Ruotare i segreti nell'hub di Azure Stack

Questo articolo fornisce indicazioni per l'esecuzione della rotazione dei segreti per mantenere la comunicazione sicura con le risorse e i servizi dell'infrastruttura dell'hub di Azure Stack.

Panoramica

L'hub di Azure Stack usa i segreti per mantenere la sicurezza delle comunicazioni con le risorse e i servizi dell'infrastruttura. Per mantenere l'integrità dell'infrastruttura dell'hub di Azure Stack, gli operatori devono poter ruotare i segreti con frequenze coerenti con i requisiti di sicurezza dell'organizzazione.

Quando i segreti si avvicinano alla scadenza, nel portale di amministrazione vengono generati gli avvisi seguenti. Completando la rotazione dei segreti sarà possibile risolvere gli avvisi:

• Scadenza della password dell'account del servizio in sospeso
• In attesa di scadenza del certificato interno
• In attesa di scadenza del certificato esterno

Per altre informazioni sul monitoraggio e la correzione degli avvisi, vedere Monitorare l'integrità e gli avvisi nell'hub di Azure Stack.

Prerequisiti

1. È consigliabile eseguire una versione supportata dell'hub di Azure Stack e applicare l'hotfix più recente disponibile per la versione dell'hub di Azure Stack in esecuzione. Ad esempio, se si esegue la versione 2008, assicurarsi di aver installato l'hotfix più recente disponibile per la versione 2008.

   Importante

   Per le versioni precedenti alla 1811:

   • Se la rotazione del segreto è già stata eseguita, è necessario eseguire l'aggiornamento alla versione 1811 o successiva prima di eseguire nuovamente la rotazione dei segreti. La rotazione dei segreti deve essere eseguita tramite l'endpoint con privilegi e richiede le credenziali dell'operatore dell'hub di Azure Stack. Se non si sa se la rotazione dei segreti è stata eseguita nell'ambiente, eseguire l'aggiornamento alla versione 1811 prima di eseguire la rotazione dei segreti.
   • Non è necessario ruotare i segreti per aggiungere certificati host di estensione. Seguire le istruzioni riportate nell'articolo Preparare l'host dell'estensione per l'hub di Azure Stack per aggiungere i certificati host dell'estensione.

2. Notificare agli utenti le operazioni di manutenzione pianificata. Pianificare le normali finestre di manutenzione, il più possibile, durante gli orari non lavorativi. Le operazioni di manutenzione possono influire sia sui carichi di lavoro degli utenti che sulle operazioni del portale.

3. Generare richieste di firma del certificato per l'hub di Azure Stack.

4. Preparare i certificati PKI dell'hub di Azure Stack.

5. Durante la rotazione dei segreti, gli operatori possono notare l'apertura e la chiusura automatica degli avvisi. Questo comportamento è previsto ed è possibile ignorare gli avvisi. Gli operatori possono verificare la validità di questi avvisi usando il cmdlet Di PowerShell Test-AzureStack. Per gli operatori, l'uso di System Center Operations Manager per monitorare i sistemi dell'hub di Azure Stack, l'inserimento di un sistema in modalità di manutenzione impedirà a questi avvisi di raggiungere i sistemi ITSM. Tuttavia, gli avvisi continueranno a verificarsi se il sistema dell'hub di Azure Stack non sarà raggiungibile.

Ruotare i segreti interni

I segreti interni includono certificati, password, stringhe protette e chiavi usate dall'infrastruttura dell'hub di Azure Stack, senza l'intervento dell'operatore dell'hub di Azure Stack. La rotazione dei segreti interni è necessaria solo se si sospetta che ne sia stato compromesso uno o se è stato ricevuto un avviso di scadenza.

Completare i passaggi seguenti per ruotare i segreti interni:

1. Eseguire lo script PowerShell seguente. Si noti che per la rotazione interna del segreto, la sezione "Run Secret Rotation" usa solo il -Internal parametro per il cmdlet Start-SecretRotation:

   # Create a PEP Session
   winrm s winrm/config/client '@{TrustedHosts= "<IP_address_of_ERCS>"}'
   $PEPCreds = Get-Credential
   $PEPSession = New-PSSession -ComputerName <IP_address_of_ERCS_Machine> -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
   
   # Run Secret Rotation
   Invoke-Command -Session $PEPSession -ScriptBlock {
       Start-SecretRotation -Internal
   }
   Remove-PSSession -Session $PEPSession
   

   Nota

   Le versioni precedenti alla versione 1811 non richiedono il -Internal flag .

2. Al termine, nella console verrà visualizzato un ActionPlanInstanceID ... CurrentStatus: Completed messaggio, seguito da Action plan finished with status: 'Completed'.

   Nota

   Se la rotazione dei segreti ha esito negativo, seguire le istruzioni nel messaggio di errore ed eseguire di nuovo Start-SecretRotation con i parametri -Internal e -ReRun.

   Start-SecretRotation -Internal -ReRun
   

   Contattare il supporto tecnico se si verificano errori ripetuti di rotazione dei segreti.

Ruotare il certificato radice dell'hub di Azure Stack

Il provisioning del certificato radice dell'hub di Azure Stack viene effettuato durante la distribuzione con scadenza di cinque anni. A partire dalla versione 2108, anche la rotazione interna del segreto ruota il certificato radice. L'avviso di scadenza del segreto standard identifica la scadenza del certificato radice e genera avvisi sia a 90 (avviso) che a 30 giorni (critici).

Per ruotare il certificato radice, è necessario aggiornare il sistema a 2108 ed eseguire la rotazione interna dei segreti.

Il frammento di codice seguente usa l'endpoint con privilegi per elencare la data di scadenza del certificato radice:

$pep = New-PSSession -ComputerName <ip address> -ConfigurationName PrivilegedEndpoint -Credential $cred -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US) 
 
$stampInfo = Invoke-Command -Session $pep -ScriptBlock { Get-AzureStackStampInformation }

$rootCert = $stampInfo.RootCACertificates| Sort-Object -Property NotAfter | Select-Object -Last 1
"The Azure Stack Hub Root Certificate expires on {0}" -f $rootCert.NotAfter.ToString("D") | Write-Host -ForegroundColor Cyan

Aggiornare le credenziali BMC

Il controller di gestione della scheda di base monitora lo stato fisico dei server. Per istruzioni su come aggiornare il nome dell'account utente e la password del BMC, fare riferimento al fornitore di hardware OEM (Original Equipment Manufacturer).

2. Aprire un endpoint con privilegi nelle sessioni dell'hub di Azure Stack. Per istruzioni, vedere Uso dell'endpoint con privilegi nell'hub di Azure Stack.

3. Dopo aver aperto una sessione di endpoint con privilegi, eseguire uno degli script di PowerShell seguenti, che usano Invoke-Command per eseguire Set-BmcCredential. Se si usa il parametro facoltativo -BypassBMCUpdate con Set-BMCCredential, le credenziali nel BMC non vengono aggiornate. Viene aggiornato solo l'archivio dati interno dell'hub di Azure Stack. Passare la variabile di sessione dell'endpoint con privilegi come parametro.

   Ecco un esempio di script di PowerShell che richiederà il nome utente e la password:

   # Interactive Version
   $PEPIp = "<Privileged Endpoint IP or Name>" # You can also use the machine name instead of IP here.
   $PEPCreds = Get-Credential "<Domain>\CloudAdmin" -Message "PEP Credentials"
   $NewBmcPwd = Read-Host -Prompt "Enter New BMC password" -AsSecureString
   $NewBmcUser = Read-Host -Prompt "Enter New BMC user name"
   
   $PEPSession = New-PSSession -ComputerName $PEPIp -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
   
   Invoke-Command -Session $PEPSession -ScriptBlock {
       # Parameter BmcPassword is mandatory, while the BmcUser parameter is optional.
       Set-BmcCredential -BmcPassword $using:NewBmcPwd -BmcUser $using:NewBmcUser
   }
   Remove-PSSession -Session $PEPSession
   

   È anche possibile codificare il nome utente e la password nelle variabili, che potrebbero essere meno sicure:

   # Static Version
   $PEPIp = "<Privileged Endpoint IP or Name>" # You can also use the machine name instead of IP here.
   $PEPUser = "<Privileged Endpoint user for example Domain\CloudAdmin>"
   $PEPPwd = ConvertTo-SecureString '<Privileged Endpoint Password>' -AsPlainText -Force
   $PEPCreds = New-Object System.Management.Automation.PSCredential ($PEPUser, $PEPPwd)
   $NewBmcPwd = ConvertTo-SecureString '<New BMC Password>' -AsPlainText -Force
   $NewBmcUser = "<New BMC User name>"
   
   $PEPSession = New-PSSession -ComputerName $PEPIp -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
   
   Invoke-Command -Session $PEPSession -ScriptBlock {
       # Parameter BmcPassword is mandatory, while the BmcUser parameter is optional.
       Set-BmcCredential -BmcPassword $using:NewBmcPwd -BmcUser $using:NewBmcUser
   }
   Remove-PSSession -Session $PEPSession
   

Riferimento: cmdlet Start-SecretRotation

Il cmdlet Start-SecretRotation ruota i segreti dell'infrastruttura di un sistema hub di Azure Stack. Questo cmdlet può essere eseguito solo nell'endpoint con privilegi dell'hub di Azure Stack usando un Invoke-Command blocco di script che passa la sessione PEP nel -Session parametro. Per impostazione predefinita, ruota solo i certificati di tutti gli endpoint dell'infrastruttura di rete esterna.

Sintassi

Per la rotazione del segreto esterno

Start-SecretRotation [-PfxFilesPath <string>] [-PathAccessCredential <PSCredential>] [-CertificatePassword <SecureString>]  

Per la rotazione interna del segreto

Start-SecretRotation [-Internal]  

Per la rotazione del segreto esterno rieseguire

Start-SecretRotation [-ReRun]

Per rieseguire la rotazione interna del segreto

Start-SecretRotation [-ReRun] [-Internal]

Esempio

Ruotare solo i segreti dell'infrastruttura interna

Questo comando deve essere eseguito tramite l'endpoint con privilegi dell'ambiente dell'hub di Azure Stack.

PS C:\> Start-SecretRotation -Internal

Questo comando ruota tutti i segreti dell'infrastruttura esposti alla rete interna dell'hub di Azure Stack.

Ruotare solo i segreti dell'infrastruttura esterna

# Create a PEP Session
winrm s winrm/config/client '@{TrustedHosts= "<IP_address_of_ERCS>"}'
$PEPCreds = Get-Credential
$PEPSession = New-PSSession -ComputerName <IP_address_of_ERCS> -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)

# Create Credentials for the fileshare
$CertPassword = ConvertTo-SecureString '<CertPasswordHere>' -AsPlainText -Force
$CertShareCreds = Get-Credential
$CertSharePath = "<NetworkPathOfCertShare>"
# Run Secret Rotation
Invoke-Command -Session $PEPsession -ScriptBlock {
    param($CertSharePath, $CertPassword, $CertShareCreds )
    Start-SecretRotation -PfxFilesPath $CertSharePath -PathAccessCredential $CertShareCreds -CertificatePassword $CertPassword
} -ArgumentList ($CertSharePath, $CertPassword, $CertShareCreds)
Remove-PSSession -Session $PEPSession

Questo comando ruota i certificati TLS usati per gli endpoint dell'infrastruttura di rete esterna dell'hub di Azure Stack.

# Create a PEP Session
winrm s winrm/config/client '@{TrustedHosts= "<IP_address_of_ERCS>"}'
$PEPCreds = Get-Credential
$PEPSession = New-PSSession -ComputerName <IP_address_of_ERCS> -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
# Create Credentials for the fileshare
$CertPassword = ConvertTo-SecureString '<CertPasswordHere>' -AsPlainText -Force
$CertShareCreds = Get-Credential
$CertSharePath = "<NetworkPathOfCertShare>"
# Run Secret Rotation
Invoke-Command -Session $PEPSession -ScriptBlock {
    Start-SecretRotation -PfxFilesPath $using:CertSharePath -PathAccessCredential $using:CertShareCreds -CertificatePassword $using:CertPassword
}
Remove-PSSession -Session $PEPSession

Passaggi successivi

Altre informazioni sulla sicurezza dell'hub di Azure Stack