Questo documento descrive come risolvere i problemi di OS Login utilizzando il server dei metadati. Per informazioni sulla configurazione di OS Login o per istruzioni dettagliate, consulta Configurazione di OS Login.
Puoi eseguire query sul server metadati dall'istanza di una macchina virtuale (VM). Per maggiori informazioni, consulta Archiviare e recuperare i metadati delle istanze.
Prima di iniziare
-
Se non l'hai ancora fatto, configura l'autenticazione.
L'autenticazione è il processo mediante il quale viene verificata l'identità per l'accesso ai servizi e alle API Google Cloud.
Per eseguire codice o esempi da un ambiente di sviluppo locale, puoi autenticarti in Compute Engine nel seguente modo.
Seleziona la scheda relativa a come prevedi di utilizzare gli esempi in questa pagina:
Console
Quando utilizzi la console Google Cloud per accedere ai servizi e alle API di Google Cloud, non devi configurare l'autenticazione.
gcloud
-
Installa Google Cloud CLI, quindi initialize eseguendo questo comando:
gcloud init
- Imposta una regione e una zona predefinite.
REST
Per utilizzare gli esempi di API REST in questa pagina in un ambiente di sviluppo locale, devi utilizzare le credenziali che fornisci a gcloud CLI.
Installa Google Cloud CLI, quindi initialize eseguendo questo comando:
gcloud init
-
Messaggi di errore comuni
Di seguito sono riportati alcuni esempi di errori comuni che potresti riscontrare quando utilizzi OS Login.
Impossibile trovare il nome del gruppo
Su alcune VM che utilizzano OS Login, una volta stabilita la connessione, potresti ricevere il seguente messaggio di errore:
/usr/bin/id: cannot find name for group ID 123456789
Ignorare questo messaggio di errore. Questo errore non interessa le VM.
Impossibile recuperare i gruppi
Quando crei le VM, potresti visualizzare log simili ai seguenti:
Dec 10 22:31:05 instance-1 google_oslogin_nss_cache[381]: oslogin_cache_refresh[381]: Refreshing group entry cache Dec 10 22:31:05 instance-1 google_oslogin_nss_cache[381]: oslogin_cache_refresh[381]: Failure getting groups, quitting
Questi log indicano che nella tua organizzazione non sono configurati gruppi OS Login Linux. Ignorare questi messaggi.
Errore condizione necessaria
Potresti visualizzare un errore simile al seguente quando ti connetti alla VM utilizzando SSH:
ERROR: (gcloud.compute.ssh) FAILED_PRECONDITION: The specified username or UID is not unique within given system ID.
Questo errore si verifica quando OS Login tenta di generare un nome utente già esistente in un'organizzazione. Si tratta di un problema comune quando un account utente viene eliminato e poco dopo viene creato un nuovo utente con lo stesso indirizzo email. Dopo che un account utente è stato eliminato, sono necessarie fino a 48 ore per rimuovere le informazioni POSIX dell'utente.
Per risolvere il problema, esegui una delle seguenti operazioni:
- Ripristina l'account eliminato.
- Rimuovi i dati POSIX dell'account prima di eliminarlo.
Argomento non valido
Potresti visualizzare errori simili ai seguenti quando ti connetti a una VM tramite SSH o utilizzi SCP per trasferire file:
ERROR: (gcloud.compute.ssh) INVALID_ARGUMENT: Login profile size exceeds 32 KiB. Delete profile values to make additional space.
ERROR: (gcloud.compute.scp) INVALID_ARGUMENT: Login profile size exceeds 32 KiB. Delete profile values to make additional space.
Per risolvere questi errori:
Visualizza il tuo profilo OS Login eseguendo il comando
gcloud compute os-login describe-profile
:gcloud compute os-login describe-profile
L'output è simile al seguente:
name: '00000000000000' posixAccounts: ... sshPublicKeys: ...: fingerprint: ... key: | ssh-rsa AAAAB3NzaC1yc2... name: ... ...
Esamina l'output per identificare le eventuali chiavi SSH inutilizzate.
Rimuovi dall'output eventuali chiavi inutilizzate utilizzando il comando
gcloud compute os-login ssh-keys remove
:gcloud compute os-login ssh-keys remove --key=KEY
Sostituisci
KEY
con l'impronta digitale della chiave o con la stringa della chiave.
Per evitare che questo problema si ripresenti in futuro, aggiungi una data di scadenza per le chiavi SSH. Le chiavi scadute vengono rimosse automaticamente dal profilo di accesso 48 ore dopo la scadenza oppure quando aggiungi una nuova chiave al profilo.
Codice risposta HTTP: 503
Quando tenti di connetterti a una VM mediante SSH, potresti visualizzare il seguente errore:
Failed to validate organization user USERNAME has login permission, got HTTP response code: 503
Questo problema è causato dal limite di frequenza del server dei metadati di 100 query al secondo per istanza di macchina virtuale. Questo limite non può essere modificato. Per risolvere il problema, attendi qualche secondo e poi riprova a connettersi.
Per evitare questo problema in futuro, prova a procedere nel seguente modo:
- Implementa un meccanismo di nuovo tentativo nel codice dell'applicazione. Per saperne di più, consulta:
- Riutilizza le connessioni SSH esistenti.
- Invia i comandi in batch per ridurre le connessioni SSH e le query sui metadati di OS Login.
Voci predefinite dei metadati di OS Login
Compute Engine definisce un insieme di voci di metadati predefinite che pubblicano le informazioni di OS Login. I metadati predefiniti sono sempre definiti e impostati dal server. Le chiavi dei metadati predefinite sono sensibili alle maiuscole.
La tabella seguente descrive le voci su cui puoi eseguire una query.
Rispetto a http://metadata.google.internal/computeMetadata/v1/ |
|
---|---|
Voce dei metadati | Descrizione |
project/attributes/enable-oslogin |
Controlla se OS Login è abilitato nel progetto Google Cloud attuale. |
instance/attributes/enable-oslogin |
Controlla se OS Login è abilitato sulla VM attuale. |
oslogin/users/ |
Recupera le informazioni del profilo per gli utenti di OS Login.
Puoi trasmettere parametri di ricerca come username ,
uid , pagesize e pagetoken .
|
oslogin/authorize/ |
Recupera le impostazioni di autorizzazione a livello amministrativo o di accesso per un utente OS Login.
Per verificare un'autorizzazione, devi specificare il parametro di query |
Controllo della configurazione di OS Login in corso...
Utilizza la console Google Cloud o Google Cloud CLI per eseguire query sui metadati per determinare se lOS Login è abilitato. OS Login è abilitato quando la chiave dei metadati enable-oslogin
è impostata su TRUE
nei metadati del progetto o dell'istanza. Se sono impostati sia i metadati dell'istanza che del progetto, il valore impostato nei metadati dell'istanza ha la precedenza.
Visualizzazione degli utenti di OS Login
Per visualizzare le informazioni del profilo di più utenti, devi specificare i parametri pagesize
e pagetoken
. Sostituisci
pagesize
e pagetoken
con il valore numerico richiesto.
curl "http://metadata.google.internal/computeMetadata/v1/oslogin/users?pagesize=PAGE_SIZE& pagetoken=PAGE_TOKEN" -H "Metadata-Flavor: Google"
Ad esempio, per impostare pagesize
su 1
e pagetoken
su 0
, esegui questo comando:
curl "http://metadata.google.internal/computeMetadata/v1/oslogin/users?pagesize=1&pagetoken=0" -H "Metadata-Flavor: Google"
Sulla maggior parte delle distribuzioni, puoi anche eseguire il comando Unix getent passwd
per recuperare le voci delle password per gli utenti dell'organizzazione.
Visualizzazione di un utente OS Login specifico
Per visualizzare le informazioni del profilo di un utente specifico sulla VM, esegui questo comando:
curl "http://metadata.google.internal/computeMetadata/v1/oslogin/users?username=USERNAME" -H "Metadata-Flavor: Google"
Sostituisci USERNAME
con il nome utente dell'utente per il quale vuoi eseguire la query.
Ad esempio, puoi eseguire una richiesta per cercare l'utente user_example_com
.
Il comando e l'output seguenti mostrano una formattazione aggiunta per una migliore leggibilità.
curl "http://metadata.google.internal/computeMetadata/v1/oslogin/users?username=user_example_com" -H "Metadata-Flavor: Google"
L'output è simile al seguente:
{ "loginProfiles": [{ "name": "12345678912345", "posixAccounts": [{ "primary": true, "username": "user_example_com", "uid": "123451", "gid": "123451", "homeDirectory": "/home/user_example_com", "operatingSystemType": "LINUX" }], "sshPublicKeys": { "204c4b4fb...": { "key": "ssh-rsa AAAAB3Nz...", "fingerprint": "204c4b4fb..." } } }] }
Sulla maggior parte delle distribuzioni puoi anche eseguire comandi Unix come getent passwd username
o getent passwd uid
per recuperare le informazioni del profilo.
Per recuperare le chiavi SSH per un utente, puoi anche eseguire /usr/bin/google_authorized_keys USERNAME
.
Se non viene restituita alcuna chiave, l'utente potrebbe non disporre delle autorizzazioni necessarie per accedere alla VM.
Controllo delle autorizzazioni di accesso in corso...
Per visualizzare le autorizzazioni a livello di accesso e amministrativo, devi fornire i parametri di ricerca policy=login&email=LOGIN_NAME
.
Esegui una query sul profilo utente per ottenere il valore del campo
name
:curl "http://metadata.google.internal/computeMetadata/v1/oslogin/users?username=user_example_com" -H "Metadata-Flavor: Google"
Nell'output, prendi nota di
name
.Esegui questo comando
login
utilizzando il valore diname
:curl "http://metadata.google.internal/computeMetadata/v1/oslogin/authorize?policy=login&email=LOGIN_NAME" -H "Metadata-Flavor: Google"
Ad esempio, puoi eseguire una query sulle autorizzazioni di accesso per l'utente user_example_com
che è stato visualizzato nella sezione precedente:
curl "http://metadata.google.internal/computeMetadata/v1/oslogin/authorize?policy=login&email=12345678912345" -H "Metadata-Flavor: Google"
L'output comando indica che l'utente è autorizzato ad accedere alla VM:
{"success":true}
Controllare se la VM ha un account di servizio
Puoi eseguire una query sul server dei metadati per trovare l'account di servizio associato alla VM. Sulla tua VM, esegui questo comando:
curl "http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/" -H "Metadata-Flavor: Google"
L'output è simile al seguente:
12345-sa@developer.gserviceaccount.com/ default/
Se non viene trovato alcun account di servizio, l'output è vuoto.
Passaggi successivi
- Scopri di più su OS Login.
- Scopri come funzionano le connessioni SSH alle VM Linux su Compute Engine.
- Per istruzioni dettagliate, esamina una delle seguenti opzioni:
- Consulta Gestire OS Login in un'organizzazione