מידע על חיבורי SSH

ב-Compute Engine, החיבור למכונות וירטואליות (VM) של Linux מתבצע באמצעות אימות מבוסס-מפתח של SSH, וגם באמצעות אימות מבוסס-אישור למכונות וירטואליות של OS Login. אפשר גם להפעיל SSH למכונות וירטואליות של Windows. כברירת מחדל, סיסמאות לא מוגדרות למשתמשים מקומיים במכונות וירטואליות של Linux.

כדי להתחבר למכונה וירטואלית, צריך לבצע כמה הגדרות. אם אתם משתמשים במסוף Google Cloud או ב-Google Cloud CLI כדי להתחבר למכונות הווירטואליות, Compute Engine מבצע את ההגדרות האלה בשבילכם. מערכת Compute Engine מבצעת הגדרות שונות בהתאם לכלי שבו אתם משתמשים כדי להתחבר, ולשיטה שבה אתם מנהלים את הגישה למכונות וירטואליות באמצעות מטא-נתונים או OS Login. השירות OS Login זמין רק למכונות וירטואליות של Linux.

חיבורי SSH שמנוהלים על ידי מטא-נתונים

כברירת מחדל, מערכת Compute Engine משתמשת במטא-נתונים מותאמים אישית של הפרויקט או של המכונה כדי להגדיר מפתחות SSH ולנהל את גישת ה-SSH. בכל המכונות הווירטואליות של Windows, מפתחות ה-SSH מנוהלים באמצעות מטא-נתונים, ובמכונות הווירטואליות של Linux אפשר להשתמש במפתחות מטא-נתונים או ב-OS Login. אם אתם משתמשים ב-OS Login, מפתחות SSH במטא-נתונים מושבתים.

לחצו על כל אחת מהכרטיסיות כדי לקבל מידע נוסף על ההגדרות האישיות ש-Compute Engine מבצע לפני שהוא מאשר חיבורי SSH כשאתם משתמשים במסוף Google Cloud , ב-CLI של gcloud או בכלים של צד שלישי כדי להתחבר למכונות וירטואליות. אם אתם מתחברים למכונות וירטואליות בלי להשתמש במסוף Google Cloud או ב-CLI של gcloud, אתם צריכים לבצע כמה הגדרות בעצמכם.

המסוף

  1. אתם משתמשים בלחצן SSH ב Google Cloud מסוף כדי להתחבר למכונה הווירטואלית.
  2. ‫Compute Engine מגדיר שם משתמש ויוצר זוג מפתחות SSH זמני עם ההגדרה הבאה:
    • שם המשתמש מוגדר כשם המשתמש בחשבון Google. לדוגמה, אם כתובת האימייל שמשויכת לחשבון Google שלכם היא cloudysanfrancisco@gmail.com, שם המשתמש שלכם הוא cloudysanfrancisco.
    • המפתחות הציבוריים והפרטיים של SSH מאוחסנים בסשן הדפדפן.
    • התוקף של מפתח ה-SSH הוא שלוש דקות. שלוש דקות אחרי ש-Compute Engine יוצר את המפתח, אי אפשר יותר להשתמש במפתח ה-SSH כדי להתחבר ל-VM.
  3. מערכת Compute Engine מאמתת את מפתח ה-SSH ומאשרת את החיבור.
  4. מערכת Compute Engine מעלה את המפתח הציבורי של SSH ואת שם המשתמש למטא-נתונים.
  5. ‫Compute Engine מאחזר את מפתח ה-SSH ואת שם המשתמש מהמטא-נתונים, יוצר חשבון משתמש עם שם המשתמש, ובמכונות וירטואליות של Linux, מאחסן את המפתח הציבורי בקובץ ~/.ssh/authorized_keys של המשתמש במכונה הווירטואלית. במכונות וירטואליות של Windows, ‏ Compute Engine לא מאחסן את המפתח הציבורי במכונה הווירטואלית.
  6. מערכת Compute Engine מאשרת את החיבור.

gcloud

  1. אתם משתמשים בפקודה gcloud compute ssh כדי להתחבר ל-VM.
  2. ‫Compute Engine מגדיר שם משתמש ויוצר זוג מפתחות SSH קבוע עם ההגדרות הבאות:
    • שם המשתמש שלכם מוגדר כשם המשתמש במחשב המקומי.
    • מפתח ה-SSH הציבורי שלכם מאוחסן במטא-נתונים של הפרויקט. אם Compute Engine לא יכול לאחסן את מפתח ה-SSH במטא-נתונים של הפרויקט, למשל כי block-project-ssh-keys מוגדר ל-TRUE,‏ Compute Engine מאחסן את מפתח ה-SSH במטא-נתונים של המכונה.
    • מפתח ה-SSH הפרטי מאוחסן במחשב המקומי.
    • למפתח ה-SSH אין תאריך תפוגה. הוא משמש לכל חיבורי ה-SSH שתבצעו בעתיד, אלא אם תגדירו מפתח חדש.
  3. מערכת Compute Engine מאמתת את מפתח ה-SSH ומאשרת את החיבור.
  4. מערכת Compute Engine מעלה את המפתח הציבורי של SSH ואת שם המשתמש למטא-נתונים.
  5. ‫Compute Engine מאחזר את מפתח ה-SSH ואת שם המשתמש מהמטא-נתונים, יוצר חשבון משתמש עם שם המשתמש, ובמכונות וירטואליות של Linux, מאחסן את המפתח הציבורי בקובץ ~/.ssh/authorized_keys של המשתמש במכונה הווירטואלית. במכונות וירטואליות של Windows, ‏ Compute Engine לא מאחסן את המפתח הציבורי במכונה הווירטואלית.
  6. ‫Compute Engine מאשר את החיבור.

כלי צד שלישי

  1. יוצרים זוג מפתחות SSH ושם משתמש. פרטים נוספים זמינים במאמר יצירת מפתחות SSH.
  2. מעלים את המפתח הציבורי ואת שם המשתמש למטא-נתונים. פרטים נוספים זמינים במאמר איך מוסיפים מפתחות SSH למכונות וירטואליות שמשתמשות במפתחות SSH שמבוססים על מטא-נתונים.
  3. מתחברים ל-VM.
  4. ‫Compute Engine מאחזר את מפתח ה-SSH ואת שם המשתמש מהמטא-נתונים, יוצר חשבון משתמש עם שם המשתמש, ובמכונות וירטואליות של Linux, מאחסן את המפתח הציבורי בקובץ ~/.ssh/authorized_keys של המשתמש במכונה הווירטואלית. במכונות וירטואליות של Windows, ‏ Compute Engine לא מאחסן את המפתח הציבורי במכונה הווירטואלית.
  5. מערכת Compute Engine מאשרת את החיבור.

חיבורי SSH שמנוהלים באמצעות OS Login

כשמגדירים את המטא-נתונים של OS Login, המערכת של Compute Engine מוחקת את קובצי authorized_keys של ה-VM, ולא מקבלת יותר חיבורים ממפתחות SSH ששמורים במטא-נתונים של הפרויקט או של המכונה. ‫OS Login תומך בחיבורים ממפתחות SSH שמשויכים לחשבון Google שלכם, ובאישורי SSH שנחתמים על ידי רשות האישורים של OS Login. אפשר גם לדרוש שימוש ב-OS Login כדי לאפשר רק חיבורים באמצעות אישורי SSH, כמו שמתואר במאמר דרישת אישורי SSH עם OS Login.

חיבורים באמצעות מפתח SSH

כדי לקבל מידע נוסף על ההגדרות שמערכת Compute Engine מבצעת לפני שהיא מאשרת חיבורי SSH כשמשתמשים במפתחות SSH כדי להתחבר למכונות וירטואליות, צריך ללחוץ על כל אחת מהכרטיסיות. ההגדרות ש-Compute Engine מבצע משתנות בהתאם לשיטה שבה אתם מתחברים למכונות הווירטואליות: באמצעות מסוף Google Cloud , ה-CLI של gcloud או כלים של צד שלישי. אם אתם מתחברים באמצעות כלים של צד שלישי, אתם צריכים לבצע בעצמכם כמה הגדרות.

המסוף

  1. אתם משתמשים בלחצן SSH ב Google Cloud מסוף כדי להתחבר למכונה הווירטואלית.
  2. ‫Compute Engine מגדיר שם משתמש ויוצר זוג מפתחות SSH זמניים עם ההגדרות הבאות:
    • שם המשתמש הוא שם המשתמש שהוגדר על ידי האדמין של Cloud Identity או Google Workspace בארגון. אם הארגון שלכם לא הגדיר לכם שם משתמש, או אם הפרויקט לא שייך לארגון, Compute Engine משתמש בכתובת האימייל של חשבון Google שלכם, בפורמט הבא: 

      USERNAME_DOMAIN_SUFFIX
       לדוגמה, אם כתובת האימייל שמשויכת לחשבון Google שלכם היא cloudysanfrancisco@gmail.com, שם המשתמש שנוצר הוא cloudysanfrancisco_gmail_com.

    • מפתח ה-SSH הציבורי שלכם מאוחסן בסשן הדפדפן ובחשבון Google שלכם.
    • מפתח ה-SSH הפרטי מאוחסן בסשן הדפדפן.
    • התוקף של מפתח ה-SSH הוא שלוש דקות. שלוש דקות אחרי שמערכת Compute Engine יוצרת את המפתח, אי אפשר יותר להשתמש במפתח ה-SSH כדי להתחבר למכונה הווירטואלית.
  3. מערכת Compute Engine מאמתת את מפתח ה-SSH ומאשרת את החיבור.

gcloud

  1. משתמשים בפקודה gcloud compute ssh כדי להתחבר ל-VM.
  2. ‫Compute Engine מגדיר שם משתמש ויוצר זוג מפתחות SSH קבוע עם ההגדרות הבאות:
    • שם המשתמש הוא שם המשתמש שהוגדר על ידי האדמין של Cloud Identity או Google Workspace בארגון. אם הארגון שלכם לא הגדיר לכם שם משתמש, Compute Engine משתמש בכתובת האימייל בחשבון Google שלכם, בפורמט הבא:

      USERNAME_DOMAIN_SUFFIX
       לדוגמה, אם כתובת האימייל שמשויכת לחשבון Google היא cloudysanfrancisco@gmail.com, שם המשתמש שנוצר הוא cloudysanfrancisco_gmail_com.

    • המפתח הציבורי של SSH מאוחסן בחשבון Google שלכם.
    • המפתח הפרטי של SSH מאוחסן במחשב המקומי בקובץ google_compute_engine.
    • למפתח ה-SSH שלכם אין תאריך תפוגה. המפתח הזה ישמש לכל חיבורי ה-SSH העתידיים שתבצעו, אלא אם תגדירו מפתח חדש.
  3. מערכת Compute Engine מאמתת את מפתח ה-SSH ומאשרת את החיבור.

כלי צד שלישי

  1. יוצרים זוג מפתחות SSH. פרטים נוספים זמינים במאמר בנושא יצירת מפתחות SSH.
  2. מעלים את מפתח ה-SSH הציבורי לפרופיל ב-OS Login. פרטים נוספים זמינים במאמר הוספת מפתחות למכונות וירטואליות שמשתמשות ב-OS Login.
    • המפתח נשמר בחשבון Google שלכם ב-Compute Engine.
    • ‫Compute Engine מגדיר את שם המשתמש בפורמט ברירת המחדל: 
          USERNAME_DOMAIN_SUFFIX
       לדוגמה, אם כתובת האימייל שמשויכת לחשבון Google שלכם היא cloudysanfrancisco@gmail.com, שם המשתמש שנוצר הוא cloudysanfrancisco_gmail_com.
  3. אפשר להגדיר שם משתמש באמצעות Google Workspace Admin SDK Directory API.
  4. מתחברים ל-VM.
  5. מערכת Compute Engine מאמתת את מפתח ה-SSH ומאשרת את החיבור.

חיבורים לאישורי SSH

כדי לקבל מידע נוסף על ההגדרות שמערכת Compute Engine מבצעת לפני שהיא מאשרת חיבורי SSH כשמשתמשים באישורים של SSH כדי להתחבר למכונות וירטואליות, צריך ללחוץ על כל אחת מהכרטיסיות. מערכת Compute Engine מבצעת הגדרות שונות בהתאם לאופן שבו מתחברים למכונות וירטואליות: באמצעות מסוף Google Cloud , ה-CLI של gcloud או כלים של צד שלישי. אם אתם מתחברים באמצעות כלים של צד שלישי, אתם צריכים לבצע כמה הגדרות בעצמכם.

המסוף

  1. אתם משתמשים בלחצן ה-SSH בGoogle Cloud מסוף כדי להתחבר למכונה הווירטואלית.
  2. ‫Compute Engine מגדיר שם משתמש ויוצר זוג מפתחות SSH זמניים. שם המשתמש הוא השם שהוגדר על ידי האדמין של הארגון ב-Cloud Identity או ב-Google Workspace. אם הארגון לא הגדיר לכם שם משתמש, או אם הפרויקט לא שייך לארגון, Compute Engine משתמש בכתובת האימייל בחשבון Google שלכם, בפורמט הבא: 

    USERNAME_DOMAIN_SUFFIX
     לדוגמה, אם כתובת האימייל שמשויכת לחשבון Google שלכם היא cloudysanfrancisco@gmail.com, שם המשתמש שנוצר הוא cloudysanfrancisco_gmail_com.

  3. ‫Compute Engine שולח את המפתח הציבורי שלכם לרשות האישורים של OS Login ומבצע הרשאה ב-IAM כדי לוודא שיש לכם הרשאות להתחבר למכונה הווירטואלית.
  4. רשות האישורים של OS Login מספקת אישור SSH חתום לטווח קצר.
  5. ‫Compute Engine מאמת את האישור לזמן קצר ומאשר את החיבור.

gcloud

  1. משתמשים בפקודה gcloud beta compute ssh כדי להתחבר ל-VM.
  2. ‫Compute Engine מגדיר שם משתמש ויוצר זוג מפתחות SSH זמניים. שם המשתמש הוא השם שהוגדר על ידי האדמין של הארגון ב-Cloud Identity או ב-Google Workspace. אם הארגון לא הגדיר לכם שם משתמש, או אם הפרויקט לא שייך לארגון, Compute Engine משתמש בכתובת האימייל בחשבון Google שלכם, בפורמט הבא: 

    USERNAME_DOMAIN_SUFFIX
     לדוגמה, אם כתובת האימייל שמשויכת לחשבון Google שלכם היא cloudysanfrancisco@gmail.com, שם המשתמש שנוצר הוא cloudysanfrancisco_gmail_com.

  3. ‫Compute Engine שולח את המפתח הציבורי שלכם לרשות האישורים של OS Login ומבצע הרשאה ב-IAM כדי לוודא שיש לכם הרשאות להתחבר למכונה הווירטואלית.
  4. רשות האישורים של OS Login מספקת אישור SSH חתום לטווח קצר.
  5. ‫Compute Engine מאמת את האישור לזמן קצר ומאשר את החיבור.

כלי צד שלישי

  1. יוצרים זוג מפתחות SSH. פרטים נוספים זמינים במאמר בנושא יצירת מפתחות SSH.
  2. אם לא התחברתם בעבר למכונה וירטואלית שמשתמשת ב-OS Login, אתם צריכים להקצות חשבון POSIX.
  3. מערכת Compute Engine מגדירה את שם המשתמש בפורמט שמוגדר כברירת מחדל: 
    USERNAME_DOMAIN_SUFFIX
     לדוגמה, אם כתובת האימייל שמשויכת לחשבון Google היא cloudysanfrancisco@gmail.com, אז שם המשתמש שנוצר הוא cloudysanfrancisco_gmail_com.
  4. האדמין יכול גם להגדיר שם משתמש באמצעות Google Workspace Admin SDK Directory API. אם הארגון שלכם משתמש ב איחוד שירותי אימות הזהות של כוח העבודה, אתם צריכים לפנות לאדמין כדי לשנות את שם המשתמש.
  5. שולחים את המפתח הציבורי לרשות האישורים של OS Login.
  6. רשות האישורים של OS Login מספקת אישור SSH חתום לטווח קצר.
  7. משתמשים באישור כדי להתחבר ל-VM.
  8. ‫Compute Engine מאמת את האישור קצר-המועד ומאשר את החיבור.

מה השלב הבא?