้ไขกำลังอยู่ในระหว่างการปรับปรุง Microsoft กำลังทำการวิจัยปัญหานี้ และจะโพสต์ข้อมูลเพิ่มเติมในบทความนี้เมื่อข้อมูลที่พร้อมใช้งาน