🔐

1password に登録したSSH 鍵が EC2 Windows インスタンスで使えなくなったかと思った話

gecko655

2024/01/18に公開

1password に登録してチーム共有して満足していた SSH 鍵が、 EC2 Windows インスタンスのログイン時に使えなくなったかと思い冷や汗をかいた話を書きます。

OpenSSL 7.8 以降では秘密鍵の形式が変わった

先に前提知識を書きます。

この記事では深く説明しませんが、OpenSSL 7.8からデフォルトの秘密鍵の形式が代わり、
-----BEGIN RSA PRIVATE KEY----- から始まる形式から
-----BEGIN OPENSSH PRIVATE KEY----- に変更されました。

旧形式の RSA 鍵が欲しい場合は ssh-keygen -m PEM のように -m PEM のオプションを付ける必要があります。

詳しくは以下の記事を参照してください。

旧形式 <-> 新形式の変換についてはこの記事が詳しい

1password の SSH 鍵は OpenSSH 7.8 以降の鍵に勝手に変換される

1password では SSH 鍵を登録しておくことができます。

1password は、 OpenSSH 7.8 以前の旧形式の秘密鍵を登録すると、 OpenSSH 7.8以降の新形式にデフォルトで変換されて出力する機能があるようです。
例えば、以下の旧形式 RSA 秘密鍵のことを考えます。
（このキーペアはこの記事の解説用に作ったもので、実際に使用しているものではありません。）

旧形式秘密鍵

公開鍵

ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCXlMN9e63CQqkpDKsy0qxQni3FqHVZrjMHSo9bBMPFcjcmJE8xtUeP/9gwOwe8mA5SudCaWbmqSVwDGYgZFpB6ovA3zYeT5uTPwmJPDl+E03T3AtmHmg+kvaDRi0mQN7P+HtA4Yb4BR6odzcGE9RjD8CZnRXPYeC773TaI+brerHYVtoldaANgAJhbRUTGWQH7bvNvetx/k+YZuzEQM35ishYA51AyO4vgI4G+DIQXelDlVatx0cvQb5wE50wYySh97jI1ageMF7Mc6IiaeB0n4FJDbgf9480bH7FM09qv7gYxtphuZTpXd9UvkZoVcHm0CKShS0r8ooBobjhbuLWx

この秘密鍵を 1password に登録するとこうなります。

1password 登録時は秘密鍵さえ登録しておけば、公開鍵は勝手に生成してくれる。

その後、秘密鍵を 1password からダウンロードすると、登録した秘密鍵とは全く異なる、新形式の秘密鍵がダウンロードされます。

以上の2つの形式の SSH 鍵はどちらも公開鍵とペアとなっており、普段 SSH 等を利用する限りでは問題は起こりません。

# 公開鍵と秘密鍵が一致することの確認
$ diff rsa_key_for_article.pub <(ssh-keygen -y -f rsa_old_format_key_for_article.pem)

$ diff rsa_key_for_article.pub <(ssh-keygen -y -f rsa_new_format_key_for_article.key)

# どちらも差がない

EC2 Windows インスタンスでは旧形式 RSA 秘密鍵しか受け付けてくれない

EC2 Windows インスタンスでは、 Windows のユーザーパスワードを取得する際に、インスタンス立ち上げ時に設定した秘密鍵を送信する必要があります。

Windows インスタンスでは、プライベートキーを使用して管理者パスワードを取得し、RDP を使用してログインします。

実際に Windows インスタンスを立ててパスワードを取得する手順を見てみます。

AWS のキーペアを RSAを AWS コンソールのキーペア作成画面で作成すると、この記事を書いている時点では OpenSSH 7.8 以前の旧形式で出力されます 。

この記事を書いている時点で、 Windows インスタンスでは 2048-bit SSH-2 RSA キーのみがサポートされ、 ED25519 キーはサポートされていません。
ちなみに、前の節で解説に利用したキーも、AWS コンソールのキーペア作成画面で作成したものです。

作成した RSA 鍵を設定した Windows インスタンスでパスワードの取得画面に旧形式の RSA 鍵をそのまま入力すると、Windows ログインのためのパスワードを得ることができます。

しかし、ここで旧形式秘密鍵を 1password に登録し、新形式に勝手に変換された秘密鍵を 1password から取り出した上でWindows インスタンスでパスワードの取得画面に入力すると、

Private key must begin with "-----BEGIN RSA PRIVATE KEY-----" and end with "-----END RSA PRIVATE KEY-----"

と言われて怒られてしまいます。 EC2 Windows インスタンスのパスワード取得時は、旧形式の RSA 秘密鍵しか受け付けてくれないようです。

解決方法

旧形式秘密鍵を1passwordに登録したあとで旧形式秘密鍵が必要になった場合は以下のように解決する必要があります。

旧形式秘密鍵を CLI で 1password から取り出す

アプリ版やブラウザ版の1password では新形式の秘密鍵しか取り出せませんが、1password CLI では なぜか 旧形式の秘密鍵を取り出せます。

op read 'op://[保管庫名]/[アイテム名]/private_key' のようなコマンドを実行すると、旧形式で秘密鍵を取り出すことができます。

$ op read 'op://private/rsa_key_for_article/private_key'
-----BEGIN RSA PRIVATE KEY-----
MIIEogIBAAKCAQEAl5TDfXutwkKpKQyrMtKsUJ4txah1Wa4zB0qPWwTDxXI3JiRP
MbVHj//YMDsHvJgOUrnQmlm5qklcAxmIGRaQeqLwN82Hk+bkz8JiTw5fhNN09wLZ
# 以下略

「旧形式で取り出せる」というより、「登録した鍵をそのまま取り出せる」のかも…？（ちゃんと調べてない）
リファレンスのコマンド例では op read "op://app-prod/ssh key/private key?ssh-format=openssh" となってるんですが、 private key ではなく private_key が正しそう。
- https://developer.1password.com/docs/cli/reference/commands/read/
- https://megalodon.jp/2024-0117-2047-06/https://developer.1password.com:443/docs/cli/reference/commands/read/
https://developer.1password.com/docs/cli/ssh-keys/ や https://developer.1password.com/docs/cli/secrets-reference-syntax/#ssh-format-parameter にはまた全然違うことが書いてある……(アイテムへのアドレスが違う) op read "op://Private/ssh keys/ssh key/private key?ssh-format=openssh" ???
- https://megalodon.jp/2024-0117-2053-29/https://developer.1password.com:443/docs/cli/ssh-keys/
また、 ssh-format=openssh を付けると謎のエラー ”unsupported key type "RSA PRIVATE KEY" passed with the PEM" が発生する。付けなければ旧形式で出力される。
ssh-format オプションの openssh 以外の選択肢はドキュメントのどこを探しても書いてない。
この記事を書いている時点での最新バージョンは 2.24.0 です。
- https://app-updates.agilebits.com/product_history/CLI2