Debian su Proxmox con cloud-init¶

Con la versione 5.x Proxmox ha aggiunto il supporto per la creazione e la configurazione automatica delle macchine virtuali utilizzando cloud-init. Vedremo come utilizzarlo per la gestione di macchine virtuali con Debian Stretch.

Il primo passo è scaricare una immagine pronta per il cloud di Debian, sono disponibili delle versioni non ufficiali a partire su
https://cdimage.debian.org/cdimage ed in particolare per Proxmox servono quelle di OpenStack, pertanto si dovranno prendere da https://cdimage.debian.org/cdimage/openstack/current, selezionando quella per amd64, nel formato raw o qcow2, e scaricandola con:

wget https://cdimage.debian.org/cdimage/openstack/current/debian-9.7.0-openstack-amd64.raw

e le relative checksum e firme con cui verificarne l'integrità:

wget https://cdimage.debian.org/cdimage/openstack/current/SHA512SUMS
wget https://cdimage.debian.org/cdimage/openstack/current/SHA512SUMS.sign

verificando il tutto con:

sha256sum -c SHA256SUMS --ignore-missing 
gpg --verify SHA512SUMS.sign SHA512SUMS

Se gpg dice che è impossibile controllare la firma perché non c'è la chiave pubblica, questa deve essere importata dal keyring di Debian con qualcosa come gpg --keyserver keyring.debian --recv-keys DF9B9C49EAA9298432589D76DA87E80D6294BE9B (dove il numero della chiave è quello riportato dal precedente comando).

Come primo passo occorre creare una macchina virtuale da cui si genererà il template, ne vanno impostate anzitutto memoria e tipo di rete, facendo riferimento ad una delle interfacce di bridge disponibili (a seconda di dove la si vuole creare di default, il bridge potrà comunque essere cambiato in seguito), questo si fa, utilizzando un VMID non allocato, con:

qm create 4242 --memory 1024 --net0 virtio,bridge=vmbr0

poi si potrà ottenere il disco della nostra importando nello storage l'immagine scaricata, in questo caso se si sta usando LVM come backend per i dischi associato allo storage local-lvm (come avviene in una installazione di default) lo si potrà fare eseguendo:

root@proxmox ~ # qm importdisk 4242 debian-9.7.0-openstack-amd64.qcow2 local-lvm
  Using default stripesize 64.00 KiB.
  Logical volume "vm-4242-disk-0" created.
    (100.00/100%)

(si usi al posto di local-lvm un eventuale altro tipo di storage), questo creerà l'immagine del disco con lo stesso schema di denominazione usato nella creazione delle macchine virtuali dall'interfaccia web (vm-4242-disk-0), convertendo il contenuto del file scaricato (si possono covertire tutti i formati supportati da qemu-img, primi fa tutti .raw e .qcow2), per poter usare il disco nella macchina virtuale precedentemente creata occorrerà poi collegarcelo, con il comando:

root@proxmox ~ # qm set 4242 --scsihw virtio-scsi-pci --scsi0 local-lvm:vm-4242-disk-0,discard=on
update VM 4242: -scsi0 local-lvm:vm-4242-disk-0,discard=on -scsihw virtio-scsi-pci

(si ometta il ,discard=on se lo storage utilizzato non supporta l'uso di discard).

Si potranno poi impostare le ulteriori caratteristiche della macchina virtuale per l'uso di cloud-init con:

qm set 4242 --ide2 local-lvm:cloudinit
qm set 4242 --boot c --bootdisk scsi0
qm set 4242 --serial0 socket --vga serial0

che predispone l'avvio dall'immagine CD usata da cloud-init per passare le configurazioni alla macchina, forza l'uso dello stesso e del disco appena collegato per l'avvio e riporta la console via seriale (dato che questa è la configurazione adottate nelle immagini preparate per OpenStack come quella che abbiamo usato). Si può anche assegnare un nome alla macchina con qm set 4242 --name templstretch.

A questo punto dall'interfaccia web si potrà utilizzare la sezione Cloud-Init relativa alla macchina, e caricare una chiave SSH per l'accesso (Cloud-Init->SSH-Public-Key->Edit->Load SSH Key File). Se poi, come nel nostro caso, si vogliono fare delle modifiche all'immagine prima di trasformarla in template, le si dovrà assegnare un IP e farla partire, l'immagine fornita da Debian infatti non consente un accesso dalla console (tutti gli utenti sono bloccati senza password) per cui la console può essere utilizzata solo per accertarsi di quando il processo di boot è finito e si può provare a collegarsi con SSH.

L'unico possibile accesso alla macchina infatti è via SSH con autenticazione a chiavi, usando la chiave corrispondente a quella che si è caricata come descritto in precedenza. Inoltre l'accesso a root è bloccato (la chiave viene riconosciuta, ma usata per stampare il messaggio di collegarsi con utente debian) e l'unico utente disponibile è debian (anche se questo può essere cambiato nella sezione Cloud-Init relativa alla macchina). Si potrà pertanto entrare sulla macchina con ssh debian@ID.DE.LA.MACCHINA e poi eseguire sudo -s per ottenere una shell di root.

Dato che questa politica prevede un inutile passaggio attraverso un utente intermedio che ha comunque accesso illimitato via sudo, non dà di per sé nessuna garanzia di sicurezza maggiore rispetto ad un accesso diretto a root, al prezzo di complicare le cose per fare operazioni remote (ad esempio degli scp) qualora questi debbano essere effettuati coi privilegi di amministratore sulla macchina stessa. Pertanto si provvederà a ripristinare una configurazione che consenta l'accesso a root con autenticazione a chiavi, eliminando l'utente superfluo.

Per far questo una volta collegati e ottenuta la shell di root il primo passo sarà quello modificare la configurazione di cloud-init in /etc/cloud/cloud.cfg, modificando la riga con disable_root da true a false (il file è in formato YML) in modo che questo diventi:

# If this is set, 'root' will not be able to ssh in and they
# will get a message to login instead as the above $user (debian)
disable_root: false

inoltre occorrerà eliminare dall'authorized_keys di root il prefisso che ne blocca l'accesso, cancellando tutta la parte:

no-port-forwarding,no-agent-forwarding,no-X11-forwarding,command="echo 'Please login as the user \"debian\" rather than the user \"root\".';echo;sleep 10" 

lasciando solo i dati della chiave a partire da ssh-rsa; si verifichi poi il funzionamento della modifica eseguendo un accesso diretto collegandosi con ssh root@ID.DE.LA.MACCHINA.

Una volta che ci si sia ricollegati con successo usando direttamente root si potrà cancellare l'utente debian usato per l'accesso e la relativa configurazione in /etc/sudoers.d/ con:

userdel -r debian
rm /etc/sudoers.d/debian-cloud-init /etc/sudoers.d/90-cloud-init-users