Packer: O par de chaves temporário do empacotador não foi removido de ~ / .ssh / authorized_keys (AWS AMI)

Depois de criar um AMI com empacotador baseado no Amazon Linux AMI, se eu iniciar uma instância desse AMI e ssh, estou vendo o par de chaves do empacotador temporário no arquivo ~/.ssh/authorized_keys , que é uma falha de segurança. Eu esperava que esse arquivo fosse excluído antes que o AMI fosse salvo.

Consegui solucionar isso excluindo explicitamente ~/.ssh/authorized_keys no modelo do empacotador (detalhes abaixo)

Versão do empacotador

Packer v0.10.0

Plataforma de hospedagem

CentOS Linux versão 7.2.1511 (Core)

Saída do log de depuração de PACKER_LOG=1 packer build template.json .

Aqui está a saída do empacotador:

https://gist.github.com/tleyden/4cc13b530f08bcaef04f5233bf43daee

Desculpe, não fiz PACKER_LOG = 1, mas posso executar novamente se necessário

O _modelo de exemplo mais simples e scripts_ necessários para reproduzir o bug

Modelo: https://github.com/couchbase/build/blob/2afdc7329faaa6a2f25befda59509b70a4a38349/scripts/jenkins/mobile/ami/sync-gateway.json

Roteiro:
Usando o plug-in Jenkins Packer e passando variáveis ​​para o empacotador por meio de:

-var 'source_ami=${source_ami}' -var 'ssh_username=${ssh_username}' -var 'couchbase_server_package_name=${couchbase_server_package_name}' -var 'couchbase_server_package_url=${couchbase_server_package_url}' -var 'couchbase_sync_gateway_package_base_url=${couchbase_sync_gateway_package_base_url}' -var 'couchbase_sync_gateway_package=${couchbase_sync_gateway_package}' -var 'couchbase_server_version=${couchbase_server_version}' -var 'couchbase_sync_gateway_version=${couchbase_sync_gateway_version}' -var 'couchbase_server_edition=${couchbase_server_edition}' -var 'sync_gateway_edition=${sync_gateway_edition}'

Gambiarra

Eu adicionei o seguinte provisionador ao modelo de empacotador:

    {
        "type": "shell",
        "inline": [
        "rm /home/ec2-user/.ssh/authorized_keys"
        ]
    }

e depois de iniciar o AMI, ele continha apenas a chave escolhida no assistente de "instância de inicialização" da AWS, e não o par de chaves temporário do empacotador.