Il comando gcloud compute reset-windows-password
consente a un utente con accesso in scrittura al progetto Compute Engine per recuperare in modo sicuro le password per gli account sulle istanze Windows.
A questo scopo, invia un nome utente e una chiave pubblica RSA all'istanza. L'agente in esecuzione sull'istanza, quindi, esegue una delle seguenti operazioni:
- Crea un account sull'istanza per il nome utente e genera una password casuale.
- Reimposta la password su un valore casuale se l'account esiste già.
L'agente in esecuzione sull'istanza cripta la password con la chiave pubblica fornita e la invia al client per essere decriptata dalla chiave privata corrispondente.
Questa sezione descrive il funzionamento del processo e fornisce alcuni script di esempio che replicano questi passaggi in modo programmatico. Se vuoi seguire manualmente questi passaggi, leggi la sezione Istruzioni manuali.
Prima di iniziare
- Se vuoi utilizzare gli esempi a riga di comando in questa guida:
- Installa o aggiorna l'ultima versione di Google Cloud CLI.
- Imposta una regione e una zona predefinite.
- Se vuoi utilizzare gli esempi di API in questa guida, configura l'accesso API.
- Crea un'istanza Windows.
Automatizza la generazione delle password
Go
Python
Java
Istruzioni manuali
I passaggi in questa guida manuale utilizzano OpenSSL per le funzioni crittografiche e gli strumenti shell Bash/Linux per alcune altre funzioni, ma sono possibili molte altre implementazioni.
Genera una coppia di chiavi RSA a 2048 bit. In OpenSSL, genera questa coppia di chiavi eseguendo:
$ openssl genrsa -out private_key 2048
Viene creato un file di chiave privata denominato private_key con contenuti simili ai seguenti:
$ cat private_key -----BEGIN RSA PRIVATE KEY----- MIIEpAIBAAKCAQEAwgsquN4IBNPqIUnu+h/5Za1kujb2YRhX1vCQVQAkBwnWigcC qOBVfRa5JoZfx6KIvEXjWqa77jPvlsxM4WPqnDIM2qiK36up3SKkYwFjff6F2ni/ ry8vrwXCX3sGZ1hbIHlK0O012HpA3ISeEswVZmX2X67naOvJXfY5v0hGPWqCADao +xVxrmxsZD4IWnKl1UaZzI5lhAzr8fw6utHwx1EZ/MSgsEki6tujcZfN+GUDRnmJ GQSnPTXmsf7Q4DKreTZk49cuyB3prV91S0x3DYjCUpSXrkVy1Ha5XicGD/q+ystu FsJnrrhbNXJbpSjM6sjo/aduAkZJl4FmOt0R7QIDAQABAoIBAQCsT6hHc/tg9iIC H5pUiRI55Uj+R5JwVGKkXwl8Qdy8V1MpTOJivpuLsiMGf+sL51xO/CzRsiBOfdYz bgaTW9vZimR5w5NW3iTAV2Ps+y2zk9KfV/y3/0nzvUSG70OXgBGj+7GhaBQZwS5Z 5HZOsOYMAV1QSIv8Uu2FQAK1xuOA4seJ/NK42iXgVB1XvYe2AxCWNqCBJylk9F5N 8a213oJWw2mwQWCSfZhuvwYRO7w/V+mInKPkKlWvf3SLuMCWeDI8s0jLsJMQ0rbp jYXRzc2G+LF1aLxjatiGeLsqfVYerNohufGAajpNkSvcMciDXvD9aJhZqior+x2Q rCnMuNRNAoGBAPI6r32wIf8H9GmcvGrXk9OYLq0uJGqAtJDgGmJM5BSX4mlSz+Ni SYlQOfi24ykQDo3XbA59Lb6H0L64czi2a3OmpG8s6h4ymp+3cSd1k1AER1oZudwH 9UScGfSgT/nMgufBwEGlQkCMp5x4Sl20clCHZ49p9eNiXML3wxpCZPIjAoGBAM0T NKt/rjqMs0qOWAJKemSPk0zV+1RSjCoOdKC6jmHRGr/MIoKiJLIkywV2m53yv8Wu BF3gVUDlwojoOKcVR8588tek5L0j9RshGovKj4Uxz9uPPhzeNnlSA+5PS284VtKz LX8xZ/b+MNCyor9jT0qoWylqym0w+M4aFL2tUQSvAoGABJvnQO38B51AIk5QK3xE nM8VfEgXe0tNpEAPYHV0FYw6S6S+veXd3lX/dGMOeXaLwFkr/i6Vkz2EVEywLJEU BFRUZqUlI0P1OzrDVWvgTLJ4JRe+OJiSKycJO2VdgDRK/Vvra5RYaWADxG9pgtTv I+cfqlPq0NPLTg5m0PYYc58CgYBpGt/SygTNA1Hc82mN+wgRxDhVmBJRHGG0KGaD /jl9TsOr638AfwPZvdvD+A83+7NoKJEaYCCxu1BiBMsMb263GPkJpvyJKAW2mtfV L8MxG9+Rgy/tccJvmaZkHIXoAfMV2DmISBUl1Q/F1thsyQRZmkHmz1Hidsf+MgXR VSQCBwKBgQCxwJtGZGPdQbDXcZZtL0yJJIbdt5Q/TrW0es17IPAoze+E6zFg9mo7 ea9AuGxOGDQwO9n5DBn/3XcSjRnhvXaW60Taz6ZC60Zh/s6IilCmav+n9ewFHJ3o AglSJZRJ1Eer0m5m6s2FW5U0Yjthxwkm3WCWS61cOOTvb6xhQ5+WSw== -----END RSA PRIVATE KEY-----
Genera una chiave pubblica. Per creare la chiave pubblica, esegui:
$ openssl rsa -pubout -in private_key -out public_key
In questo modo viene creato un file public_key simile al seguente:
$ cat public_key -----BEGIN PUBLIC KEY----- MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAwgsquN4IBNPqIUnu+h/5 Za1kujb2YRhX1vCQVQAkBwnWigcCqOBVfRa5JoZfx6KIvEXjWqa77jPvlsxM4WPq nDIM2qiK36up3SKkYwFjff6F2ni/ry8vrwXCX3sGZ1hbIHlK0O012HpA3ISeEswV ZmX2X67naOvJXfY5v0hGPWqCADao+xVxrmxsZD4IWnKl1UaZzI5lhAzr8fw6utHw x1EZ/MSgsEki6tujcZfN+GUDRnmJGQSnPTXmsf7Q4DKreTZk49cuyB3prV91S0x3 DYjCUpSXrkVy1Ha5XicGD/q+ystuFsJnrrhbNXJbpSjM6sjo/aduAkZJl4FmOt0R 7QIDAQAB -----END PUBLIC KEY-----
Estrai modulo e esponente. Un modulo e un esponente compongono le chiavi pubbliche e private. Dalla chiave pubblica, estrai il modulo e l'esponente:
$ openssl rsa -in public_key -pubin -text -noout Public-Key: (2048 bit) Modulus: 00:c2:0b:2a:b8:de:08:04:d3:ea:21:49:ee:fa:1f: f9:65:ad:64:ba:36:f6:61:18:57:d6:f0:90:55:00: 24:07:09:d6:8a:07:02:a8:e0:55:7d:16:b9:26:86: 5f:c7:a2:88:bc:45:e3:5a:a6:bb:ee:33:ef:96:cc: 4c:e1:63:ea:9c:32:0c:da:a8:8a:df:ab:a9:dd:22: a4:63:01:63:7d:fe:85:da:78:bf:af:2f:2f:af:05: c2:5f:7b:06:67:58:5b:20:79:4a:d0:ed:35:d8:7a: 40:dc:84:9e:12:cc:15:66:65:f6:5f:ae:e7:68:eb: c9:5d:f6:39:bf:48:46:3d:6a:82:00:36:a8:fb:15: 71:ae:6c:6c:64:3e:08:5a:72:a5:d5:46:99:cc:8e: 65:84:0c:eb:f1:fc:3a:ba:d1:f0:c7:51:19:fc:c4: a0:b0:49:22:ea:db:a3:71:97:cd:f8:65:03:46:79: 89:19:04:a7:3d:35:e6:b1:fe:d0:e0:32:ab:79:36: 64:e3:d7:2e:c8:1d:e9:ad:5f:75:4b:4c:77:0d:88: c2:52:94:97:ae:45:72:d4:76:b9:5e:27:06:0f:fa: be:ca:cb:6e:16:c2:67:ae:b8:5b:35:72:5b:a5:28: cc:ea:c8:e8:fd:a7:6e:02:46:49:97:81:66:3a:dd: 11:ed Exponent: 65537 (0x10001)
Codifica il modulo e l'esponente. Devi estrarre e codificare in base 64 il modulo e l'esponente. Prima di codificare il modulo, rimuovi lo zero iniziale iniziale dal modulo. Per impostazione predefinita, il file public_key è già una stringa codificata in base64 di byte contenente le seguenti informazioni:
- 32 byte di informazioni sull'intestazione
- 1 byte con lo zero iniziale del modulo
- 256 byte di modulo
- 2 byte di intestazione esponente
- 3 byte di esponente
Il modulo e l'esponente devono essere estratti e codificati separatamente dagli altri contenuti del file. Estrai e codifica il modulo e l'esponente utilizzando i seguenti comandi:
$ cat public_key | grep -v -- ----- | base64 -d | dd bs=1 skip=33 count=256 2>/dev/null | base64 -w 0; echo wgsquN4IBNPqIUnu+h/5Za1kujb2YRhX1vCQVQAkBwnWigcCqOBVfRa5JoZfx6KIvEXjWqa77jPvlsx M4WPqnDIM2qiK36up3SKkYwFjff6F2ni/ry8vrwXCX3sGZ1hbIHlK0O012HpA3ISeEswVZmX2X67naO vJXfY5v0hGPWqCADao+xVxrmxsZD4IWnKl1UaZzI5lhAzr8fw6utHwx1EZ/MSgsEki6tujcZfN+GUDR nmJGQSnPTXmsf7Q4DKreTZk49cuyB3prV91S0x3DYjCUpSXrkVy1Ha5XicGD/q+ystuFsJnrrhbNXJb pSjM6sjo/aduAkZJl4FmOt0R7Q==
$ cat public_key | grep -v -- ----- | base64 -d | dd bs=1 skip=291 count=3 2>/dev/null | base64 AQAB
Se stai riscontrando problemi con la codifica del modulo, assicurati di aver rimosso lo zero byte iniziale dal modulo prima di tentare di codificarlo.
Crea un oggetto JSON con le informazioni di un nome utente e di una chiave pubblica. Crea un oggetto JSON con i seguenti dati:
userName
: il nome utente per accedere all'istanza.modulus
: il modulo con codifica Base64 della chiave pubblica.exponent
: l'esponente codificato in base64 della chiave pubblicaemail
: l'indirizzo email dell'utente che richiede la password. Deve essere l'indirizzo email dell'Account Google autenticato all'API.expireOn
: un timestamp con codifica RFC 3399 che indica la scadenza della chiave. Questa dovrebbe essere nel fuso orario UTC, imposta circa cinque minuti nel futuro. Poiché queste chiavi vengono utilizzate solo per generare il nome utente e la password, non sono più necessarie dopo la creazione della password. L'agente non utilizza chiavi scadute.
Ad esempio:
{\"userName\": \"example-user\", \"modulus\": \"wgsquN4IBNPqIUnu+h/5Za1kujb2YRhX1 vCQVQAkBwnWigcCqOBVfRa5JoZfx6KIvEXjWqa77jPvlsxM4WPqnDIM2qiK36up3SKkYwFjff6F 2ni/ry8vrwXCX3sGZ1hbIHlK0O012HpA3ISeEswVZmX2X67naOvJXfY5v0hGPWqCADao+xVxrmx sZD4IWnKl1UaZzI5lhAzr8fw6utHwx1EZ/MSgsEki6tujcZfN+GUDRnmJGQSnPTXmsf7Q4DKreT Zk49cuyB3prV91S0x3DYjCUpSXrkVy1Ha5XicGD/q+ystuFsJnrrhbNXJbpSjM6sjo/aduAkZJl 4FmOt0R7Q==\", \"exponent\": \"AQAB\", \"email\": \"example.user@example.com\", \"expireOn\": \"2015-04-14T01:37:19Z\"}
Tieni presente che non devono esserci nuove righe nella stringa JSON.
Aggiungi l'oggetto JSON ai metadati dell'istanza. Imposta i metadati dell'istanza utilizzando la chiave dei metadati
windows-keys
e l'oggetto JSON come valore della chiave.Per aggiornare i metadati dell'istanza nell'API, devi fornire un'impronta con la tua richiesta. Recupera l'impronta corrente dell'istanza effettuando una richiesta GET all'istanza:
GET https://compute.googleapis.com/compute/v1/projects/myproject/zones/us-central1-f/instances/test-windows-auth [..snip..] "metadata": { "kind": "compute#metadata", "fingerprint": "5sFotm8Ee0I=", "items": [ { … } [..snip]..
Successivamente, effettua una richiesta
POST
al metodosetMetadata
, fornendo l'impronta e l'oggetto JSON che hai creato:POST https://compute.googleapis.com/compute/v1/projects/myproject/zones/us-central1-f/instances/test-windows-auth/setMetadata { "fingerprint": "5sFotm8Ee0I=", "items": [ { "value": "{\"userName\": \"example-user\", \"modulus\": \"wgsquN4IBNPqIUnu+h/5Za1kujb2YRhX1vCQVQAkBwnWigcCqOBVfRa5JoZfx6KIvEXjWqa77jPvlsxM4WPqnDIM2qiK36up3SKkYwFjff6F2ni/ry8vrwXCX3sGZ1hbIHlK0O012HpA3ISeEswVZmX2X67naOvJXfY5v0hGPWqCADao+xVxrmxsZD4IWnKl1UaZzI5lhAzr8fw6utHwx1EZ/MSgsEki6tujcZfN+GUDRnmJGQSnPTXmsf7Q4DKreTZk49cuyB3prV91S0x3DYjCUpSXrkVy1Ha5XicGD/q+ystuFsJnrrhbNXJbpSjM6sjo/aduAkZJl4FmOt0R7Q==\", \"exponent\": \"AQAB\", \"email\": \"user@example.com\", \"expireOn': '2015\"04-14T01:37:19Z\"}\n", "key": "windows-keys" } ] }
Il nome della chiave deve essere
windows-keys
e il valore deve essere impostato su una o più stringhe JSON come quella sopra. Più stringhe devono essere separate da caratteri di nuova riga. Quando aggiungi più voci, assicurati che il valore dei metadati non superi i 32 kB.Leggi l'output dalla porta seriale numero quattro. L'agente dell'istanza prenderà automaticamente il valore
windows-keys
e creerà una password criptata. Leggere la password criptata eseguendo una query sulla porta seriale numero quattro. Nell'API, esegui una richiestaGET
al metodogetSerialPortOutput
, trasmettendoport=4
come parametro di ricerca:GET https://compute.googleapis.com/compute/v1/projects/myproject/zones/us-central1-f/instances/test-windows-auth/serialPort?port=4 { "kind": "compute#serialPortOutput", "selfLink": "https://www.googleapis.com/compute/v1/projects/myproject/zones/_/instances/test-api-auth/serialPort", "contents": "{\"ready\":true,\"version\":\"Microsoft Windows NT 6.1.7601 Service Pack 1\"}\n{\"encryptedPassword\":\"uiHDEhxyvj6lF5GalH h9TsMZb4bG6Y9qGmFb9S3XI29yvVsDCLdp4IbUg21MncHcaxP0rFu0kyjxlEXDs8y4L1KOhy6iyB42Lh+vZ4XIMjmvU4rZrjsBZ5TxQo9hL0lBW7o3FRM\\/UIXCeRk39ObUl2A jDmQ0mcw1byJI5v9KVJnNMaHdRCy\\/kvN6bx3qqjIhIMu0JExp4UVkAX2Mxb9b+c4o2DiZF5pY6ZfbuEmjSbvGRJXyswkOJ4jTZl+7e6+SZfEal8HJyRfZKiqTjrz+DLjYSlXr fIRqlvKeAFGOJq6IRojNWiTOOh8Zorc0iHDTIkf+MY0scfbBUo5m30Bf4w==\",\"exponent\":\"AQAB\",\"modulus\":\"0tiKdO2JmBHss26jnrSAwb583KG\\/ZIw5Jw wMPXrCVsFAPwY1OV3RlT1Hp4Xvpibr7rvJbOC+f\\/Gd0cBrK5pccQfccB+OHKpbBof473zEfRbdtFwPn10RfAFj\\/xikW0r\\/XxgG\\/c8tz9bmALBStGqmwOVOLRHxjwgtG u4poeuwmFfG6TuwgCadxpllW74mviFd4LZVSuCSni5YJnBM2HSJ8NP6g1fqI17KDXt2XO\\/7kSItubmMk+HGEXdH4qiugHYewaIf1o4XSQROC8xlRl7t\\/RaD4U58hKYkVwg0 Ir7WzYzAVpG2UR4Co\\/GDG9Hct7HOYekDqVQ+sSZbwzajnVunkw==\",\"passwordFound\":true,\"userName\":\"example-user\"}\n" }
L'output della porta seriale può contenere più risposte, separate da caratteri di nuova riga. Per trovare la risposta corretta, abbina il modulo che hai passato all'output della porta seriale. Ogni risposta è una stringa codificata JSON con i seguenti campi:
userName
: il nome utente trasmesso all'istanza.passwordFound
: un valore booleano che indica se la generazione della password è riuscita.encryptedPassword
: una password criptata in base64.modulus
: il modulo trasmesso in precedenza.exponent
: l'esponente trasmesso in precedenza.
Per informazioni sulla conservazione dell'output della porta seriale, consulta Visualizzare l'output della porta seriale.
Decripta la password. Per recuperare la password, utilizza la chiave privata creata in precedenza per decriptare la password criptata. La password deve essere decriptata con Optimal Asymmetric Encryption Padding (OAEP). Per OpenSSL, il comando per decriptare i dati di input è:
$ openssl rsautl -decrypt -inkey private_key -oaep
Per decriptare la password riportata sopra, fornisci il valore
encryptedPassword
. Ricorda di rimuovere i caratteri di escape\\
dalla stringa in anticipo, altrimenti la decriptazione non riuscirà:$ echo 'uiHDEhxyvj6lF5GalHh9TsMZb4bG6Y9qGmFb9S3XI291MncHcaxP0rFu0kyjxlEXDs8y4L1KOhy6iyB42Lh+vZ4XIMjmvU4rZrjsBZ5Tx Qo9hL0lBW7o3FRM/UIXCeRk39ObUl2AjDmQ0mcw1byJI5v9KVJnNMaHdRCy/kvN6bx3qqjIhIMu0JExp4UVkAX2Mxb9b+c4o2DiZF5pY6ZfbuEmjS bvGRJXyswkOJ4jTZl+7e6+SZfEal8HJyRfZKiqTjrz+DLjYSlXrfIRqlvKeAFGOJq6IRojNWiTOOh8Zorc0iHDTIkf+MY0scfbBUo5m30Bf4w==' | base64 -d | openssl rsautl -decrypt -inkey private_key -oaep
Il comando stampa la password decriptata:
dDkJ_3]*QYS-#>X
Il nome utente e la password per questo account saranno:
username: example-user password: dDkJ_3]*QYS-#>X
Togli le chiavi. A differenza delle chiavi SSH, le chiavi utilizzate per il recupero/reimpostazione delle password di Windows sono destinate a essere temporanee. Ti consigliamo di non riutilizzare le coppie di chiavi pubbliche/private perché potrebbero non funzionare come previsto. Se la chiave è stata salvata su disco, i file devono essere eliminati alla fine del processo. Meglio ancora, se possibile, conserva la chiave in memoria e eliminala al termine del processo.