Google Cloud Platform实例网站无法访问且SSH连接失败问题咨询

• 核心触发点为Shielded VM完整性校验失败：你开启了GCP Shielded VM的完整性监控功能，本次实例启动时生成的系统安全度量值与预设的基准策略不匹配，触发了安全防护规则，日志中明确返回policyEvaluationPassed: false。
  • 校验不匹配项1：PCR_4的实际度量值YGw/kvTUppYy0LdmFR51+E97gnU=与策略基准值SNvS2TFD0ijbVgPoQkMPdwAyg/w=不一致，PCR_4对应系统引导加载程序、内核启动参数、内核镜像的变更
  • 校验不匹配项2：实际度量值中出现了基准策略未收录的PCR_5条目，PCR_5对应磁盘GPT分区表、启动分区配置的变更
• 安全规则触发后，实例的网络通信、身份认证相关服务会被限制运行，直接导致网站无法访问、SSH连接时无法拉取项目元数据中的密钥，出现传输超时、无法建立会话的报错
• 元数据中出现的google-ssh条目是GCP SSH登录功能生成的临时密钥凭证，属于正常操作记录，不属于异常活动

第一步：临时恢复业务访问 #

• 停止故障实例，进入实例详情页面的「Shielded VM」配置板块
• 临时关闭「完整性监控」开关，保存配置后重启实例
• 重启后验证SSH登录、网站访问是否恢复正常

第二步：根因处理（实例恢复后执行） #

• 排查实例近期的可信变更：确认是否有内核更新、启动参数修改、磁盘分区调整、第三方引导模块安装的操作，这类操作都会修改PCR度量值，导致校验失败
• 如果确认所有变更均为可信操作，回到Shielded VM配置页，勾选「更新完整性策略以匹配当前启动的度量值」，重新开启完整性监控即可
• 针对SSH连接超时的问题，可根据系统提示选择将SSH密钥配置到实例元数据，或开启OS Login功能，规避项目元数据拉取异常的问题

第三步：安全排查（无主动变更时执行） #

如果确认近期没有做过任何系统层面的修改，需排查是否存在未授权入侵：可将故障实例的系统盘挂载到其他可信实例上，离线扫描恶意程序、核对系统引导文件、分区表的修改记录，确认是否存在篡改行为

内容的提问来源于stack exchange，提问作者Dartmic It Consultancy