Saat menambahkan host KVM ke Apache CloudStack menggunakan opsi System SSH Key, proses penambahan host gagal karena Management Server tidak dapat melakukan autentikasi SSH.
Error yang Muncul
Pada log CloudStack, error yang muncul mengarah ke kegagalan autentikasi SSH key:
Failed to authenticate with ssh key
Failed to authenticate with ssh key, retrying with password
Pada CloudStack UI, error dapat ditampilkan dalam bentuk:
Could not add host at [http://192.168.14.135] ...
due to: [Authentication error with ssh private key]
Ketika koneksi diuji secara manual, autentikasi SSH juga gagal:
root@192.168.14.135: Permission denied (publickey).
Error tersebut menunjukkan bahwa private key milik CloudStack belum dikenali oleh user root pada host KVM.
Kondisi Lab
Server yang digunakan pada lab ini adalah:
- Hostname:
csmgmt-kvm.lab.local
- IP address:
192.168.14.135
- Fungsi: CloudStack Management Server sekaligus host KVM
- Autentikasi host: System SSH Key
Walaupun Management Server dan host KVM berada pada server yang sama, CloudStack tetap melakukan koneksi SSH ke:
root@192.168.14.135
Proses CloudStack berjalan menggunakan user sistem cloud. Oleh karena itu, private key yang digunakan harus dapat dibaca oleh user cloud, sedangkan public key-nya harus terdaftar pada /root/.ssh/authorized_keys.
Memeriksa Home Directory User cloud
Jangan langsung menggunakan /var/cloudstack/management karena lokasi home directory user cloud dapat berbeda berdasarkan sistem operasi dan paket CloudStack yang digunakan.
Periksa lokasi sebenarnya dengan:
getent passwd cloud
Ambil home directory user cloud:
CLOUD_USER_HOME=$(getent passwd cloud | cut -d: -f6)
printf 'Home user cloud: %s\n' "$CLOUD_USER_HOME"
Pada Ubuntu atau Debian, lokasinya umumnya:
/var/lib/cloudstack/management
Sementara pada distribusi berbasis RHEL dapat menggunakan:
/var/cloudstack/management
Karena itu, seluruh perintah berikut menggunakan variabel $CLOUD_USER_HOME.
Memeriksa System SSH Key CloudStack
Periksa apakah key CloudStack sudah tersedia:
ls -la "$CLOUD_USER_HOME/.ssh"
Seharusnya tersedia dua file berikut:
id_rsa
id_rsa.pub
Private key id_rsa digunakan oleh Management Server, sedangkan id_rsa.pub perlu didaftarkan pada host KVM.
Jika kedua file sudah tersedia, jangan membuat key baru. Cukup perbaiki ownership dan permission-nya:
chown -R cloud:cloud "$CLOUD_USER_HOME/.ssh"
chmod 700 "$CLOUD_USER_HOME/.ssh"
chmod 600 "$CLOUD_USER_HOME/.ssh/id_rsa"
chmod 644 "$CLOUD_USER_HOME/.ssh/id_rsa.pub"
Pastikan private key dapat dibaca oleh user cloud:
sudo -u cloud -H test -r "$CLOUD_USER_HOME/.ssh/id_rsa" \
&& echo "Private key dapat dibaca oleh user cloud"
Membuat SSH Key Jika Belum Tersedia
Langkah ini hanya dilakukan jika id_rsa dan id_rsa.pub benar-benar belum tersedia.
Buat directory SSH:
install -d -m 700 -o cloud -g cloud "$CLOUD_USER_HOME/.ssh"
Kemudian buat SSH key sebagai user cloud:
sudo -u cloud -H ssh-keygen \
-t rsa \
-b 4096 \
-f "$CLOUD_USER_HOME/.ssh/id_rsa" \
-N ""
Periksa kembali hasilnya:
ls -l "$CLOUD_USER_HOME/.ssh/id_rsa"*
Menambahkan Public Key ke Host KVM
Pada kasus ini, host KVM berada pada server yang sama, yaitu 192.168.14.135. Tambahkan public key CloudStack ke authorized_keys milik user root:
install -d -m 700 -o root -g root /root/.ssh
touch /root/.ssh/authorized_keys
Tambahkan key hanya jika belum terdaftar:
grep -qxF "$(cat "$CLOUD_USER_HOME/.ssh/id_rsa.pub")" \
/root/.ssh/authorized_keys || \
cat "$CLOUD_USER_HOME/.ssh/id_rsa.pub" \
>> /root/.ssh/authorized_keys
Sesuaikan ownership dan permission:
chown root:root /root/.ssh/authorized_keys
chmod 600 /root/.ssh/authorized_keys
CloudStack memang menyediakan opsi penambahan host KVM menggunakan System SSH Key dengan menempatkan public key Management Server pada /root/.ssh/authorized_keys host KVM. Prosedur tersebut juga dijelaskan dalam dokumentasi konfigurasi Apache CloudStack.
Memeriksa Konfigurasi SSH Server
Periksa konfigurasi SSH yang sedang aktif:
sshd -T | grep -E '^(permitrootlogin|pubkeyauthentication)'
Konfigurasi yang dibutuhkan adalah:
permitrootlogin prohibit-password
pubkeyauthentication yes
PermitRootLogin prohibit-password mengizinkan login root menggunakan public key, tetapi tetap menolak login root menggunakan password.
Jika hasilnya belum sesuai, buat konfigurasi tambahan:
nano /etc/ssh/sshd_config.d/99-cloudstack.conf
Isi dengan:
PermitRootLogin prohibit-password
PubkeyAuthentication yes
Validasi syntax:
sshd -t
Apabila tidak terdapat output, restart SSH:
systemctl restart ssh
Menguji SSH sebagai User cloud
Pengujian harus dilakukan sebagai user cloud, bukan sebagai root, karena proses CloudStack Management Server berjalan menggunakan user tersebut.
Jalankan:
sudo -u cloud -H ssh \
-o BatchMode=yes \
-o IdentitiesOnly=yes \
-o StrictHostKeyChecking=accept-new \
-i "$CLOUD_USER_HOME/.ssh/id_rsa" \
root@192.168.14.135 \
'whoami && hostname -f'
Jika berhasil, hasilnya kurang lebih:
root
csmgmt-kvm.lab.local
Opsi BatchMode=yes memastikan SSH tidak meminta password. Dengan demikian, keberhasilan perintah tersebut membuktikan bahwa autentikasi benar-benar menggunakan SSH key.
Jika masih gagal, jalankan pengujian verbose:
sudo -u cloud -H ssh -vvv \
-o BatchMode=yes \
-o IdentitiesOnly=yes \
-i "$CLOUD_USER_HOME/.ssh/id_rsa" \
root@192.168.14.135
Perhatikan bagian yang menunjukkan apakah private key ditawarkan, diterima, atau ditolak oleh SSH server.
Mengulangi Penambahan Host
Setelah pengujian SSH berhasil, ulangi penambahan host KVM pada CloudStack dengan parameter:
Host Name : 192.168.14.135
Username : root
Authentication: System SSH Key
Konfigurasi berikut tidak diperlukan pada kasus ini:
Defaults:cloud !requiretty
Pengaturan tersebut berkaitan dengan penggunaan sudo oleh user non-root pada host tujuan. Pada kasus ini CloudStack melakukan koneksi langsung sebagai root, sehingga masalahnya murni pada autentikasi SSH key.
Kesimpulan
Penyebab error bukan berasal dari status cloudstack-management, libvirtd, ataupun socket libvirt. Masalahnya adalah System SSH Key CloudStack belum dapat digunakan untuk login sebagai root ke host KVM.
Alur autentikasi yang harus dipastikan adalah:
Proses CloudStack sebagai user cloud
↓
Membaca private key dari home user cloud
↓
SSH ke root@192.168.14.135
↓
Public key ditemukan di /root/.ssh/authorized_keys
↓
Login berhasil tanpa password
Setelah koneksi SSH sebagai user cloud berhasil dan menghasilkan output root, proses penambahan host KVM dapat diulangi menggunakan opsi System SSH Key.
https://docs.cloudstack.apache.org/en/4.21.0.0/installguide/configuration.html#adding-a-kvm-host
