添加到 Linux VM 上的授权密钥文件的外来 SSH 公钥

标识

要检查是否具有其他密钥，请查看授权密钥文件（vi .ssh/authorized_keys 文件），以确定是否添加了任何你未打算包含的密钥。

手动移除可能已添加的任何其他 ssh 公钥比较安全。 这不会影响与 VM 一起部署的功能。 此外，也不会影响指定用于身份验证的 SSH 密钥对。

如果你不知道或无法区分 .ssh/authorized_keys 文件中哪个公钥指定用于身份验证，请按照以下步骤操作：

1. 查看部署模板：

   1. ssh 公钥

   2. cloud-init 配置中的 ssh 密钥

2. 从 VM 中检索创建时部署的 ssh 密钥（如果你有 sudo/根目录访问权限）。 为此，请按照下列步骤操作：

   1. 检查在 CustomData 中传递的 cloud-init 配置： sudo cat /var/lib/waagent/ovf-env.xml | grep "<ns1:CustomData>"
      使用 CustomData 值，然后使用 base64 解码以获取部署的公钥： echo "<customData value>" | base64 -D

   2. 或者，检查实例元数据服务 (IMDS) 以查看在 VM Create 的 ssh 公钥属性中传递的 ssh 公钥： curl -H Metadata:true "http://169.254.169.254/metadata/instance/compute/publicKeys?api-version=2018-04-02&format=json"

修正

如果发现了未打算部署到 VM 的额外证书，可以通过从 authorized_keys 文件中擦除相应行来移除这些证书。

通过交互式连接到 VM 来运行修正，或跨 VM 使用自定义脚本扩展或 RunCommand。

通过使用具有受保护的设置的扩展或托管标识部署的 VM

使用以下脚本从通过扩展或托管标识部署 VM 的证书中移除公钥。 这不会移除部署 VM 时或当使用密钥保管库密钥部署 VM 时指定的密钥。

#!/bin/bash
set -e

# /var/lib/waagent has *.crt files that include the crt files corresponding to 
# the user provided public keys and one additional .crt file from MSI.
# This script converts the content of the .crt file into the ssh public key and
# remove it from the authorized_keys file
readarray -t CRT_FILES < <(grep -l -E "(Microsoft.ManagedIdentity|Windows Azure)" /var/lib/waagent/*.crt)
for ((i=0; i < ${#CRT_FILES[@]}; i++))
do
    PUBKEY=$(openssl x509 -in "${CRT_FILES[$i]}" -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8)
    sed -i -e "\@$PUBKEY@d" $HOME/.ssh/authorized_keys
Done 

运行脚本之后，检查 ssh/authorized_keys 文件以确保仅存在已知公钥。

使用密钥保管库密钥部署的 VM

若要确定使用密钥保管库密钥部署时是否添加了密钥，请按照以下步骤操作：

1. 获取使用 VM 部署的密钥保管库证书的名称，查看部署代码 Az CLI 或 ARM 模板，或运行此 Az CLI：
     az vm show --resource-group <resourceGroupName> --name <vmName> | grep certificateUrl
   
   响应将显示证书名称：
     "certificateUrl": "https://<keyVaultname>.vault.azure.net/secrets/<certName>/xxxxxxxxxxxxx"

2. 下载证书：
     az keyvault certificate download --vault-name <keyVaultName> --name <certName> --encoding PEM --file public.pem

3. 提取公钥：
     openssl x509 -in public.pm -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8

4. 将前面步骤的输出与 ssh/authorized_keys 文件中的剩余证书进行比较。
     vi .ssh/authorized_keys file

Ubuntu 18.04 映像

若要更新源自定义映像，必须进行以下修改：

• 编辑以下文件：
  
  /etc/cloud/cloud.cfg.d/90-azure.cfg

• 在文件结尾处添加以下代码：

datasource:
   Azure:
     agent_command: [service, walinuxagent, start]

RHEL 7.4/7.5/7.6 和 CentOS 7.6 映像

如果你之前通过使用这些步骤（或类似方法）创建了 RHEL/CentOS 映像，则必须更新用于创建 VM 的源映像。 以下是添加到现有源 VM 映像配置所需的额外步骤：

步骤 1

编辑以下文件：

/etc/cloud/cloud.cfg.d/91-azure_datasource.cfg 

在文件结尾处添加以下行：

datasource:
   Azure:
     agent_command: [systemctl, start, waagent, --no-block]

步骤 2

更新代理配置，如下所示：

cp /lib/systemd/system/waagent.service /etc/systemd/system/waagent.service
sed -i 's/After=network-online.target/WantedBy=cloud-init.service\\nAfter=network.service systemd-networkd-wait-online.service/g' /etc/systemd/system/waagent.service
systemctl daemon-reload

cloud-init 程序包

包含修补程序的所有 cloud-init 程序包都在更新。 Microsoft 正在研究此问题，并且将在获得更多信息之后在本文中添加这些信息。