OS Login でセキュリティ キーを有効にする

コンソール

OS Login が有効になっているすべての VM のセキュリティ キーを有効にするには、Google Cloud コンソールを使用して、プロジェクトのメタデータで enable-oslogin と enable-oslogin-sk を TRUE に設定します。

1. [メタデータ] ページに移動します。

   [メタデータ] に移動

2. [編集] をクリックします。

3. [項目を追加] をクリックします。

   1. [キー] フィールドに「enable-oslogin」と入力します。
   2. [Value] に「TRUE」と入力します。

4. [項目を追加] をクリックします。

   1. [キー] フィールドに「enable-oslogin-sk」と入力します。
   2. [Value] に「TRUE」と入力します。

5. [保存] をクリックします。

gcloud

OS Login が有効になっているすべての VM のセキュリティ キーを有効にするには、gcloud compute project-info add-metadata コマンドを使用してプロジェクトのメタデータで enable-oslogin=TRUE と enable-oslogin-sk=TRUE を設定します。

gcloud compute project-info add-metadata \
    --metadata enable-oslogin=TRUE,enable-oslogin-sk=TRUE

コンソール

単一の VM でセキュリティ キーを有効にするには、Google Cloud コンソールを使用して、インスタンスのメタデータで enable-oslogin と enable-oslogin-sk を TRUE に設定します。

1. [VM インスタンス] ページに移動します。

   [VM インスタンス] に移動

2. セキュリティ キーを有効にする VM の名前をクリックします。

3. [編集] をクリックします。

4. [カスタム メタデータ] セクションで [項目を追加] をクリックします。

   1. [キー] フィールドに「enable-oslogin」と入力します。
   2. [Value] に「TRUE」と入力します。

5. [項目を追加] をクリックします。

   1. [キー] フィールドに「enable-oslogin-sk」と入力します。
   2. [Value] に「TRUE」と入力します。

6. [保存] をクリックします。

gcloud

1 つの VM でセキュリティ キーを有効にするには、gcloud compute instances add-metadata コマンドを使用して、インスタンス メタデータに enable-oslogin=TRUE と enable-oslogin-sk=TRUE を設定します。

gcloud compute instances add-metadata VM_NAME \
    --metadata enable-oslogin=TRUE,enable-oslogin-sk=TRUE

VM_NAME は実際の VM 名に置き換えます。

コンソール

Google Cloud コンソールのブラウザでの SSH ツールを使用して VM に接続すると、ブラウザでの SSH がセキュリティ キーに関連付けられた秘密鍵を取得します。

セキュリティ キーが有効になっている VM に接続するには、次の操作を行います。

1. Google Cloud コンソールで [VM インスタンス] ページに移動します。

2. VM のリストで、接続する VM の行にある [SSH] をクリックします。

3. メッセージが表示されたら、セキュリティ キーをタッチします。

gcloud

gcloud CLI を使用して VM に接続すると、gcloud CLI によってセキュリティ キーに関連付けられた秘密鍵が取得され、秘密鍵ファイルが構成されます。この構成は永続的なもので、セキュリティ キーを使用するすべての VM に適用されます。

gcloud beta compute ssh コマンドを使用して、セキュリティ キーが有効化されている VM に接続します。

gcloud beta compute ssh VM_NAME

サードパーティ製ツール

セキュリティ キーが有効になっている VM に接続する前に、セキュリティ キーに関連付けられている秘密鍵を取得し、秘密鍵ファイルを構成する必要があります。この例では、Python クライアント ライブラリを使用して構成を行います。

この構成は、VM に初めて接続するときだけ行う必要があります。この構成は永続的なもので、プロジェクトのセキュリティ キーを使用するすべての VM に適用されます。

ワークステーションのターミナルから、次のようにします。

1. まだ Python 用の Google クライアント ライブラリをインストールしていない場合は、次のコマンドを実行してインストールします。

   pip3 install google-api-python-client
   

2. 次のサンプル Python スクリプトを保存します。このスクリプトでは、セキュリティ キーに関連付けられた秘密鍵を取得し、秘密鍵ファイルを構成して VM に接続します。

   import argparse
   import os
   import subprocess
   from typing import Optional
   
   import googleapiclient.discovery
   
   
   def write_ssh_key_files(security_keys: list[dict], directory: str) -> list[str]:
       """
       Store the SSH key files.
   
       Saves the SSH keys into files inside specified directory. Using the naming
       template of `google_sk_{i}`.
   
       Args:
           security_keys: list of dictionaries representing security keys retrieved
               from the OSLogin API.
           directory: path to directory in which the security keys will be stored.
   
       Returns:
           List of paths to the saved keys.
       """
       key_files = []
       for index, key in enumerate(security_keys):
           key_file = os.path.join(directory, f"google_sk_{index}")
           with open(key_file, "w") as f:
               f.write(key.get("privateKey"))
               os.chmod(key_file, 0o600)
               key_files.append(key_file)
       return key_files
   
   
   def ssh_command(key_files: list[str], username: str, ip_address: str) -> list[str]:
       """
       Construct the SSH command for a given IP address and key files.
   
       Args:
           key_files: SSH keys to be used for authentication.
           username: username used to authenticate.
           ip_address: the IP address or hostname of the remote system.
   
       Returns:
           SSH command as a list of strings.
       """
       command = ["ssh"]
       for key_file in key_files:
           command.extend(["-i", key_file])
       command.append(f"{username}@{ip_address}")
       return command
   
   
   def main(
       user_key: str, ip_address: str, dryrun: bool, directory: Optional[str] = None
   ) -> None:
       """
       Configure SSH key files and print SSH command.
   
       Args:
           user_key: name of the user you want to authenticate as. Usually an email address.
           ip_address: the IP address of the machine you want to connect to.
           dryrun: bool flag to do dry run, without connecting to the remote machine.
           directory: the directory to store SSH private keys.
       """
       directory = directory or os.path.join(os.path.expanduser("~"), ".ssh")
   
       # Create the OS Login API object.
       oslogin = googleapiclient.discovery.build("oslogin", "v1beta")
   
       # Retrieve security keys and OS Login username from a user's Google account.
       profile = (
           oslogin.users()
           .getLoginProfile(name=f"users/{user_key}", view="SECURITY_KEY")
           .execute()
       )
   
       if "posixAccounts" not in profile:
           print("You don't have a POSIX account configured.")
           print("Please make sure that you have enabled OS Login for your VM.")
           return
   
       username = profile.get("posixAccounts")[0].get("username")
   
       # Write the SSH private key files.
       security_keys = profile.get("securityKeys")
   
       if security_keys is None:
           print(
               "The account you are using to authenticate does not have any security keys assigned to it."
           )
           print(
               "Please check your Application Default Credentials "
               "(https://cloud.google.com/docs/authentication/application-default-credentials)."
           )
           print(
               "More info about using security keys: https://cloud.google.com/compute/docs/oslogin/security-keys"
           )
           return
   
       key_files = write_ssh_key_files(security_keys, directory)
   
       # Compose the SSH command.
       command = ssh_command(key_files, username, ip_address)
   
       if dryrun:
           # Print the SSH command.
           print(" ".join(command))
       else:
           # Connect to the IP address over SSH.
           subprocess.call(command)
   
   
   if __name__ == "__main__":
       parser = argparse.ArgumentParser(
           description=__doc__, formatter_class=argparse.RawDescriptionHelpFormatter
       )
       parser.add_argument("--user_key", help="Your primary email address.")
       parser.add_argument(
           "--ip_address", help="The external IP address of the VM you want to connect to."
       )
       parser.add_argument("--directory", help="The directory to store SSH private keys.")
       parser.add_argument(
           "--dryrun",
           dest="dryrun",
           default=False,
           action="store_true",
           help="Turn off dryrun mode to execute the SSH command",
       )
       args = parser.parse_args()
   
       main(args.user_key, args.ip_address, args.dryrun, args.directory)

3. スクリプトを実行して鍵を構成し、必要に応じて VM に接続します。

   python3 SCRIPT_NAME.py --user_key=USER_KEY --ip_address=IP_ADDRESS [--dryrun]
   

   次のように置き換えます。

   • SCRIPT_NAME: 構成スクリプトの名前。
   • USER_KEY: メインのメール アドレス。
   • IP_ADDRESS: 接続先の VM の外部 IP アドレス。
   • [--dryrun]: （省略可）--dryrun フラグを追加して、VM に接続せずに接続コマンドを出力します。このフラグを指定しない場合は、スクリプトは接続コマンドを実行します。