Đưa SSH khoá công cộng thêm vào cho phép khoá tệp trên máy ảo Linux

Xác định

Để kiểm tra xem bạn có khoá bổ sung, đánh giá tập hợp lệ phím (vi .ssh/authorized_keys tệp) để xác định xem bất kỳ khoá bổ sung mà bạn không muốn bao gồm đã được thêm vào.

Rất an toàn tự loại bỏ bất kỳ bổ sung ssh công khoá đó có thể đã được thêm vào. Điều này sẽ không ảnh hưởng đến các tính năng được triển khai cùng với máy ảo. Ngoài ra, nó sẽ không ảnh hưởng đến cặp của bạn đã chỉ định SSH chính xác thực.

Nếu bạn không biết hoặc không thể phân biệt được khoá công cộng trong .ssh/authorized_keys tệp đã chỉ định cho xác thực, hãy làm theo các bước sau:

1. Xem mẫu triển khai của bạn:

   1. SSH khoá công cộng

   2. SSH phím trong cấu hình máy chủ ảo init

2. Lấy các triển khai ssh phím lúc tạo từ bên trong máy ảo, nếu bạn có thể truy cập sudo/gốc. Để thực hiện việc này, hãy làm theo các bước sau:

   1. Kiểm tra cấu hình máy chủ ảo init được chuyển vào CustomData: sudo cat /var/lib/waagent/ovf-env.xml | grep "<ns1:CustomData>"Sử dụng giá trị CustomData và sau đó sử dụng base64 giải mã nhận khoá công cộng mà bạn triển khai: echo "<customData value>" | base64 -D

   2. Ngoài ra, hãy kiểm tra các phiên bản Meta dữ liệu dịch vụ (IMDS) để xem các ssh khoá công cộng được chuyển vào các ssh cộng sản chính của tạo máy ảo: curl -H Metadata:true "http://169.254.169.254/metadata/instance/compute/publicKeys?api-version=2018-04-02&format=json"

Remediate

Nếu bạn đã xác định các chứng chỉ mà bạn đã không có ý định triển khai máy ảo, bạn có thể loại bỏ các xóa các dòng tương ứng từ authorized_keys tệp.

Do sửa chữa kết nối với máy ảo tương tác, hoặc sử dụng phần mở rộng tập lệnh tuỳ chỉnh hoặc RunCommand trên nhiều máy ảo.

Triển khai bằng cách sử dụng tiện ích mở rộng đã bảo vệ cài đặt hoặc bản quản lý máy ảo

Sử dụng lệnh sau để xoá khoá công cộng từ chứng chỉ khi máy ảo được triển khai với phần mở rộng hoặc quản lý danh tính. Điều này sẽ không xoá khoá được chỉ định khi bạn triển khai một máy ảo, hoặc nếu máy ảo được triển khai với khoá tín liệu khoá.

#!/bin/bash
set -e

# /var/lib/waagent has *.crt files that include the crt files corresponding to 
# the user provided public keys and one additional .crt file from MSI.
# This script converts the content of the .crt file into the ssh public key and
# remove it from the authorized_keys file
readarray -t CRT_FILES < <(grep -l -E "(Microsoft.ManagedIdentity|Windows Azure)" /var/lib/waagent/*.crt)
for ((i=0; i < ${#CRT_FILES[@]}; i++))
do
    PUBKEY=$(openssl x509 -in "${CRT_FILES[$i]}" -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8)
    sed -i -e "\@$PUBKEY@d" $HOME/.ssh/authorized_keys
Done 

Sau khi đã chạy tập lệnh kiểm tra tệp ssh/authorized_keys nhằm chỉ các khu vực key(s) hiện có.

Máy ảo được bố trí khoá tín liệu bí mật

Để xác định xem khoá được thêm vào khi triển khai với khoá tín liệu phím, hãy làm theo các bước sau:

1. Có tên của chứng chỉ khoá tín liệu bạn triển khai bằng cách sử dụng máy ảo, xem xét triển khai mã Az CLI hoặc ARM mẫu hoặc chạy CLI Az này: az vm show --resource-group <resourceGroupName> --name <vmName> | grep certificateUrlTrả lời sẽ hiển thị tên chứng chỉ: "certificateUrl": "https://<keyVaultname>.vault.azure.net/secrets/<certName>/xxxxxxxxxxxxx"

2. Tải xuống chứng chỉ: az keyvault certificate download --vault-name <keyVaultName> --name <certName> --encoding PEM --file public.pem

3. Trích xuất các khóa công khai: openssl x509 -in public.pm -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8

4. So sánh kết quả từ các bước trước đó để Certs hàng còn lại trong tệp ssh/authorized_keys. vi .ssh/authorized_keys file

Ubuntu 18,04 ảnh

Cập Nhật hình ảnh tuỳ chỉnh nguồn, bạn phải thực hiện các thay đổi sau:

• Chỉnh sửa tệp sau: /etc/Cloud/Cloud.cfg.d/90-Azure.cfg

• Thêm mã sau vào cuối tập tin.

datasource:
   Azure:
     agent_command: [service, walinuxagent, start]

RHEL 7.4/7.5/7.6 và CentOS 7,6 ảnh

Nếu bạn đã tạo ảnh RHEL/CentOS bằng cách sử dụng các bước sau (hoặc một phương pháp tương tự), bạn phải Cập Nhật hình ảnh nguồn mà bạn đã tạo các máy ảo. Sau đây là các bước bổ sung được yêu cầu để thêm vào cấu hình ảnh VM nguồn hiện có:

Bước 1

Chỉnh sửa tệp sau:

/etc/cloud/cloud.cfg.d/91-azure_datasource.cfg

Thêm dòng sau vào cuối tập tin:

datasource:
   Azure:
     agent_command: [systemctl, start, waagent, --no-block]

Bước 2

Cập Nhật cấu hình tác nhân như sau:

cp /lib/systemd/system/waagent.service /etc/systemd/system/waagent.service
sed -i 's/After=network-online.target/WantedBy=cloud-init.service\\nAfter=network.service systemd-networkd-wait-online.service/g' /etc/systemd/system/waagent.service
systemctl daemon-reload

máy chủ ảo init gói

Tất cả các gói máy chủ ảo init bao gồm các bản vá trong quá trình Cập Nhật. Microsoft đang nghiên cứu vấn đề này và sẽ đăng thêm thông tin trong bài viết này khi thông tin có sẵn.