Packer: Pasangan kunci sementara pengemas tidak dihapus dari ~/.ssh/authorized_keys (AWS AMI)

Setelah saya membuat AMI dengan pengepak berdasarkan AMI Amazon Linux, jika saya meluncurkan turunan AMI itu dan ssh in, saya melihat pasangan kunci pengepak sementara di file ~/.ssh/authorized_keys , yang merupakan lubang keamanan. Saya mengharapkan file itu dihapus sebelum AMI disimpan.

Saya dapat mengatasi ini dengan secara eksplisit menghapus ~/.ssh/authorized_keys di template packer (detail di bawah)

Versi Pembungkus

Pengemas v0.10.0

Platform tuan rumah

CentOS Linux rilis 7.2.1511 (Inti)

Debug log keluaran dari PACKER_LOG=1 packer build template.json .

Berikut adalah hasil pengepakan:

https://Gist.github.com/tleyden/4cc13b530f08bcaef04f5233bf43daee

Maaf, saya tidak melakukan PACKER_LOG=1, tetapi dapat menjalankan kembali jika perlu

_Contoh template dan skrip_ yang paling sederhana_ diperlukan untuk mereproduksi bug

Templat: https://github.com/couchbase/build/blob/2afdc7329faaa6a2f25befda59509b70a4a38349/scripts/jenkins/mobile/ami/sync-gateway.json

Naskah:
Menggunakan plugin Jenkins Packer dan meneruskan variabel ke packer melalui:

-var 'source_ami=${source_ami}' -var 'ssh_username=${ssh_username}' -var 'couchbase_server_package_name=${couchbase_server_package_name}' -var 'couchbase_server_package_url=${couchbase_server_package_url}' -var 'couchbase_sync_gateway_package_base_url=${couchbase_sync_gateway_package_base_url}' -var 'couchbase_sync_gateway_package=${couchbase_sync_gateway_package}' -var 'couchbase_server_version=${couchbase_server_version}' -var 'couchbase_sync_gateway_version=${couchbase_sync_gateway_version}' -var 'couchbase_server_edition=${couchbase_server_edition}' -var 'sync_gateway_edition=${sync_gateway_edition}'

Solusi

Saya menambahkan penyedia berikut ke template packer:

    {
        "type": "shell",
        "inline": [
        "rm /home/ec2-user/.ssh/authorized_keys"
        ]
    }

dan setelah meluncurkan AMI, itu hanya berisi kunci yang dipilih dalam wizard "peluncuran instans" AWS, dan bukan pasangan kunci sementara pengepakan.