问题描述

《Ubuntu16手动安装OpenStack——horizon篇》一文中，已经安装了horizon，并且在dashboard中使用官方镜像创建了ubuntu16实例。看上去，很成功。

但是，再次使用官方镜像创建实例，这次居然无法通过ssh密钥访问！！！Permission denied (publickey). 神奇了。。。

重建实例，依然无法通过密钥访问。本文，就来研究一下解决办法。

原文地址：
https://www.voidking.com/2018/07/10/deve-ubuntu16-manual-openstack-modify-mirror/

尝试解决

1、查看启动日志，发现：

ci-info: no authorized ssh keys fingerprints found for user ubuntu.

看这个提示，应该是密钥没有注入到实例中。

2、再往上看，发现：

DataSourceEc2.py[CRITICAL]: Giving up on md from ['http://169.254.169.254/2009-04-04/meta-data/instance-id'] after 120 seconds
url_helper.py[WARNING]: Calling 'http://10.0.0.200/latest/meta-data/instance-id' failed [0/120s]: bad status code [404]
......
DataSourceCloudStack.py[CRITICAL]: Giving up on waiting for the metadata from ['http://10.0.0.200/latest/meta-data/instance-id'] after 120 seconds

完整日志查看：start.log

3、参考OpenStack METADATA不工作的分析方法，重启metadata服务：
systemctl restart neutron-metadata-agent.service

然后重新创建实例，没有用。

4、查看metadata日志
tail /var/log/neutron/neutron-metadata-agent.log

2018-07-10 11:40:45.079 22459 INFO eventlet.wsgi.server [-] 10.0.0.1,<local> "GET /latest/meta-data/instance-id HTTP/1.1" status: 404  len: 297 time: 0.0431259

使用日志关键词搜索，并没有找到相关解决办法。

5、参考Openstack 通过 Metadata 服务请求流程 和 在OpenStack里如何确保虚机正常访问MetaData IP 169.254.169.254，也没有解决问题。

6、重建实例，配置脚本设置ssh允许密码登录。但是，无论是密钥还是密码，都无法登录，和《OpenStack添加镜像》一文中遇到的问题简直一模一样。

修改镜像

配置失败，决定从镜像入手，修改镜像，使之支持ssh密码登录。主要参考openstack中镜像的密码修改和使用 guestfish 工具修改OpenStack官方Ubuntu 镜像

以下操作在控制节点切换到root执行。

1、下载镜像
wget http://cloud-images.ubuntu.com/xenial/current/xenial-server-cloudimg-amd64-disk1.img

2、安装guestfish工具
apt-get install libguestfs-tools -y

3、打开镜像
guestfish --rw -a xenial-server-cloudimg-amd64-disk1.img

4、执行修改

><fs> run
><fs> list-filesystems
><fs> mount /dev/sda1 /
><fs> vi /etc/cloud/cloud.cfg
><fs> quit 

在编辑cloud.cfg的时候，做如下修改：

# line 12, change and add
disable_root: false
ssh_pwauth: true
# line 93, change and add
lock_passwd: false
plain_text_passwd: "ubuntu"

以上，允许了root登录，增加了ssh密码登录，设置ubuntu用户的默认密码为ubuntu。

5、使admin环境生效
. admin-openrc

6、添加镜像

openstack image create "ubuntu16-server-modified" \
  --file xenial-server-cloudimg-amd64-disk1.img \
  --disk-format qcow2 --container-format bare \
  --public

7、之后，创建实例ubuntu1，就可以在vnc使用密码登录了。可以使用sudo -i切换到root，等待时间很长，大概半分钟才能切换成功。

但是此时，依然不能使用ssh登录，无论是使用密钥，还是不使用密钥，都会提示：Permission denied (publickey).。

打算在vnc给实例添加公钥，然后把私钥scp给控制节点，但是，无法向authorized_keys写入公钥。神奇了！

image

而且，在vnc也无法ssh登录本机！同样提示Permission denied (publickey).

8、解决办法

sudo -i
apt remove openssh-server
rm /etc/ssh/*
apt install openssh-server

继续修改镜像

定位问题

以上，已经实现了实例通过ssh密码登录，但是这个过程比较麻烦。理论上，继续修改镜像，应该就能够实现这个目标。

1、创建一个实例ubuntu2，然后对比ubuntu1和ubuntu2中的/etc/ssh/sshd_config。发现它们最大的不同在于PasswordAuthentication。

ubuntu1中：

# Change to no to disable tunnelled clear text passwords
#PasswordAuthentication yes

ubuntu2中：

# Change to no to disable tunnelled clear text passwords
PasswordAuthentication no

啊哈，这就是无法使用ssh登录的罪魁祸首了。

2、在ubuntu2中，修改PasswordAuthentication：

# Change to no to disable tunnelled clear text passwords
#PasswordAuthentication no

3、重启sshd
service sshd restart

然后，就可以使用ssh密码登录了。

修改镜像

那么，该怎么在镜像中修改PasswordAuthentication呢？很简单。

1、打开镜像
guestfish --rw -a xenial-server-cloudimg-amd64-disk1.img

2、修改sshd_config

><fs> run
><fs> list-filesystems
><fs> mount /dev/sda1 /
><fs> vi /etc/ssh/sshd_config
><fs> quit 

在编辑sshd_config的时候，做如下修改：

# Change to no to disable tunnelled clear text passwords
#PasswordAuthentication no

3、（可选）为了方便联网，不妨编辑resolv.conf.d/base

><fs> vi /etc/resolvconf/resolv.conf.d/base

在base中添加：

nameserver 180.76.76.76
nameserver 223.6.6.6

4、使admin环境生效
. admin-openrc

5、删除镜像，重新添加

openstack image delete "ubuntu16-server-modified"

openstack image create "ubuntu16-server-modified" \
  --file xenial-server-cloudimg-amd64-disk1.img \
  --disk-format qcow2 --container-format bare \
  --public

至此，大功告成。

后记

在创建实例时无法注入公钥和脚本的问题，最终没有解决，好在找到了其他解决方案。至于这个注入问题，会在后续的学习中继续尝试解决。