Google Cloud Compute Engine（GCE）でSSH接続の設定（Linux系VM）

（１）概要
　
・GCEは鍵ベースのSSH認証を使用して、すべてのLinux系VMインスタンスへの接続を確立する。
・デフォルトでは、Linux系VMのローカルユーザーのパスワードは構成されていない。
・VMに接続するには、いくつかの構成を実行する必要があるが、Google CloudコンソールまたはGoogle Cloud CLIを使用してVMに接続する場合、GCEはこれらの構成をユーザーに代わって実行する。
・デフォルトでは、インスタンスメタデータを使用してSSH認証鍵を構成し、SSHアクセスを管理する。
・Linux系VMではメタデータ鍵またはOS Loginを使用できる。
　OS Loginを使用する場合、メタデータSSH認証鍵は無効になる。
　
（２）OS LoginマネージドSSH接続
　
・OS ログインでは、IAMを使用してインスタンスへのSSHアクセスを管理でき、個別のSSH認証鍵を作成して管理する必要がない。
・OS ログインを利用することにより、VMインスタンス間で一貫したLinux ユーザーIDを維持できるため、複数のVMやプロジェクト間で多くのユーザーを管理することができる。
・OS ログインは、LinuxユーザーアカウントをGoogle IDにリンクして、SSHアクセス管理を簡素化する。
・管理者は、IAM権限を設定して、インスタンスレベルまたはプロジェクトレベルでインスタンスへのアクセスを簡単に管理できる。
・OS Login メタデータを設定すると、GCEでは VMのauthorized_keysファイルが削除され、プロジェクトまたはインスタンスのメタデータに保存されているSSH 認証鍵からの接続を受け入れなくなる。
　
（３）メタデータ マネージドSSH接続
　
１）Google Cloud コンソールを使用してSSH接続（自動構成）
　
①Google CloudコンソールのSSHボタンを使用してVMに接続
②GCEは、ユーザー名を設定し、次の構成でエフェメラル SSH 認証鍵ペアを作成する。
・ユーザー名：Googleアカウントのユーザー名
・公開SSH認証鍵と秘密SSH認証鍵は、ブラウザ セッションに保存される。
・SSH 認証鍵の有効期限は5分で、GCEが鍵を作成して5分後に、SSH認証鍵ではVMに接続できなくなる。
③GCEが公開SSH認証鍵とユーザー名をメタデータにアップロードする。
④GCEは、SSH認証鍵とユーザー名をメタデータから取得してユーザー名でユーザーアカウントを作成し、Linux系VMでは、その公開鍵をVM上にあるユーザーの~/.ssh/authorized_keysファイルに格納する。
⑤Compute Engine が接続を許可する。
　
２）サードパーティ製ツールを使用してSSH接続
　
①SSH認証鍵ペアとユーザー名を作成
例）
ssh-keygen -t rsa -f ~/.ssh/KEY_FILENAME -C USERNAME -b 2048
　
②以下のA）またはB）の手順で、公開鍵とユーザー名をメタデータにアップロード
　
【A.VMインスタンスのメタデータにSSH認証鍵を追加する場合】
ⅰ）Google Cloud コンソールで、[VM インスタンス] ページに移動
→VMの名前をクリック
→編集をクリック
　
ⅱ）[SSH 認証鍵] で、[項目を追加] をクリック
テキスト ボックスに公開鍵を追加
　有効期限のない鍵の形式：KEY_VALUE USERNAME
　有効期限のある鍵の形式：KEY_VALUE google-ssh {“userName”:”USERNAME”,”expireOn”:”EXPIRE_TIME”}
　
ⅲ）保存をクリック
　
【B.プロジェクトのメタデータにSSH認証鍵を追加する場合】
公開 SSH 認証鍵をプロジェクト メタデータに追加して、プロジェクト内のすべての VM にアクセスできる。
　
注）VMの~/.ssh/authorized_keysファイルに直接追加した公開SSH認証鍵は、VMのゲストエージェントによって上書きされる可能性がある。サポートされている Google Cloudコンソール、gcloud CLI、または Compute Engine API メソッドを使用して、鍵を追加することが推奨。