AzureのVM Run CommandでSSH不要にLinux VMをリモート操作する方法｜az vm run-command invokeによる緊急コマンド実行の実践

この記事のポイント

・az vm run-command invokeでSSHなしにLinux VM内コマンドを実行できる
・VMエージェント（WALinuxAgent）経由で動作するためNSGルールに依存しない
・スクリプトファイルを直接渡してfirewalld修正・公開鍵追加も可能
・AWS Systems Manager Run Commandとの設計の違いも実例付きで解説する

# Azure CLI インストール（Ubuntu/Debian）
curl -sL https://aka.ms/InstallAzureCLIDeb | sudo bash

# インストール確認
az version

az login

# サブスクリプション確認
az account show --query "{sub:id, name:name}" -o table

# 例：VM内でhostnameとOSバージョンを確認する
az vm run-command invoke   --resource-group myRG   --name myVM   --command-id RunShellScript   --scripts "hostname; cat /etc/os-release | head -5"

{
  "value": [
    {
      "code": "ProvisioningState/succeeded",
      "displayStatus": "Provisioning succeeded",
      "message": "Enable succeeded: 
[stdout]
myvm-prod-01
NAME="Red Hat Enterprise Linux"
VERSION="9.4 (Plow)"
ID=rhel
ID_LIKE=fedora
VERSION_ID="9.4"
[stderr]
",
      "time": null
    }
  ]
}

# ローカルにスクリプトを作成
cat > /tmp/check_sshd.sh << 'EOF'
#!/bin/bash
echo "=== sshd status ==="
systemctl status sshd --no-pager | head -10
echo "=== sshd port ==="
ss -tlnp | grep sshd
echo "=== firewalld rules ==="
firewall-cmd --list-all 2>/dev/null || echo "firewalld not active"
EOF

# ファイルをスクリプトとして渡す（--scripts の前に @ファイルパス）
az vm run-command invoke   --resource-group myRG   --name myVM   --command-id RunShellScript   --scripts @/tmp/check_sshd.sh

# 追加したい公開鍵を変数に入れる
NEW_PUBKEY="ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABgQ... admin@pc"

az vm run-command invoke   --resource-group myRG   --name myVM   --command-id RunShellScript   --scripts "
    # azureユーザーの authorized_keys に追加
    echo '${NEW_PUBKEY}' >> /home/azureuser/.ssh/authorized_keys
    chmod 600 /home/azureuser/.ssh/authorized_keys
    echo 'done'
  "

az vm run-command invoke   --resource-group myRG   --name myVM   --command-id RunShellScript   --scripts "
    # 現状確認
    firewall-cmd --list-all

    # SSHポートを恒久的に開放
    firewall-cmd --permanent --add-service=ssh
    firewall-cmd --reload

    # 確認
    firewall-cmd --list-services
  "

[stdout]
public (active)
  target: default
  services: dhcpv6-client http https
# ← sshが無い！
success
success
dhcpv6-client http https ssh
# ← sshが復活

az vm run-command invoke   --resource-group myRG   --name myVM   --command-id RunShellScript   --scripts "
    systemctl restart nginx
    sleep 2
    systemctl status nginx --no-pager | head -15
  "

az vm run-command invoke   --resource-group myRG   --name myVM   --command-id RunShellScript   --scripts "nohup dnf update -y > /tmp/dnf_update.log 2>&1 & echo PID:$!"

# 現在のロール割り当てを確認
az role assignment list   --resource-group myRG   --assignee $(az account show --query user.name -o tsv)   --output table