Yabancı SSH genel Linux VM yetkili anahtarları dosyaya eklenen anahtarlar

Belirle

Ek anahtar olup olmadığını denetlemek için eklenecek paylaşmamış herhangi bir ek anahtar eklenip eklenmediğini belirlemek için yetkili tuşları dosyası (VI .ssh/authorized_keys) gözden geçirin.

Bunu el ile kaldırma ssh ortak, tuşları diğer eklenmemiş olabilir için güvenlidir. Bu değil , VM ile birlikte dağıtılan özellikleri etkiler. Ayrıca, kimlik doğrulaması için belirtilen, SSH anahtar çifti etkilemez.

Bilmiyorsanız veya .ssh/authorized_keys dosyasında belirtilen kimlik doğrulama için hangi ortak anahtarlar ayırt edemez, şu adımları izleyin:

1. Şablonlarını dağıtma gözden geçirin:

   1. SSH ortak anahtarlar

   2. SSH bulut init yapılandırmasında tuşları

2. Sudo/root erişimi varsa Al dağıtılan ssh VM içinde oluşturma zamanında anahtarları. Bunu yapmak için şu adımları izleyin:

   1. CustomData içinde geçirilen bulut başlangıç yapılandırmasını denetleyin: sudo cat /var/lib/waagent/ovf-env.xml | grep "<ns1:CustomData>"CustomData değeri kullanın ve sonra kullanım base64 kod çözme, dağıtılan ortak anahtarları almak için: echo "<customData value>" | base64 -D

   2. Alternatif olarak, kontrol görmek için örnek Meta Veri Hizmeti'nı (IMDS) ssh geçirildi ortak anahtar ssh VM oluşturma, ortak anahtar özelliği: curl -H Metadata:true "http://169.254.169.254/metadata/instance/compute/publicKeys?api-version=2018-04-02&format=json"

Yeniden yap

Değil VM dağıtmak istediniz ek sertifikalar belirlediyseniz, bu dosyadan authorized_keys karşılık gelen bir satır silme tarafından kaldırabilirsiniz.

Düzeltme VM bağlanarak etkileşimli olarak çalıştırmak veya özel komut dosyası uzantısı veya KomutÇalıştır arasında birden fazla VMs kullanın.

Ayarları veya yönetilen bir kimlik korunan uzantıları kullanılarak dağıtılan VM'ler

Ortak anahtarlar VM uzantıları ile dağıtılan veya kimlik yönetilen sertifikalarını kaldırmak için aşağıdaki komut dosyasını kullanın. Bu VM dağıtıldığında veya VM anahtar Vault tuşları ile dağıttıysanız belirtilmiş Kaldır tuşları değil olur.

#!/bin/bash
set -e

# /var/lib/waagent has *.crt files that include the crt files corresponding to 
# the user provided public keys and one additional .crt file from MSI.
# This script converts the content of the .crt file into the ssh public key and
# remove it from the authorized_keys file
readarray -t CRT_FILES < <(grep -l -E "(Microsoft.ManagedIdentity|Windows Azure)" /var/lib/waagent/*.crt)
for ((i=0; i < ${#CRT_FILES[@]}; i++))
do
    PUBKEY=$(openssl x509 -in "${CRT_FILES[$i]}" -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8)
    sed -i -e "\@$PUBKEY@d" $HOME/.ssh/authorized_keys
Done 

Komut çalıştırıldıktan sonra yalnızca bilinen ortak anahtarlar var emin olmak için ssh/authorized_keys dosyasını denetleyin.

Anahtar Vault sırlarını ile dağıtılan VM'ler

Anahtar Vault tuşları ile dağıtıldığında anahtarı eklenmiştir olup olmadığını belirlemek için şu adımları izleyin:

1. VM kullanarak dağıtılan Vault anahtar sertifikasının adını almak, dağıtım kodu Az CLI veya ARM şablonlarını gözden geçirin veya bu Az CLI çalıştırın: az vm show --resource-group <resourceGroupName> --name <vmName> | grep certificateUrlSertifika adı yanıt gösterir: "certificateUrl": "https://<keyVaultname>.vault.azure.net/secrets/<certName>/xxxxxxxxxxxxx"

2. Sertifika yükleyin: az keyvault certificate download --vault-name <keyVaultName> --name <certName> --encoding PEM --file public.pem

3. Genel anahtar ayıklamak: openssl x509 -in public.pm -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8

4. Ssh/authorized_keys dosyasındaki kalan sertifikalar için önceki adımı çıktısı karşılaştırın. vi .ssh/authorized_keys file

Ubuntu 18.04 görüntüleri

Kaynak özel görüntüyü güncelleştirmek için aşağıdaki değişiklikleri yapmanız gerekir:

• Aşağıdaki dosyasını düzenleyin: /etc/cloud/cloud.cfg.d/90-Azure.cfg

• Dosyanın sonuna aşağıdaki kodu ekleyin.

datasource:
   Azure:
     agent_command: [service, walinuxagent, start]

RHEL 7.4/7.5/7.6 ve CentOS 7.6 görüntüleri

RHEL/CentOS görüntüleri aşağıdaki adımları kullanarak (veya benzer bir yöntem) önceden oluşturduysanız, VMs oluşturduğunuz kaynak görüntü güncelleştirmeniz gerekir. Varolan kaynak VM görüntü yapılandırmanıza eklemek için gereken ek adımlar şunlardır:

Adım 1

Aşağıdaki dosyasını düzenleyin:

/etc/cloud/cloud.cfg.d/91-azure_datasource.cfg

Dosyanın sonuna aşağıdaki satırları ekleyin:

datasource:
   Azure:
     agent_command: [systemctl, start, waagent, --no-block]

Adım 2

Aracısı yapılandırmasını aşağıdaki şekilde güncelleştirin:

cp /lib/systemd/system/waagent.service /etc/systemd/system/waagent.service
sed -i 's/After=network-online.target/WantedBy=cloud-init.service\\nAfter=network.service systemd-networkd-wait-online.service/g' /etc/systemd/system/waagent.service
systemctl daemon-reload

Bulut init paketleri

Bir düzeltme içeren tüm bulut init güncelleştirilmesi sürecinde paketlerdir. Microsoft bu sorunu araştırmaktadır ve daha fazla bilgi kullanıma hazır olduğunda bu makalede yayımlayacaktır.