在 Linux VM 上的授權金鑰檔案加入了沒有直接關聯的 SSH 公開金鑰

識別

若要檢查您是否擁有其他金鑰，請檢閱授權金鑰檔案 (vi .ssh/authorized_keys 檔案)，確定是否加入了不’打算加入的任何金鑰。

您可放心手動移除可能已加入的任何 ssh 公開金鑰， 這對於與 VM 一起部署的功能不會有任何影響。 此外，這對於驗證所需的特定 SSH 金鑰組而言，也不會有任何影響。

如果您不知道或無法區分 .ssh/authorized_keys 檔案中用於驗證的公開金鑰為何，請按照以下步驟操作： 

1. 檢閱部署範本：

   1. ssh 公開金鑰

   2. cloud-init 組態中的 ssh 金鑰

2. 如果您擁有 sudo/root 存取權限，請在 VM 建立時，從 VM 內部擷取已部署的 ssh 金鑰。 若要執行這項操作，請依照下列步驟執行：

   1. 檢查在 CustomData 中傳遞的 cloud-init 組態： sudo cat /var/lib/waagent/ovf-env.xml | grep "<ns1:CustomData>"
      使用 CustomData 值，然後使用 base64 解碼取得您部署的公開金鑰： echo "<customData value>" | base64 -D

   2. 或者，檢查 Instance Meta Data Service (IMDS)，查看在 VM Create 的 ssh 公開金鑰屬性中傳遞的 ssh 公開金鑰： curl -H Metadata:true "http://169.254.169.254/metadata/instance/compute/publicKeys?api-version=2018-04-02&format=json"

修復

如果您已找出不打算部署到 VM 的其他憑證，只要從 authorized_keys 檔案清除這些憑證的對應行，即可移除憑證。

以互動方式連接 VM 以執行修復，或在多個 VM 上使用自訂指令碼延伸或 RunCommand。

使用含保護設定或受控識別的延伸來部署 VM

在使用延伸或受控識別部署 VM 的憑證中，使用以下指令碼移除公開金鑰。 這個動作不會移除部署 VM 時指定的金鑰，即使 VM 是使用金鑰保存庫金鑰來部署也一樣。

#!/bin/bash
set -e

# /var/lib/waagent has *.crt files that include the crt files corresponding to 
# the user provided public keys and one additional .crt file from MSI.
# This script converts the content of the .crt file into the ssh public key and
# remove it from the authorized_keys file
readarray -t CRT_FILES < <(grep -l -E "(Microsoft.ManagedIdentity|Windows Azure)" /var/lib/waagent/*.crt)
for ((i=0; i < ${#CRT_FILES[@]}; i++))
do
    PUBKEY=$(openssl x509 -in "${CRT_FILES[$i]}" -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8)
    sed -i -e "\@$PUBKEY@d" $HOME/.ssh/authorized_keys
Done 

執行指令碼後，檢查 ssh/authorized_keys 檔案，確保只存在已知的公開金鑰。

使用金鑰保存庫密碼部署的 VM

使用金鑰保存庫金鑰部署時，若要確定是否加入了金鑰，請按照以下步驟操作：

1. 取得使用 VM 部署的金鑰保存庫憑證的名稱，檢閱部署代碼 Az CLI 或 ARM 範本，或執行此 Az CLI：
     az vm show --resource-group <resourceGroupName> --name <vmName> | grep certificateUrl
   
   回應將顯示憑證名稱：
     "certificateUrl": "https://<keyVaultname>.vault.azure.net/secrets/<certName>/xxxxxxxxxxxxx"

2. 下載憑證：
     az keyvault certificate download --vault-name <keyVaultName> --name <certName> --encoding PEM --file public.pem

3. 擷取公開金鑰：
     openssl x509 -in public.pm -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8

4. 將上一步的輸出與 ssh/authorized_keys 檔案中的其餘憑證進行比對。
     vi .ssh/authorized_keys file

Ubuntu 18.04 映像

若要更新來源自訂映像，您必須進行以下修改：

• 編輯下列檔案：
  
  /etc/cloud/cloud.cfg.d/90-azure.cfg

• 將下列程式碼加到檔案的結尾處。

datasource:
   Azure:
     agent_command: [service, walinuxagent, start]

RHEL 7.4/7.5/7.6 和 CentOS 7.6 映像

如果之前已按照這些步驟 (或類似方法) 建立 RHEL/CentOS 映像，則必須更新用以建立 VM 的來源映像。 您必須將以下其他步驟加入現有的來源 VM 映像組態：

步驟 1 

編輯下列檔案：

/etc/cloud/cloud.cfg.d/91-azure_datasource.cfg 

將下行加到檔案的結尾處： 

datasource:
   Azure:
     agent_command: [systemctl, start, waagent, --no-block]

步驟 2

如下更新代理程式組態：

cp /lib/systemd/system/waagent.service /etc/systemd/system/waagent.service
sed -i 's/After=network-online.target/WantedBy=cloud-init.service\\nAfter=network.service systemd-networkd-wait-online.service/g' /etc/systemd/system/waagent.service
systemctl daemon-reload

cloud-init 封裝

包含修正程式的所有 cloud-init 封裝都正在進行更新。 Microsoft 將持續研究此問題；若有更多資訊，將於本文發佈。