AADSTS7000222 - BadRequest または InvalidClientSecret エラー

[アーティクル]
04/12/2024

この記事では、Microsoft Azure Kubernetes Service (BadRequestAKS) クラスターを作成またはアップグレードしようとしたときに発生するエラー (またはInvalidClientSecret) を特定して解決AADSTS7000222する方法について説明します。

前提条件

Azure CLI

現象

AKS クラスターを作成またはアップグレードしようとすると、次のいずれかのエラーメッセージが表示されます。

エラーコードメッセージ

BadRequest ServicePrincipalProfile の資格情報が無効でした。 詳細については、こちらをご覧 https://aka.ms/aks-sp-help ください。 (詳細: adal: 更新要求に失敗しました。状態コード = '401'。応答本文: {"error": "invalid_client"、"error_description": "AADSTS7000222: アプリ '<application-id>' に指定されたクライアントシークレットキーの有効期限が切れています。Azure portalにアクセスして、アプリの新しいキーを作成するか、https://aka.ms/NewClientSecret証明書資格情報を使用してセキュリティを強化することを検討してください。 https://aka.ms/certCreds

InvalidClientSecret テナント: tenant-id>: <adal: Refresh request failed に対して、顧客認証が無効です。状態コード = '401'。応答本文: {"error": "invalid_client"、"error_description": "AADSTS7000222: アプリ '<application-id>' に指定されたクライアントシークレットキーの有効期限が切れています。Azure portalにアクセスして、アプリの新しいキーを作成するか、https://aka.ms/NewClientSecret証明書資格情報を使用してセキュリティを強化することを検討してください。 https://aka.ms/certCreds

エラーコード	メッセージ
`BadRequest`	ServicePrincipalProfile の資格情報が無効でした。詳細については、こちらをご覧 https://aka.ms/aks-sp-help ください。 (詳細: adal: 更新要求に失敗しました。状態コード = '401'。応答本文: {"error": "invalid_client"、"error_description": "AADSTS7000222: アプリ '<application-id>' に指定されたクライアントシークレットキーの有効期限が切れています。Azure portalにアクセスして、アプリの新しいキーを作成するか、https://aka.ms/NewClientSecret証明書資格情報を使用してセキュリティを強化することを検討してください。 https://aka.ms/certCreds
`InvalidClientSecret`	テナント: tenant-id>: <adal: Refresh request failed に対して、顧客認証が無効です。状態コード = '401'。応答本文: {"error": "invalid_client"、"error_description": "AADSTS7000222: アプリ '<application-id>' に指定されたクライアントシークレットキーの有効期限が切れています。Azure portalにアクセスして、アプリの新しいキーを作成するか、https://aka.ms/NewClientSecret証明書資格情報を使用してセキュリティを強化することを検討してください。 https://aka.ms/certCreds

原因

このサービスプリンシパルアラートを生成する問題は、通常、次のいずれかの理由で発生します。

クライアントシークレットの有効期限が切れています。
正しくない資格情報が提供されました。
サービスプリンシパルは、サブスクリプションのMicrosoft Entra ID テナント内に存在しません。

原因を確認する

次の Azure CLI コードを実行して、AKS クラスターのサービスプリンシパルプロファイルを取得し、サービスプリンシパルの有効期限をチェックします。

SP_ID=$(az aks show --resource-group <rg-name> \
    --name <aks-cluster-name> \
    --query servicePrincipalProfile.clientId \
    --output tsv)
az ad app credential list --id "$SP_ID"

または、サービスプリンシパルの名前とシークレットが正しく、有効期限が切れていないことを確認することもできます。これを行うには、次の手順を実行します。

Azure portalで、[Microsoft Entra ID] を検索して選択します。
Microsoft Entra IDのナビゲーションウィンドウで、[アプリの登録] を選択します。
[ 所有アプリケーション ] タブで、影響を受けるアプリケーションを選択します。
サービスプリンシパル名とシークレット情報を見つけて、情報が正しく、最新であることを確認します。

ソリューション

「 AKS クラスターの資格情報を更新またはローテーションする」の記事で、必要に応じて、次のいずれかの記事セクションの手順に従います。
- 既存のサービスプリンシパルの資格情報をリセットする
- 新しいサービスプリンシパルを作成する
新しいサービスプリンシパル資格情報を使用して、その記事の「サービスプリンシパル資格情報を使用して AKS クラスターを更新する」セクションの手順に従います。

詳細

Azure Kubernetes Service (AKS) でサービスプリンシパルを使用する (特に[トラブルシューティング] セクション)

お問い合わせはこちらから

質問がある場合やヘルプが必要な場合は、サポート要求を作成するか、Azure コミュニティサポートにお問い合わせください。 Azure フィードバックコミュニティに製品フィードバックを送信することもできます。

次の方法で共有