fix bug preventing public_keys from being imported for to-be-created users

If a user hadn't been created in the image, when the public_key was to
be injected by cc_ssh into the user's account, it didn't exist yet.

This moves the population of the authorized_keys from the metadata service
into user_groups, and puts that before cc_ssh runs.  moving before cc_ssh
means that when ssh comes up, the users will be ready.

ssh-import-id then handles any ssh-import-id users after networking is up.