Azure Stack Hub でシークレットをローテーションする

この記事では、Azure Stack Hub インフラストラクチャのリソースおよびサービスとのセキュリティで保護された通信の維持に役立つ、シークレットのローテーション実行に関するガイダンスを提供します。

概要

Azure Stack Hub はシークレットを使用して、インフラストラクチャのリソースおよびサービスとのセキュリティで保護された通信を維持します。 Azure Stack Hub インフラストラクチャの整合性を維持するために、オペレーターは、組織のセキュリティ要件と一致する頻度でシークレットをローテーションできる必要があります。

シークレットの有効期限が近づくと、管理者ポータルで次のアラートが生成されます。 シークレットのローテーションを完了すると、次のアラートが解決されます。

• 保留中のサービス アカウントのパスワードの有効期限
• 保留中の内部証明書の有効期限
• 保留中の外部証明書の有効期限

アラートの監視と修復の詳細については、「 Azure Stack Hub で正常性とアラートを監視する」を参照してください。

前提条件

1. サポートされているバージョンの Azure Stack Hub を実行し、インスタンスが実行されている Azure Stack Hub バージョンに最新の修正プログラムを適用することを強くお勧めします。 たとえば、2008 を実行している場合は、2008 で利用可能な最新の修正プログラムがインストールされていることを確認します。

   重要

   1811 より前のバージョンの場合:

   • シークレットのローテーションが既に実行されている場合、バージョン 1811 以降に更新してから、シークレットのローテーションを再び実行する必要があります。 シークレットのローテーションは、特権エンドポイントを使用して実行する必要があり、Azure Stack Hub オペレーターの資格情報が必要です。 ご使用の環境でシークレットのローテーションが実行されているかどうかがわからない場合は、シークレットのローテーションを実行する前に 1811 に更新してください。
   • 拡張機能ホストの証明書を追加するためにシークレットのローテーションを行う必要はありません。 拡張機能ホストの証明書を追加するには、「Azure Stack Hub の拡張機能ホストを準備する」の手順に従ってください。

2. 計画メンテナンス操作をユーザーに通知します。 可能な限り非営業時間中に、通常のメンテナンス期間をスケジュールします。 メンテナンス操作は、ユーザーのワークロードとポータル操作の両方に影響を及ぼす可能性があります。

3. Azure Stack Hub の証明書署名要求を生成します。

4. Azure Stack Hub PKI 証明書を準備します。

5. シークレットのローテーション中に、アラートが開いて自動的に閉じることにオペレーターが気付くことがあります。 これは予期される動作であり、アラートは無視してもかまいません。 オペレーターは、PowerShell コマンドレットの Test-AzureStack を使用して、これらのアラートの有効性を確認できます。 オペレーターの場合、System Center Operations Manager を使用して Azure Stack Hub システムを監視すると、システムをメンテナンス モードにすると、これらのアラートが ITSM システムに到達できなくなります。 ただし、Azure Stack Hub システムに到達できなくなった場合でも、アラートは引き続き発生します。

内部シークレットをローテーションする

内部シークレットには、Azure Stack Hub オペレーターの介入なしに Azure Stack Hub インフラストラクチャによって使用されるすべての証明書、パスワード、セキュリティで保護された文字列、キーなどがあります。 内部シークレットのローテーションは、それが侵害された可能性がある場合、または有効期限アラートを受け取った場合にのみ必要です。

内部シークレットをローテーションするには、次の手順を実行します。

1. 次の PowerShell スクリプトを実行します。 内部シークレットのローテーションの場合、シークレットのローテーション実行に関するセクションで Start-SecretRotation コマンドレットの -Internal パラメーターのみを使用します。

   # Create a PEP Session
   winrm s winrm/config/client '@{TrustedHosts= "<IP_address_of_ERCS>"}'
   $PEPCreds = Get-Credential
   $PEPSession = New-PSSession -ComputerName <IP_address_of_ERCS_Machine> -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
   
   # Run Secret Rotation
   Invoke-Command -Session $PEPSession -ScriptBlock {
       Start-SecretRotation -Internal
   }
   Remove-PSSession -Session $PEPSession
   

   Note

   1811 より前のバージョンでは、-Internal フラグは必要ありません。

2. 正常に完了すると、コンソールに ActionPlanInstanceID ... CurrentStatus: Completed メッセージが表示され、その後に Action plan finished with status: 'Completed' が表示されます。

   Note

   シークレット ローテーションが失敗した場合は、エラー メッセージ内の指示に従い、Start-SecretRotation に -Internal パラメーターと -ReRun パラメーターを付けて再実行します。

   Start-SecretRotation -Internal -ReRun
   

   シークレットのローテーションの失敗が繰り返される場合は、サポートにお問い合わせください。

Azure Stack Hub のルート証明書をローテーションする

Azure Stack Hub ルート証明書は、デプロイ中にプロビジョニングされ、有効期限は 5 年です。 2108 以降では、内部シークレットのローテーションでもルート証明書がローテーションされます。 標準のシークレット有効期限アラートは、ルート証明書の有効期限を識別し、日数が 90 (警告) と 30 (重大) のいずれでもアラートを生成します。

ルート証明書をローテーションするには、システムを 2108 に更新し、内部シークレットのローテーションを実行する必要があります。

次のコード スニペットでは、特権エンドポイントを使用してルート証明書の有効期限を一覧表示します。

$pep = New-PSSession -ComputerName <ip address> -ConfigurationName PrivilegedEndpoint -Credential $cred -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US) 
 
$stampInfo = Invoke-Command -Session $pep -ScriptBlock { Get-AzureStackStampInformation }

$rootCert = $stampInfo.RootCACertificates| Sort-Object -Property NotAfter | Select-Object -Last 1
"The Azure Stack Hub Root Certificate expires on {0}" -f $rootCert.NotAfter.ToString("D") | Write-Host -ForegroundColor Cyan

BMC 資格情報を更新する

ベースボード管理コントローラーは、サーバーの物理的な状態を監視します。 BMC のユーザー アカウント名とパスワードを更新する手順については、OEM (Original Equipment Manufacturer) ハードウェア ベンダーを参照してください。

2. Azure Stack Hub セッションで特権エンドポイントを開きます。 手順については、「Azure Stack Hub で特権エンドポイントを使用する」を参照してください。

3. 特権エンドポイント セッションを開いたら、次の PowerShell スクリプトのいずれかを実行します。これは、Invoke-Command を使用して、Set-BmcCredential を実行します。 省略可能な -BypassBMCUpdate パラメーターを Set-BMCCredential と共に使用すると、BMC の資格情報は更新されません。 更新されるのは、Azure Stack Hub 内部データストアのみです。 パラメーターとして特権エンドポイントのセッション変数を渡します。

   ユーザー名とパスワードの入力を求める PowerShell スクリプトの例を次に示します。

   # Interactive Version
   $PEPIp = "<Privileged Endpoint IP or Name>" # You can also use the machine name instead of IP here.
   $PEPCreds = Get-Credential "<Domain>\CloudAdmin" -Message "PEP Credentials"
   $NewBmcPwd = Read-Host -Prompt "Enter New BMC password" -AsSecureString
   $NewBmcUser = Read-Host -Prompt "Enter New BMC user name"
   
   $PEPSession = New-PSSession -ComputerName $PEPIp -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
   
   Invoke-Command -Session $PEPSession -ScriptBlock {
       # Parameter BmcPassword is mandatory, while the BmcUser parameter is optional.
       Set-BmcCredential -BmcPassword $using:NewBmcPwd -BmcUser $using:NewBmcUser
   }
   Remove-PSSession -Session $PEPSession
   

   ユーザー名とパスワードを変数にエンコードすることもできますが、これは安全性が低くなる可能性があります。

   # Static Version
   $PEPIp = "<Privileged Endpoint IP or Name>" # You can also use the machine name instead of IP here.
   $PEPUser = "<Privileged Endpoint user for example Domain\CloudAdmin>"
   $PEPPwd = ConvertTo-SecureString '<Privileged Endpoint Password>' -AsPlainText -Force
   $PEPCreds = New-Object System.Management.Automation.PSCredential ($PEPUser, $PEPPwd)
   $NewBmcPwd = ConvertTo-SecureString '<New BMC Password>' -AsPlainText -Force
   $NewBmcUser = "<New BMC User name>"
   
   $PEPSession = New-PSSession -ComputerName $PEPIp -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
   
   Invoke-Command -Session $PEPSession -ScriptBlock {
       # Parameter BmcPassword is mandatory, while the BmcUser parameter is optional.
       Set-BmcCredential -BmcPassword $using:NewBmcPwd -BmcUser $using:NewBmcUser
   }
   Remove-PSSession -Session $PEPSession
   

リファレンス: Start-SecretRotation コマンドレット

Start-SecretRotation コマンドレットは、Azure Stack Hub システムのインフラストラクチャ シークレットのローテーションを行います。 このコマンドレットは、-Session パラメーターで PEP セッションを渡す Invoke-Command スクリプト ブロックを使用することによって、Azure Stack Hub の特権エンドポイントに対してのみ実行できます。 既定では、すべての外部ネットワーク インフラストラクチャ エンドポイントの証明書のみのローテーションを行います。

構文

外部シークレットのローテーションの場合

Start-SecretRotation [-PfxFilesPath <string>] [-PathAccessCredential <PSCredential>] [-CertificatePassword <SecureString>]  

内部シークレットのローテーションの場合

Start-SecretRotation [-Internal]  

外部シークレットのローテーションの再実行の場合

Start-SecretRotation [-ReRun]

内部シークレットのローテーションの再実行の場合

Start-SecretRotation [-ReRun] [-Internal]

例

内部インフラストラクチャ シークレットのみのローテーション

このコマンドは、Azure Stack Hub 環境の特権エンドポイントを使用して実行する必要があります。

PS C:\> Start-SecretRotation -Internal

このコマンドを使用すると、Azure Stack Hub 内部ネットワークに公開されているすべてのインフラストラクチャ シークレットのローテーションが行われます。

外部インフラストラクチャ シークレットのみのローテーション

# Create a PEP Session
winrm s winrm/config/client '@{TrustedHosts= "<IP_address_of_ERCS>"}'
$PEPCreds = Get-Credential
$PEPSession = New-PSSession -ComputerName <IP_address_of_ERCS> -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)

# Create Credentials for the fileshare
$CertPassword = ConvertTo-SecureString '<CertPasswordHere>' -AsPlainText -Force
$CertShareCreds = Get-Credential
$CertSharePath = "<NetworkPathOfCertShare>"
# Run Secret Rotation
Invoke-Command -Session $PEPsession -ScriptBlock {
    param($CertSharePath, $CertPassword, $CertShareCreds )
    Start-SecretRotation -PfxFilesPath $CertSharePath -PathAccessCredential $CertShareCreds -CertificatePassword $CertPassword
} -ArgumentList ($CertSharePath, $CertPassword, $CertShareCreds)
Remove-PSSession -Session $PEPSession

このコマンドは、Azure Stack Hub の外部ネットワーク インフラストラクチャ エンドポイントで使用する TLS 証明書のローテーションを行います。

# Create a PEP Session
winrm s winrm/config/client '@{TrustedHosts= "<IP_address_of_ERCS>"}'
$PEPCreds = Get-Credential
$PEPSession = New-PSSession -ComputerName <IP_address_of_ERCS> -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
# Create Credentials for the fileshare
$CertPassword = ConvertTo-SecureString '<CertPasswordHere>' -AsPlainText -Force
$CertShareCreds = Get-Credential
$CertSharePath = "<NetworkPathOfCertShare>"
# Run Secret Rotation
Invoke-Command -Session $PEPSession -ScriptBlock {
    Start-SecretRotation -PfxFilesPath $using:CertSharePath -PathAccessCredential $using:CertShareCreds -CertificatePassword $using:CertPassword
}
Remove-PSSession -Session $PEPSession

次のステップ

Azure Stack Hub のセキュリティについて詳しく学習する