Obměna tajných klíčů ve službě Azure Stack Hub

Tento článek obsahuje pokyny k obměně tajných kódů, které pomáhají udržovat zabezpečenou komunikaci s prostředky a službami infrastruktury služby Azure Stack Hub.

Přehled

Azure Stack Hub používá tajné kódy k udržování zabezpečené komunikace s prostředky a službami infrastruktury. Aby se zachovala integrita infrastruktury služby Azure Stack Hub, potřebují operátoři možnost obměňovat tajné kódy s frekvencí, která je v souladu s požadavky jejich organizace na zabezpečení.

Když se blíží vypršení platnosti tajných kódů, na portálu pro správu se vygenerují následující výstrahy. Dokončení obměně tajných kódů vyřeší tyto výstrahy:

• Nevyřízené vypršení platnosti hesla účtu služby
• Blížící se vypršení platnosti interního certifikátu
• Blížící se vypršení platnosti externího certifikátu

Další informace o monitorování a nápravě výstrah najdete v tématu Monitorování stavu a upozornění ve službě Azure Stack Hub.

Požadavky

1. Důrazně doporučujeme, abyste měli podporovanou verzi služby Azure Stack Hub a použili nejnovější dostupnou opravu hotfix pro verzi služby Azure Stack Hub, kterou vaše instance používá. Pokud například používáte verzi 2008, ujistěte se, že máte nainstalovanou nejnovější opravu hotfix dostupnou pro verzi 2008.

   Důležité

   Verze starší než 1811:

   • Pokud už byla provedena obměna tajných kódů, musíte před opětovnou obměnou tajných kódů provést aktualizaci na verzi 1811 nebo novější. Obměně tajných kódů se musí provádět prostřednictvím privilegovaného koncového bodu a vyžaduje přihlašovací údaje operátora služby Azure Stack Hub. Pokud nevíte, jestli ve vašem prostředí nebylo spuštěné obměně tajných kódů, před obměnou tajných kódů aktualizujte na 1811.
   • Pokud chcete přidat certifikáty hostitele rozšíření, nemusíte obměňovat tajné kódy. Pokud chcete přidat certifikáty hostitele rozšíření, postupujte podle pokynů v článku Příprava hostitele rozšíření pro službu Azure Stack Hub .

2. Upozorněte uživatele na operace plánované údržby. Naplánujte co nejvíce běžná časová období údržby mimo pracovní dobu. Operace údržby můžou ovlivnit uživatelské úlohy i operace portálu.

3. Generování žádostí o podepsání certifikátu pro službu Azure Stack Hub

4. Připravte certifikáty PKI služby Azure Stack Hub.

5. Během obměně tajných kódů si můžou operátoři všimnout otevření a automatického zavření výstrah. Jedná se o očekávané chování a tato upozornění můžete ignorovat. Operátoři můžou platnost těchto upozornění ověřit pomocí rutiny PowerShellu Test-AzureStack. Pokud operátoři pomocí System Center Operations Manageru monitorují systémy Azure Stack Hub, uvedení systému do režimu údržby zabrání těmto výstrahám, aby se dostaly k jejich systémům ITSM. Upozornění ale budou dál přicházet, pokud se systém Azure Stack Hub stane nedostupným.

Obměna interních tajných kódů

Mezi interní tajné kódy patří certifikáty, hesla, zabezpečené řetězce a klíče používané infrastrukturou služby Azure Stack Hub bez nutnosti zásahu operátora služby Azure Stack Hub. Obměna interních tajných kódů je nutná jenom v případě, že máte podezření, že došlo k ohrožení zabezpečení některého z nich, nebo když dostanete upozornění na skončení platnosti.

Provedením následujících kroků obměňte interní tajné kódy:

1. Spusťte následující skript PowerShellu. Všimněte si, že při obměně interních tajných kódů se v části "Run Secret Secret Rotation" používá pouze -Internal parametr rutiny Start-SecretRotation:

   # Create a PEP Session
   winrm s winrm/config/client '@{TrustedHosts= "<IP_address_of_ERCS>"}'
   $PEPCreds = Get-Credential
   $PEPSession = New-PSSession -ComputerName <IP_address_of_ERCS_Machine> -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
   
   # Run Secret Rotation
   Invoke-Command -Session $PEPSession -ScriptBlock {
       Start-SecretRotation -Internal
   }
   Remove-PSSession -Session $PEPSession
   

   Poznámka

   Verze starší než 1811 tento příznak nevyžadují -Internal .

2. Po úspěšném dokončení se v konzole zobrazí zpráva s textem ActionPlanInstanceID ... CurrentStatus: CompletedAction plan finished with status: 'Completed'.

   Poznámka

   Pokud se obměna tajných kódů nezdaří, postupujte podle pokynů v chybové zprávě a znovu spusťte příkaz Start-SecretRotation s parametry -Internal a -ReRun.

   Start-SecretRotation -Internal -ReRun
   

   Pokud dochází k opakovaným selháním obměny tajných kódů, obraťte se na podporu.

Obměna kořenového certifikátu služby Azure Stack Hub

Kořenový certifikát služby Azure Stack Hub se zřizuje během nasazení s vypršením platnosti 5 let. Od verze 2108 obměna interních tajných kódů také obměňuje kořenový certifikát. Standardní výstraha vypršení platnosti tajného kódu identifikuje vypršení platnosti kořenového certifikátu a vygeneruje výstrahy po 90 (upozornění) i 30 (kritických) dnech.

Pokud chcete kořenový certifikát otočit, musíte aktualizovat systém na 2108 a provést obměně interních tajných kódů.

Následující fragment kódu používá k výpisu data vypršení platnosti kořenového certifikátu privilegovaný koncový bod:

$pep = New-PSSession -ComputerName <ip address> -ConfigurationName PrivilegedEndpoint -Credential $cred -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US) 
 
$stampInfo = Invoke-Command -Session $pep -ScriptBlock { Get-AzureStackStampInformation }

$rootCert = $stampInfo.RootCACertificates| Sort-Object -Property NotAfter | Select-Object -Last 1
"The Azure Stack Hub Root Certificate expires on {0}" -f $rootCert.NotAfter.ToString("D") | Write-Host -ForegroundColor Cyan

Aktualizace přihlašovacích údajů BMC

Kontroler pro správu základní desky monitoruje fyzický stav serverů. Pokyny k aktualizaci názvu a hesla uživatelského účtu řadiče pro správu základní desky najdete od dodavatele hardwaru OEM (Original Equipment Manufacturer Manufacturer).

2. Otevřete privilegovaný koncový bod v relacích služby Azure Stack Hub. Pokyny najdete v tématu Použití privilegovaného koncového bodu ve službě Azure Stack Hub.

3. Po otevření relace privilegovaného koncového bodu spusťte jeden z následujících skriptů PowerShellu, které používají Invoke-Command ke spuštění set-BmcCredential. Pokud použijete volitelný parametr -BypassBMCUpdate s Set-BMCCredential, přihlašovací údaje v řadiči pro správu základní desky se neaktualizují. Aktualizuje se pouze interní úložiště dat služby Azure Stack Hub. Předejte proměnnou relace privilegovaného koncového bodu jako parametr.

   Tady je příklad powershellového skriptu, který zobrazí výzvu k zadání uživatelského jména a hesla:

   # Interactive Version
   $PEPIp = "<Privileged Endpoint IP or Name>" # You can also use the machine name instead of IP here.
   $PEPCreds = Get-Credential "<Domain>\CloudAdmin" -Message "PEP Credentials"
   $NewBmcPwd = Read-Host -Prompt "Enter New BMC password" -AsSecureString
   $NewBmcUser = Read-Host -Prompt "Enter New BMC user name"
   
   $PEPSession = New-PSSession -ComputerName $PEPIp -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
   
   Invoke-Command -Session $PEPSession -ScriptBlock {
       # Parameter BmcPassword is mandatory, while the BmcUser parameter is optional.
       Set-BmcCredential -BmcPassword $using:NewBmcPwd -BmcUser $using:NewBmcUser
   }
   Remove-PSSession -Session $PEPSession
   

   Uživatelské jméno a heslo můžete také zakódovat do proměnných, což může být méně bezpečné:

   # Static Version
   $PEPIp = "<Privileged Endpoint IP or Name>" # You can also use the machine name instead of IP here.
   $PEPUser = "<Privileged Endpoint user for example Domain\CloudAdmin>"
   $PEPPwd = ConvertTo-SecureString '<Privileged Endpoint Password>' -AsPlainText -Force
   $PEPCreds = New-Object System.Management.Automation.PSCredential ($PEPUser, $PEPPwd)
   $NewBmcPwd = ConvertTo-SecureString '<New BMC Password>' -AsPlainText -Force
   $NewBmcUser = "<New BMC User name>"
   
   $PEPSession = New-PSSession -ComputerName $PEPIp -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
   
   Invoke-Command -Session $PEPSession -ScriptBlock {
       # Parameter BmcPassword is mandatory, while the BmcUser parameter is optional.
       Set-BmcCredential -BmcPassword $using:NewBmcPwd -BmcUser $using:NewBmcUser
   }
   Remove-PSSession -Session $PEPSession
   

Referenční informace: rutina Start-SecretRotation

Rutina Start-SecretRotation obměňuje tajné kódy infrastruktury systému Azure Stack Hub. Tuto rutinu je možné spustit pouze proti privilegovanému koncovému bodu služby Azure Stack Hub pomocí bloku skriptu, který Invoke-Command předává relaci PEP v parametru -Session . Ve výchozím nastavení obměňuje pouze certifikáty všech koncových bodů externí síťové infrastruktury.

Syntax

Pro obměně externích tajných kódů

Start-SecretRotation [-PfxFilesPath <string>] [-PathAccessCredential <PSCredential>] [-CertificatePassword <SecureString>]  

Pro obměně interních tajných kódů

Start-SecretRotation [-Internal]  

Pro opětovné spuštění obměně externích tajných kódů

Start-SecretRotation [-ReRun]

Opětovné spuštění obměně interních tajných kódů

Start-SecretRotation [-ReRun] [-Internal]

Příklady

Obměna pouze interních tajných kódů infrastruktury

Tento příkaz se musí spustit prostřednictvím privilegovaného koncového bodu prostředí služby Azure Stack Hub.

PS C:\> Start-SecretRotation -Internal

Tento příkaz obmění všechny tajné kódy infrastruktury vystavené interní síti služby Azure Stack Hub.

Obměna pouze tajných kódů externí infrastruktury

# Create a PEP Session
winrm s winrm/config/client '@{TrustedHosts= "<IP_address_of_ERCS>"}'
$PEPCreds = Get-Credential
$PEPSession = New-PSSession -ComputerName <IP_address_of_ERCS> -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)

# Create Credentials for the fileshare
$CertPassword = ConvertTo-SecureString '<CertPasswordHere>' -AsPlainText -Force
$CertShareCreds = Get-Credential
$CertSharePath = "<NetworkPathOfCertShare>"
# Run Secret Rotation
Invoke-Command -Session $PEPsession -ScriptBlock {
    param($CertSharePath, $CertPassword, $CertShareCreds )
    Start-SecretRotation -PfxFilesPath $CertSharePath -PathAccessCredential $CertShareCreds -CertificatePassword $CertPassword
} -ArgumentList ($CertSharePath, $CertPassword, $CertShareCreds)
Remove-PSSession -Session $PEPSession

Tento příkaz obmění certifikáty TLS používané pro koncové body externí síťové infrastruktury služby Azure Stack Hub.

# Create a PEP Session
winrm s winrm/config/client '@{TrustedHosts= "<IP_address_of_ERCS>"}'
$PEPCreds = Get-Credential
$PEPSession = New-PSSession -ComputerName <IP_address_of_ERCS> -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
# Create Credentials for the fileshare
$CertPassword = ConvertTo-SecureString '<CertPasswordHere>' -AsPlainText -Force
$CertShareCreds = Get-Credential
$CertSharePath = "<NetworkPathOfCertShare>"
# Run Secret Rotation
Invoke-Command -Session $PEPSession -ScriptBlock {
    Start-SecretRotation -PfxFilesPath $using:CertSharePath -PathAccessCredential $using:CertShareCreds -CertificatePassword $using:CertPassword
}
Remove-PSSession -Session $PEPSession

Další kroky

Další informace o zabezpečení služby Azure Stack Hub