ホストプロファイルを使用して ESXi 8.0 に SSH 公開鍵を割り当てると、キーベースの SSH 認証が失敗する

Products

• VMware vCenter Server
• VMware vSphere ESXi

Issue/Introduction

免責事項：これは英文の記事「Assigning an SSH public key to ESXi 8.0 using a host profile results in key-based SSH authentication failing」の日本語訳です。記事はベストエフォートで翻訳を進めているため、ローカライズ化コンテンツは最新情報ではない可能性があります。最新情報は英語版の記事で参照してください。

Symptoms:

• SSH公開鍵は、ホストプロファイルブランチのセキュリティとサービス > セキュリティ設定 > セキュリティ > ユーザー設定 > ルートで設定されます。
  キー文字列の形式は正しい状態:
  

  from="1.2.3.4" ssh-rsa <ハッシュ>

• ホストプロファイルの修正完了後に次の症状:
  • ESXiホストは、プロファイル内のキーがホスト上のキーと一致しないため、非準拠として報告され続けます。
  • キーを使用したSSHログイン試行が失敗します。
    
    

Environment

VMware vSphere ESXi 8.0
VMware vSphere ESXi 8.0.x
VMware vCenter Server 8.0.x

Cause

この問題は、ESXi ホストプロファイルエンジンが文字列の一部である送信元 IP アドレスを囲む二重引用符を適切にエスケープしていないために発生します。そのため、  /etc/ssh/keys-root/authorized_keys にキー文字列を追加すると、これらの二重引用符が削除されてしまいます。しかし、ESXi の SSH サーバーコンポーネントでは、送信元 IP アドレスを二重引用符で囲む必要があるため、このキーを使用した SSH ログイン試行はすべて失敗します。

Resolution

現在、解決策はありません。VMware のエンジニアリングチームはこの問題を認識しており、修正に取り組んでいます。
修正情報の公開について、この記事の英語版をサブスクライブして最新情報を入手してください。

回避策：

1. この問題を回避するには、以下の手順を実行してください。
   ホスト プロファイルを編集し、2 つの二重引用符の前にバックスラッシュ (\) を追加して、二重引用符が適切にエスケープされるようにします。そのため、 セキュリティとサービス > セキュリティ設定 > セキュリティ > ユーザー設定 > root では、次のようになります。
   

   from="1.2.3.4" ssh-rsa <ハッシュ>

   バックスラッシュを追記：
   

   from=\"1.2.3.4\" ssh-rsa <ハッシュ>

2. ホスト プロファイルに従ってホストを修正します。
   
   Note:
   この段階で、/etc/ssh/keys-root/authorized_keys 内のキー文字列のエントリは正しい形式になり、キーベースのSSH認証を使用できるようになりました。ただし、ホストはホストプロファイルに準拠していません。準拠させるには、次の手順を実行してください。
   
   
3. ホスト プロファイルを再度編集し、手順 1 で追加した 2 つのバックスラッシュ文字 (\) を次の場所から削除します。
   
   

   from=\"1.2.3.4\" ssh-rsa <ハッシュ>

   バックスラッシュを削除：

   from="1.2.3.4" ssh-rsa <ハッシュ>

4. プロファイルに対してホストのコンプライアンススキャンをもう一度実行します。これでコンプライアンスが準拠します。