OpenInfra分享 | 关于虚拟机密码你所有需要知道的一切

迷南。 2022-01-17 04:37 1290阅读 0赞

虽然各种云的虚拟机都推荐使用 SSH 密钥登录，但是还是有很多人喜欢使用密码登录，而且有的时候需要通过 console 来登录系统。那么如何更好的设置、修改虚拟机的密码呢?本文以 OpenStack 为例，介绍如何设置及修改虚拟机密码。

1、内置密码

这是最简单的，制作镜像的时候直接给 root 账号配置一个密码。但是问题也不言而喻，所有的示例都有相同的默认密码，如果用户忘记修改密码，其它人很容易的就能扫到你的机器，从而登录你的机器。

2、启动时通过 libvirt 进行密码注入

这种方法是在 nova.conf里面开始如下配置：

\[libvirt\]  
inject\_password = false  
inject\_key = false  
inject\_partition = -2

在虚拟机启动的时候，通过 --admin-pass 传入一个指定的密码。但是这个方法也有一系列的问题：

● 不支持 Boot from volume  
● 代码层面上，如果注入失败，没有任何错误信息报出来。  
● libvirt 注入对物理机来说并不安全，有安全隐患。  
● 密码并没有持久化(存入数据库)，也不应该做持久化，在 evacuate 或 unshelve 的时候，这些密码信息会被丢掉。

所以这个方法也不推荐使用，更详细的信息，可能参看另一篇文章《rbd 是否支持注入》。

3、通过 metadata api 注入

cloud-init 这个服务是从 AWS 学来的。它安装在虚拟机中，在启动虚拟机时，做一些初始化工作，如：硬盘分区自动扩展、SSH Public Key 注入、用户创建等。用户甚至可以注入一些 shell 脚本到虚拟机中运行。在自动化方面起到很大的作用。Heat 的实现就依赖于 cloud-init 服务。

在 OpenStack 上，cloud-init 应该从 [http://169.254.169.254][http_169.254.169.254] 去拿到所需要的信息，而这个服务是通过 iptables 转到了 neutron-metadata-agent 服务上。

通过 cloud-init 注入也有几种方式，下面分别进行介绍。

**脚本**

因为在虚拟机启动的时候，是可以传入 shell 脚本的 user\_data，所以可以在这个 shell 脚本里面修改 root 密码。

cat <<EOF > user\_data.sh  
\#!/bin/sh  
passwd root<<EOF  
root\_pass  
root\_pass  
EOF

nova boot --user-data ./user\_data.sh --image ...

**cloud init configuration**

user data 也可以是 cloud-init 支持的一个 yaml 结构文件，所以还可以通过如下方式改密码：

\#cloud-config  
password: password  
chpasswd:  
expire: False

这种方式要比「脚本」的方法优雅一些，推荐使用。而且cloud-init 本身功能很强大，值得深入挖掘。

**config drive**

默认情况下，metadata api 是通过 [http://169.254.169.254][http_169.254.169.254] 这个地址获取元数据信息。此外，nova 也支持使用 disk 的方式传入元数据。方便在网络环境不允许 metadata api 的情况下使用。性能也比 metadata api 好的多。  
config drive 的开启方法是在 nova.conf 中配置：

\[DEFAULT\]  
force\_config\_drive = true

或在启动虚拟机的时候，加上如下参数：

nova boot --config-drive true --image ...

开启 config drive 后，除了上面提到的「脚本」和「cloud init configuration」方式，还可以使用 nova 的 --admin-pass 参数。虽然这时密码是注入到了虚拟中，但是 cloud init 并不支持读取这里的密码，所以会失败。不过可以修改下 cloud init 支持这种方式。具体更多信息参看\[参考文献1\]。

4、通过 nova set-password

nova 还支持通过 libvirt 的 set-user-password 接口来修改正在运行的虚拟密码。这个接口本质上是通过 qemu-guest-agent 的 guest-set-user-password 接口来修改密码。所以对 libvirt 及 qemu-guest-agent 的版本都有要求。

libvirt > 1.2.16 \# host  
qemu-guest-agent\[2\] > 2.3 \# linux guest  
qemu-guest-agent\[3\] > 2.5 \# window guest

现在看支持的 Guest 操作系统如下：  
● CentOS 6 / CentOS 7  
● Ubuntu 16.04 / Ubuntu 18.04  
● Window XP 及之后所有的版本

值的一提的是 CentOS 6 虽然用的 qemu-guest-agent 版本是 qemu-guest-agent-0.12.1.2-2.491.el6\_8.6.x86\_64，但是红帽已经把相关 patch backport 了回头，所以也是支持。

使用方法如下：  
● 做镜像的时候，安装 qemu-gest-agent 到虚拟机，并且开启随机启动。  
● 上传镜像的时候，加上相关的 metadata 信息： glance image-create --property hw\_qemu\_guest\_agent=yes

5、虚拟机自动生成加密密码

很早之前，nova 还支持了虚拟机生成密码，然后加密后传回 nova 的功能\[参考文献4\]。其原理如下：

1、虚拟机动态生成 root 的密码  
2、把 root 密码通过 ssh public key 加密  
3、把加密后的密码通过 POST /openstack/latest/password 接口传回 nova  
4、用户通过nova get-password命令来拿到密码后的密码  
5、用户使用自己的 ssh private key 进行密码揭密。

因为密钥对等加密原因，除了「1」「5」可以看到明文密码外，其它步骤里面都是加密的。所以这种方式可以说是最安全的方案。连云平台提供商都不能看到真正的密码。

不过这种方式只在 Windows 的 cloud init 版本 cloudbase-init 里面有实现\[参考文献5\]。Linux 版本的 cloud-init 并不支持。不过 Github 上面找到一个类似的实现\[参考文献6\]，虽然只支持 RHEL 7, 但是有需要的话，可以参考修改下。

6、如果我忘记了虚拟机密码怎么办

● 如果你还有虚拟机的 ssh private key，可能通过 ssh 登录机器修改密码  
● 如果你的虚拟机平台支持 nova set-password, 可以在线改

如果以上都不满足，就需要手动重置 root 密码，基本思路是在 Linux 启动的时候，进入一个不需要密码登录的环境，然后修改 root 密码，步骤如下：

1、通过 horizon, 打开对应虚拟机的 console 界面  
2、软重启虚拟机，  
3、在 grub 界面按字母e  
4、找到 linux 一行，这一行中加入 init=/bin/bash, 并删掉 console=tty0 console=ttyS0,115200， 把 ro 改为 rw  
5、按 ctrl + x 继续启动  
6、这时你应试就可以直接登录到系统里面，通过 passwd 命令直接修改密码  
7、硬重启操作系统 nova reboot --hard

以上言简意赅的介绍了几种如何设置及修改虚拟机密码的方法，感兴趣的OpenStacker可以亲身实践，同时在本文结尾提供了更多相关文献供参考。

参考文献：  
\[1\] [http://niusmallnan.com/\_build/html/\_templates/openstack/inject\_passwd.html\#cloud-init][http_niusmallnan.com_build_html_templates_openstack_inject_passwd.html_cloud-init]  
\[2\][https://github.com/qemu/qemu/commit/215a2771a7b6b29037ee8deba484815d816b6fdd][https_github.com_qemu_qemu_commit_215a2771a7b6b29037ee8deba484815d816b6fdd]  
\[3\][https://github.com/qemu/qemu/commit/259434b8067e1c61017e9a5b8667b6526b474ff2][https_github.com_qemu_qemu_commit_259434b8067e1c61017e9a5b8667b6526b474ff2]  
\[4\] [https://review.openstack.org/\#/c/17274/][https_review.openstack.org_c_17274]  
\[5\] [https://github.com/openstack/cloudbase-init/blob/master/cloudbaseinit/metadata/services/httpservice.py][https_github.com_openstack_cloudbase-init_blob_master_cloudbaseinit_metadata_services_httpservice.py]  
\[6\] [https://github.com/vvaldez/openstack-password-reset][https_github.com_vvaldez_openstack-password-reset]  
\[0\] [https://zhangchenchen.github.io/2017/01/19/openstack-reset-instance-password][https_zhangchenchen.github.io_2017_01_19_openstack-reset-instance-password]

转载于:https://blog.51cto.com/99cloud/2094331

[http_169.254.169.254]: http://169.254.169.254
[http_niusmallnan.com_build_html_templates_openstack_inject_passwd.html_cloud-init]: http://niusmallnan.com/_build/html/_templates/openstack/inject_passwd.html#cloud-init
[https_github.com_qemu_qemu_commit_215a2771a7b6b29037ee8deba484815d816b6fdd]: https://github.com/qemu/qemu/commit/215a2771a7b6b29037ee8deba484815d816b6fdd
[https_github.com_qemu_qemu_commit_259434b8067e1c61017e9a5b8667b6526b474ff2]: https://github.com/qemu/qemu/commit/259434b8067e1c61017e9a5b8667b6526b474ff2
[https_review.openstack.org_c_17274]: https://review.openstack.org/#/c/17274/
[https_github.com_openstack_cloudbase-init_blob_master_cloudbaseinit_metadata_services_httpservice.py]: https://github.com/openstack/cloudbase-init/blob/master/cloudbaseinit/metadata/services/httpservice.py
[https_github.com_vvaldez_openstack-password-reset]: https://github.com/vvaldez/openstack-password-reset
[https_zhangchenchen.github.io_2017_01_19_openstack-reset-instance-password]: https://zhangchenchen.github.io/2017/01/19/openstack-reset-instance-password