AL2023 기본 authorized_keys의 forced-command가 bootstrap.sh의 root SSH 자동화(#642)를 무력화한다

[Khyojae]

무엇이

Round B(풀 사이징 원인 분리, docs/decisions/pool-sizing-topology-isolation-design.md) 실행 중 발견.

AL2023 기본 AMI의 /root/.ssh/authorized_keys에 forced-command 항목(Please login as ec2-user...)이 이미 들어있어서, bootstrap.sh가 root SSH를 열려고 하는 로직(#642)이 실제로는 안 먹힌다 — 박스 간 SSH(예: 부하기→대상)가 이 항목 때문에 막힌다.

재현

• ROLE=db/ROLE=app 등으로 AL2023 인스턴스를 부트스트랩
• 다른 박스에서 ssh -i <key> root@<이 박스> 시도 → forced-command 메시지만 뜨고 실제 쉘이 안 열림
• /root/.ssh/authorized_keys를 열어보면 command="..." 접두사가 붙은 줄이 남아있음

근거

• Round B 실행(2026-09-06) 중 두 박스(i-00589c0bc1f3c724b, i-0f3d33ade02905ed7) 모두에서 확인, 그 줄을 수동으로 지워서 우회함(저장소 소스는 미수정)
• loadtest/aws/bootstrap.sh의 root SSH 자동화 로직(P4(복제) 절차 — AL2023 기본 root SSH 차단이 REPLICA_SSH 요구사항과 문서화 안 된 채 충돌 #642) 참고

미검증

• 이게 모든 AL2023 AMI/리전에서 재현되는지, 아니면 이번 라운드에 쓴 특정 AMI에만 있던 것인지는 확인 안 함
• bootstrap.sh가 이 줄을 감지하고 제거하도록 고쳐야 하는지, 아니면 다른 우회(예: ec2-user로 먼저 접속 후 sudo)가 맞는지는 미결정

[Khyojae]

오늘(2026-09-07) R9 코레지던시 라운드에서 새로 띄운 인스턴스(i-04544d83f82b27ca3, ap-northeast-2, AMI ami-08d82cf148c92fcc3 = al2023-ami-2023.12.20260831.0-kernel-6.12-x86_64)에서도 동일하게 재현됐다 — "미검증" 항목 중 하나였던 "다른 AMI/리전에서도 재현되는지"에 대한 답.

증상·원인은 동일: /root/.ssh/authorized_keys에 cloud-init이 심어둔 command="echo 'Please login as...'" 항목이 있는데, bootstrap.sh:116의 sort -u가 이 줄을 알파벳 순으로 (command=...가 ssh-rsa...보다 앞) 파일 맨 앞으로 보낸다. OpenSSH는 매칭되는 첫 줄만 쓰므로, 뒤에 추가된 제한 없는 줄이 있어도 제한된 줄이 먼저 이겨서 root SSH가 계속 막힌다.

이번엔 수동 우회를 command= 접두사가 붙은 줄만 걸러내는 방식으로 했다:

sudo grep -v 'command=' /root/.ssh/authorized_keys > /tmp/ak.new
sudo mv /tmp/ak.new /root/.ssh/authorized_keys

sort -u가 순서를 깨는 게 근본 원인이라, 고치려면 bootstrap.sh의 root SSH 단계(94~123줄)에서 append 전에 기존 command= 제한 줄을 먼저 지우거나, sort -u 대신 순서를 보존하는 중복 제거로 바꾸는 쪽이 맞아 보인다(미결정 — 저장소 소스는 여전히 미수정).

[Khyojae]

2026-09-08 P4 다른-AZ 라운드(cross-az 대조판) 준비 중 재현 — 정확한 메커니즘을 확인했다.

bootstrap.sh의 root SSH 단계는 cat ec2-user의 authorized_keys >> /root/.ssh/authorized_keys && sort -u ...로 동작하는데, cloud-init이 이미 심어둔 forced-command 줄과 새로 추가한 평문 줄은 키 blob은 같지만 줄 전체 문자열이 다르므로 sort -u가 중복 제거를 못 한다. 결과 파일에 두 줄이 다 남고, 사전순 정렬에서 no-port-forwarding... (forced-command, n으로 시작)이 ssh-rsa... (평문, s로 시작)보다 앞선다. sshd는 같은 키에 매칭되는 여러 줄 중 먼저 나오는 줄의 옵션을 적용하므로 항상 forced-command가 이긴다 — bootstrap.sh가 추가한 줄은 파일에 존재해도 절대 안 먹힌다.

재현 인스턴스: i-041455ce111cd3277 (replica, ap-northeast-2c). /root/.ssh/authorized_keys 확인 결과 정확히 이 순서(forced-command 줄이 1번째, 평문 줄이 2번째)였고, forced-command 줄만 지우니 즉시 정상화됐다(우회, 저장소 미수정).

"미검증" 질문에 대한 답: bootstrap.sh가 고쳐야 한다. 우회(ec2-user 경유 등)가 아니라, root SSH 단계에서 command= 접두사가 붙은 기존 줄을 먼저 걸러내고(grep -v 'command=') 그 다음에 평문 키를 추가하는 방향이 맞다 — 지금처럼 append+sort -u만으로는 원리적으로 못 고친다(사전순이 우연히 반대로 나오지 않는 한 항상 이 순서로 깨진다).