La commande gcloud compute reset-windows-password
permet à un utilisateur ayant accès en écriture au projet Compute Engine de récupérer les mots de passe des comptes en toute sécurité sur des instances Windows.
La commande effectue cette opération en envoyant un nom d'utilisateur et une clé publique RSA à l'instance. L'agent exécuté sur l'instance effectue alors l'une des opérations suivantes :
- Il crée un compte pour ce nom d'utilisateur sur l'instance et génère un mot de passe aléatoire.
- Il réinitialise le mot de passe avec une valeur aléatoire si le compte existe déjà.
L'agent exécuté sur l'instance chiffre le mot de passe avec la clé publique fournie et le renvoie au client pour qu'il soit déchiffré par la clé privée correspondante.
Cette section décrit le fonctionnement de ce processus et vous donne des exemples de scripts qui reproduisent ces étapes de manière automatisée. Si vous souhaitez suivre ces étapes manuellement, consultez la section Instructions manuelles.
Avant de commencer
- Créez une instance Windows.
-
Si ce n'est pas déjà fait, configurez l'authentification.
L'authentification est le processus permettant de valider votre identité pour accéder aux services et aux API Google Cloud.
Pour exécuter du code ou des exemples depuis un environnement de développement local, vous pouvez vous authentifier auprès de Compute Engine comme suit :
Sélectionnez l'onglet correspondant à la façon dont vous prévoyez d'utiliser les exemples de cette page :
Console
Lorsque vous utilisez la console Google Cloud pour accéder aux services et aux API Google Cloud, vous n'avez pas besoin de configurer l'authentification.
gcloud
-
Install the Google Cloud CLI, then initialize it by running the following command:
gcloud init
- Définissez une région et une zone par défaut.
REST
Pour utiliser les exemples d'API REST de cette page dans un environnement de développement local, vous devez utiliser les identifiants que vous fournissez à gcloud CLI.
Install the Google Cloud CLI, then initialize it by running the following command:
gcloud init
-
Automatiser la génération de mots de passe
Go
Python
Java
Instructions manuelles
Les étapes de cette procédure manuelle utilisent OpenSSL pour les fonctions de chiffrement et les outils Bash shell/Linux pour d'autres fonctions, mais de nombreuses autres configurations sont possibles.
Générez une paire de clés RSA de 2 048 bits. Dans OpenSSL, générez cette paire de clés en exécutant la commande suivante :
$ openssl genrsa -out private_key 2048
Cette commande permet de créer un fichier de clé privée nommé "private_key" dont le contenu ressemble au suivant :
$ cat private_key -----BEGIN RSA PRIVATE KEY----- MIIEpAIBAAKCAQEAwgsquN4IBNPqIUnu+h/5Za1kujb2YRhX1vCQVQAkBwnWigcC qOBVfRa5JoZfx6KIvEXjWqa77jPvlsxM4WPqnDIM2qiK36up3SKkYwFjff6F2ni/ ry8vrwXCX3sGZ1hbIHlK0O012HpA3ISeEswVZmX2X67naOvJXfY5v0hGPWqCADao +xVxrmxsZD4IWnKl1UaZzI5lhAzr8fw6utHwx1EZ/MSgsEki6tujcZfN+GUDRnmJ GQSnPTXmsf7Q4DKreTZk49cuyB3prV91S0x3DYjCUpSXrkVy1Ha5XicGD/q+ystu FsJnrrhbNXJbpSjM6sjo/aduAkZJl4FmOt0R7QIDAQABAoIBAQCsT6hHc/tg9iIC H5pUiRI55Uj+R5JwVGKkXwl8Qdy8V1MpTOJivpuLsiMGf+sL51xO/CzRsiBOfdYz bgaTW9vZimR5w5NW3iTAV2Ps+y2zk9KfV/y3/0nzvUSG70OXgBGj+7GhaBQZwS5Z 5HZOsOYMAV1QSIv8Uu2FQAK1xuOA4seJ/NK42iXgVB1XvYe2AxCWNqCBJylk9F5N 8a213oJWw2mwQWCSfZhuvwYRO7w/V+mInKPkKlWvf3SLuMCWeDI8s0jLsJMQ0rbp jYXRzc2G+LF1aLxjatiGeLsqfVYerNohufGAajpNkSvcMciDXvD9aJhZqior+x2Q rCnMuNRNAoGBAPI6r32wIf8H9GmcvGrXk9OYLq0uJGqAtJDgGmJM5BSX4mlSz+Ni SYlQOfi24ykQDo3XbA59Lb6H0L64czi2a3OmpG8s6h4ymp+3cSd1k1AER1oZudwH 9UScGfSgT/nMgufBwEGlQkCMp5x4Sl20clCHZ49p9eNiXML3wxpCZPIjAoGBAM0T NKt/rjqMs0qOWAJKemSPk0zV+1RSjCoOdKC6jmHRGr/MIoKiJLIkywV2m53yv8Wu BF3gVUDlwojoOKcVR8588tek5L0j9RshGovKj4Uxz9uPPhzeNnlSA+5PS284VtKz LX8xZ/b+MNCyor9jT0qoWylqym0w+M4aFL2tUQSvAoGABJvnQO38B51AIk5QK3xE nM8VfEgXe0tNpEAPYHV0FYw6S6S+veXd3lX/dGMOeXaLwFkr/i6Vkz2EVEywLJEU BFRUZqUlI0P1OzrDVWvgTLJ4JRe+OJiSKycJO2VdgDRK/Vvra5RYaWADxG9pgtTv I+cfqlPq0NPLTg5m0PYYc58CgYBpGt/SygTNA1Hc82mN+wgRxDhVmBJRHGG0KGaD /jl9TsOr638AfwPZvdvD+A83+7NoKJEaYCCxu1BiBMsMb263GPkJpvyJKAW2mtfV L8MxG9+Rgy/tccJvmaZkHIXoAfMV2DmISBUl1Q/F1thsyQRZmkHmz1Hidsf+MgXR VSQCBwKBgQCxwJtGZGPdQbDXcZZtL0yJJIbdt5Q/TrW0es17IPAoze+E6zFg9mo7 ea9AuGxOGDQwO9n5DBn/3XcSjRnhvXaW60Taz6ZC60Zh/s6IilCmav+n9ewFHJ3o AglSJZRJ1Eer0m5m6s2FW5U0Yjthxwkm3WCWS61cOOTvb6xhQ5+WSw== -----END RSA PRIVATE KEY-----
Générez une clé publique. Pour créer la clé publique, exécutez la commande suivante :
$ openssl rsa -pubout -in private_key -out public_key
Cette commande permet de créer un fichier "public_key" qui ressemble au suivant :
$ cat public_key -----BEGIN PUBLIC KEY----- MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAwgsquN4IBNPqIUnu+h/5 Za1kujb2YRhX1vCQVQAkBwnWigcCqOBVfRa5JoZfx6KIvEXjWqa77jPvlsxM4WPq nDIM2qiK36up3SKkYwFjff6F2ni/ry8vrwXCX3sGZ1hbIHlK0O012HpA3ISeEswV ZmX2X67naOvJXfY5v0hGPWqCADao+xVxrmxsZD4IWnKl1UaZzI5lhAzr8fw6utHw x1EZ/MSgsEki6tujcZfN+GUDRnmJGQSnPTXmsf7Q4DKreTZk49cuyB3prV91S0x3 DYjCUpSXrkVy1Ha5XicGD/q+ystuFsJnrrhbNXJbpSjM6sjo/aduAkZJl4FmOt0R 7QIDAQAB -----END PUBLIC KEY-----
Extrayez le module et l'exposant. Les clés publiques et privées sont constituées d'un module et d'un exposant. Pour extraire le module et l'exposant à partir de la clé publique, exécutez la commande suivante :
$ openssl rsa -in public_key -pubin -text -noout Public-Key: (2048 bit) Modulus: 00:c2:0b:2a:b8:de:08:04:d3:ea:21:49:ee:fa:1f: f9:65:ad:64:ba:36:f6:61:18:57:d6:f0:90:55:00: 24:07:09:d6:8a:07:02:a8:e0:55:7d:16:b9:26:86: 5f:c7:a2:88:bc:45:e3:5a:a6:bb:ee:33:ef:96:cc: 4c:e1:63:ea:9c:32:0c:da:a8:8a:df:ab:a9:dd:22: a4:63:01:63:7d:fe:85:da:78:bf:af:2f:2f:af:05: c2:5f:7b:06:67:58:5b:20:79:4a:d0:ed:35:d8:7a: 40:dc:84:9e:12:cc:15:66:65:f6:5f:ae:e7:68:eb: c9:5d:f6:39:bf:48:46:3d:6a:82:00:36:a8:fb:15: 71:ae:6c:6c:64:3e:08:5a:72:a5:d5:46:99:cc:8e: 65:84:0c:eb:f1:fc:3a:ba:d1:f0:c7:51:19:fc:c4: a0:b0:49:22:ea:db:a3:71:97:cd:f8:65:03:46:79: 89:19:04:a7:3d:35:e6:b1:fe:d0:e0:32:ab:79:36: 64:e3:d7:2e:c8:1d:e9:ad:5f:75:4b:4c:77:0d:88: c2:52:94:97:ae:45:72:d4:76:b9:5e:27:06:0f:fa: be:ca:cb:6e:16:c2:67:ae:b8:5b:35:72:5b:a5:28: cc:ea:c8:e8:fd:a7:6e:02:46:49:97:81:66:3a:dd: 11:ed Exponent: 65537 (0x10001)
Encodez le module et l'exposant. Vous devez extraire le module et l'exposant, puis les encoder en base64. Avant d'encoder le module, supprimez le premier octet zéro du module. Par défaut, le fichier "public_key" est déjà une chaîne de caractères encodée en base64 contenant les informations suivantes :
- 32 octets d'informations d'en-tête
- 1 octet avec le zéro initial du module
- 256 octets de module
- 2 octets d'en-tête d'exposant
- 3 octets d'exposant
Le module et l'exposant doivent être extraits et encodés séparément du reste du contenu du fichier. Pour extraire et encoder le module et l'exposant, utilisez les commandes suivantes :
$ cat public_key | grep -v -- ----- | base64 -d | dd bs=1 skip=33 count=256 2>/dev/null | base64 -w 0; echo wgsquN4IBNPqIUnu+h/5Za1kujb2YRhX1vCQVQAkBwnWigcCqOBVfRa5JoZfx6KIvEXjWqa77jPvlsx M4WPqnDIM2qiK36up3SKkYwFjff6F2ni/ry8vrwXCX3sGZ1hbIHlK0O012HpA3ISeEswVZmX2X67naO vJXfY5v0hGPWqCADao+xVxrmxsZD4IWnKl1UaZzI5lhAzr8fw6utHwx1EZ/MSgsEki6tujcZfN+GUDR nmJGQSnPTXmsf7Q4DKreTZk49cuyB3prV91S0x3DYjCUpSXrkVy1Ha5XicGD/q+ystuFsJnrrhbNXJb pSjM6sjo/aduAkZJl4FmOt0R7Q==
$ cat public_key | grep -v -- ----- | base64 -d | dd bs=1 skip=291 count=3 2>/dev/null | base64 AQAB
Si vous rencontrez des problèmes pour encoder le module, assurez-vous d'avoir supprimé le premier octet zéro du module avant de tenter de l'encoder.
Créez un objet JSON avec un nom d'utilisateur et des informations sur la clé publique. Créez un objet JSON avec les données suivantes :
userName
: nom d'utilisateur pour se connecter à l'instancemodulus
: module de la clé publique encodé en base64exponent
: exposant de la clé publique encodé en base64email
: adresse e-mail de l'utilisateur effectuant la demande de mot de passe Il doit s'agir de l'adresse e-mail du compte Google authentifié auprès de l'API.expireOn
: horodatage encodé en RFC 3399 indiquant la date d'expiration de la clé. Elle doit être exprimée en heure UTC, dans les cinq minutes qui suivent. Étant donné que ces clés ne sont utilisées que pour générer le nom d'utilisateur et le mot de passe, vous n'en avez plus besoin après avoir créé le mot de passe. L'agent n'utilise pas les clés qui ont expiré.
Exemple :
{\"userName\": \"example-user\", \"modulus\": \"wgsquN4IBNPqIUnu+h/5Za1kujb2YRhX1 vCQVQAkBwnWigcCqOBVfRa5JoZfx6KIvEXjWqa77jPvlsxM4WPqnDIM2qiK36up3SKkYwFjff6F 2ni/ry8vrwXCX3sGZ1hbIHlK0O012HpA3ISeEswVZmX2X67naOvJXfY5v0hGPWqCADao+xVxrmx sZD4IWnKl1UaZzI5lhAzr8fw6utHwx1EZ/MSgsEki6tujcZfN+GUDRnmJGQSnPTXmsf7Q4DKreT Zk49cuyB3prV91S0x3DYjCUpSXrkVy1Ha5XicGD/q+ystuFsJnrrhbNXJbpSjM6sjo/aduAkZJl 4FmOt0R7Q==\", \"exponent\": \"AQAB\", \"email\": \"example.user@example.com\", \"expireOn\": \"2015-04-14T01:37:19Z\"}
Notez qu'il ne doit y avoir aucun saut de ligne dans la chaîne JSON.
Ajoutez l'objet JSON aux métadonnées de l'instance. Définissez les métadonnées de l'instance à l'aide de la clé de métadonnée
windows-keys
et l'objet JSON comme valeur de clé.Pour mettre à jour les métadonnées d'une instance dans l'API, vous devez fournir une empreinte avec votre requête. Pour obtenir l'empreinte actuelle de l'instance, envoyez une requête GET à l'instance :
GET https://compute.googleapis.com/compute/v1/projects/myproject/zones/us-central1-f/instances/test-windows-auth [..snip..] "metadata": { "kind": "compute#metadata", "fingerprint": "5sFotm8Ee0I=", "items": [ { … } [..snip]..
Envoyez ensuite une requête
POST
à la méthodesetMetadata
, en fournissant l'empreinte et l'objet JSON que vous avez créé :POST https://compute.googleapis.com/compute/v1/projects/myproject/zones/us-central1-f/instances/test-windows-auth/setMetadata { "fingerprint": "5sFotm8Ee0I=", "items": [ { "value": "{\"userName\": \"example-user\", \"modulus\": \"wgsquN4IBNPqIUnu+h/5Za1kujb2YRhX1vCQVQAkBwnWigcCqOBVfRa5JoZfx6KIvEXjWqa77jPvlsxM4WPqnDIM2qiK36up3SKkYwFjff6F2ni/ry8vrwXCX3sGZ1hbIHlK0O012HpA3ISeEswVZmX2X67naOvJXfY5v0hGPWqCADao+xVxrmxsZD4IWnKl1UaZzI5lhAzr8fw6utHwx1EZ/MSgsEki6tujcZfN+GUDRnmJGQSnPTXmsf7Q4DKreTZk49cuyB3prV91S0x3DYjCUpSXrkVy1Ha5XicGD/q+ystuFsJnrrhbNXJbpSjM6sjo/aduAkZJl4FmOt0R7Q==\", \"exponent\": \"AQAB\", \"email\": \"user@example.com\", \"expireOn': '2015\"04-14T01:37:19Z\"}\n", "key": "windows-keys" } ] }
La clé doit être nommée
windows-keys
, et la valeur doit être définie sur une ou plusieurs chaînes JSON, comme indiqué sur la chaîne ci-dessus. Les différentes chaînes doivent être séparées par des sauts de ligne. Lorsque vous ajoutez plusieurs entrées, vérifiez que la valeur des métadonnées ne dépasse pas 32 Ko.Lisez la sortie du port série numéro 4. L'agent de l'instance prend automatiquement la valeur de
windows-keys
et crée un mot de passe chiffré. Lisez le mot de passe chiffré en adressant une requête au port série numéro 4. Dans l'API, envoyez une requêteGET
à la méthodegetSerialPortOutput
en transmettant le paramètre de requêteport=4
:GET https://compute.googleapis.com/compute/v1/projects/myproject/zones/us-central1-f/instances/test-windows-auth/serialPort?port=4 { "kind": "compute#serialPortOutput", "selfLink": "https://www.googleapis.com/compute/v1/projects/myproject/zones/_/instances/test-api-auth/serialPort", "contents": "{\"ready\":true,\"version\":\"Microsoft Windows NT 6.1.7601 Service Pack 1\"}\n{\"encryptedPassword\":\"uiHDEhxyvj6lF5GalH h9TsMZb4bG6Y9qGmFb9S3XI29yvVsDCLdp4IbUg21MncHcaxP0rFu0kyjxlEXDs8y4L1KOhy6iyB42Lh+vZ4XIMjmvU4rZrjsBZ5TxQo9hL0lBW7o3FRM\\/UIXCeRk39ObUl2A jDmQ0mcw1byJI5v9KVJnNMaHdRCy\\/kvN6bx3qqjIhIMu0JExp4UVkAX2Mxb9b+c4o2DiZF5pY6ZfbuEmjSbvGRJXyswkOJ4jTZl+7e6+SZfEal8HJyRfZKiqTjrz+DLjYSlXr fIRqlvKeAFGOJq6IRojNWiTOOh8Zorc0iHDTIkf+MY0scfbBUo5m30Bf4w==\",\"exponent\":\"AQAB\",\"modulus\":\"0tiKdO2JmBHss26jnrSAwb583KG\\/ZIw5Jw wMPXrCVsFAPwY1OV3RlT1Hp4Xvpibr7rvJbOC+f\\/Gd0cBrK5pccQfccB+OHKpbBof473zEfRbdtFwPn10RfAFj\\/xikW0r\\/XxgG\\/c8tz9bmALBStGqmwOVOLRHxjwgtG u4poeuwmFfG6TuwgCadxpllW74mviFd4LZVSuCSni5YJnBM2HSJ8NP6g1fqI17KDXt2XO\\/7kSItubmMk+HGEXdH4qiugHYewaIf1o4XSQROC8xlRl7t\\/RaD4U58hKYkVwg0 Ir7WzYzAVpG2UR4Co\\/GDG9Hct7HOYekDqVQ+sSZbwzajnVunkw==\",\"passwordFound\":true,\"userName\":\"example-user\"}\n" }
La sortie du port série peut contenir plusieurs réponses séparées par des sauts de ligne. Pour trouver la réponse adaptée, faites correspondre le module que vous avez transmis à la sortie du port série. Chaque réponse est une chaîne JSON encodée comportant les champs suivants :
userName
: nom d'utilisateur transmis à l'instancepasswordFound
: valeur booléenne indiquant si le mot de passe a bien été généréencryptedPassword
: mot de passe chiffré, encodé en base64modulus
: module précédemment transmisexponent
: exposant précédemment transmis
Pour en savoir plus sur la conservation de la sortie du port série, consultez la page Afficher les données en sortie du port série .
Déchiffrez le mot de passe. Pour obtenir le mot de passe, vous devez utiliser la clé privée précédemment créée pour le déchiffrer. Le mot de passe doit être déchiffré à l'aide du remplissage OAEP (Optimal Asymmetric Encryption Padding). Dans OpenSSL, la commande permettant de déchiffrer les données d'entrée est la suivante :
$ openssl rsautl -decrypt -inkey private_key -oaep
Pour déchiffrer le mot de passe ci-dessus, indiquez la valeur
encryptedPassword
. N'oubliez pas de supprimer au préalable les caractères d'échappement\\
de la chaîne. Sinon, l'opération de déchiffrement n'aboutit pas :$ echo 'uiHDEhxyvj6lF5GalHh9TsMZb4bG6Y9qGmFb9S3XI291MncHcaxP0rFu0kyjxlEXDs8y4L1KOhy6iyB42Lh+vZ4XIMjmvU4rZrjsBZ5Tx Qo9hL0lBW7o3FRM/UIXCeRk39ObUl2AjDmQ0mcw1byJI5v9KVJnNMaHdRCy/kvN6bx3qqjIhIMu0JExp4UVkAX2Mxb9b+c4o2DiZF5pY6ZfbuEmjS bvGRJXyswkOJ4jTZl+7e6+SZfEal8HJyRfZKiqTjrz+DLjYSlXrfIRqlvKeAFGOJq6IRojNWiTOOh8Zorc0iHDTIkf+MY0scfbBUo5m30Bf4w==' | base64 -d | openssl rsautl -decrypt -inkey private_key -oaep
La commande affiche le mot de passe déchiffré :
dDkJ_3]*QYS-#>X
Le nom d'utilisateur et le mot de passe de ce compte sont les suivants :
username: example-user password: dDkJ_3]*QYS-#>X
Supprimez les clés. Contrairement aux clés SSH, les clés utilisées pour récupérer ou réinitialiser les mots de passe Windows sont destinées à être éphémères. Il est déconseillé de réutiliser les paires de clés publiques/privées, car leur fonctionnement peut s'en trouver affecté. Si la clé a été enregistrée sur le disque, les fichiers doivent être supprimés à la fin du processus. Mieux encore, conservez si possible la clé en mémoire et supprimez-la dès que le processus est terminé.