Azure Stack Hub'da uzantı konağına hazırlanma

Uzantı konağı, gerekli TCP/IP bağlantı noktalarının sayısını azaltarak Azure Stack Hub'ın güvenliğini sağlar. Bu makalede, 1808 güncelleştirmesinin ardından bir Azure Stack Hub güncelleştirme paketi aracılığıyla otomatik olarak etkinleştirilen uzantı konağı için Azure Stack Hub'ın hazırlanmasına bakılır. Bu makale Azure Stack Hub güncelleştirmeleri 1808, 1809 ve 1811 için geçerlidir.

Sertifika gereksinimleri

Uzantı konağı, her portal uzantısı için benzersiz konak girdilerini garanti etmek için iki yeni etki alanı ad alanı uygular. Yeni etki alanı ad alanları, güvenli iletişim sağlamak için iki ek joker sertifika gerektirir.

Tabloda yeni ad alanları ve ilişkili sertifikalar gösterilir:

Ayrıntılı sertifika gereksinimleri için bkz. Azure Stack Hub ortak anahtar altyapısı sertifika gereksinimleri.

Sertifika imzalama isteği oluşturma

Azure Stack Hub Hazır Olma Denetleyicisi aracı, iki yeni ve gerekli SSL sertifikası için bir sertifika imzalama isteği oluşturmanıza olanak tanır. Azure Stack Hub sertifikaları imzalama isteği oluşturma makalesindeki adımları izleyin.

Yeni sertifikaları doğrulama

1. Donanım yaşam döngüsü konağı veya Azure Stack Hub yönetim iş istasyonu üzerinde yükseltilmiş izinle PowerShell'i açın.

2. Azure Stack Hub Hazırlık Denetleyicisi aracını yüklemek için aşağıdaki cmdlet'i çalıştırın:

   Install-Module -Name Microsoft.AzureStack.ReadinessChecker
   

3. Gerekli klasör yapısını oluşturmak için aşağıdaki betiği çalıştırın:

   New-Item C:\Certificates -ItemType Directory
   
   $directories = 'ACSBlob','ACSQueue','ACSTable','Admin Portal','ARM Admin','ARM Public','KeyVault','KeyVaultInternal','Public Portal', 'Admin extension host', 'Public extension host'
   
   $destination = 'c:\certificates'
   
   $directories | % { New-Item -Path (Join-Path $destination $PSITEM) -ItemType Directory -Force}
   

   Not

   Microsoft Entra Kimliği Federasyon Hizmetleri (AD FS) ile dağıtım yaparsanız, betikteki $directories aşağıdaki dizinlerin eklenmesi gerekir: ADFS, Graph.

4. Şu anda Azure Stack Hub'da kullanmakta olduğunuz mevcut sertifikaları uygun dizinlere yerleştirin. Örneğin, Yönetici ARM sertifikasını klasörüne Arm Admin yerleştirin. Ardından yeni oluşturulan barındırma sertifikalarını ve Public extension host dizinlerine Admin extension host yerleştirin.

5. Sertifika denetimini başlatmak için aşağıdaki cmdlet'i çalıştırın:

   $pfxPassword = Read-Host -Prompt "Enter PFX Password" -AsSecureString 
   
   Start-AzsReadinessChecker -CertificatePath c:\certificates -pfxPassword $pfxPassword -RegionName east -FQDN azurestack.contoso.com -IdentitySystem AAD
   

6. Çıktıyı denetleyin ve tüm sertifikaların tüm testleri geçip geçmediğini denetleyin.

Uzantı konak sertifikalarını içeri aktarma

Sonraki adımlar için Azure Stack Hub ayrıcalıklı uç noktasına bağlanabilen bir bilgisayar kullanın. Bu bilgisayardan yeni sertifika dosyalarına erişiminiz olduğundan emin olun.

1. Sonraki adımlar için Azure Stack Hub ayrıcalıklı uç noktasına bağlanabilen bir bilgisayar kullanın. Yeni sertifika dosyalarına bu bilgisayardan erişdiğinizden emin olun.

2. Sonraki betik bloklarını yürütmek için PowerShell ISE'yi açın.

3. Yönetici barındırma uç noktası için sertifikayı içeri aktarın.

   
   $CertPassword = read-host -AsSecureString -prompt "Certificate Password"
   
   $CloudAdminCred = Get-Credential -UserName <Privileged endpoint credentials> -Message "Enter the cloud domain credentials to access the privileged endpoint."
   
   [Byte[]]$AdminHostingCertContent = [Byte[]](Get-Content c:\certificate\myadminhostingcertificate.pfx -Encoding Byte)
   
   Invoke-Command -ComputerName <PrivilegedEndpoint computer name> `
   -Credential $CloudAdminCred `
   -ConfigurationName "PrivilegedEndpoint" `
   -ArgumentList @($AdminHostingCertContent, $CertPassword) `
   -ScriptBlock {
           param($AdminHostingCertContent, $CertPassword)
           Import-AdminHostingServiceCert $AdminHostingCertContent $certPassword
   }
   

4. Barındırma uç noktası için sertifikayı içeri aktarın.

   $CertPassword = read-host -AsSecureString -prompt "Certificate Password"
   
   $CloudAdminCred = Get-Credential -UserName <Privileged endpoint credentials> -Message "Enter the cloud domain credentials to access the privileged endpoint."
   
   [Byte[]]$HostingCertContent = [Byte[]](Get-Content c:\certificate\myhostingcertificate.pfx  -Encoding Byte)
   
   Invoke-Command -ComputerName <PrivilegedEndpoint computer name> `
   -Credential $CloudAdminCred `
   -ConfigurationName "PrivilegedEndpoint" `
   -ArgumentList @($HostingCertContent, $CertPassword) `
   -ScriptBlock {
           param($HostingCertContent, $CertPassword)
           Import-UserHostingServiceCert $HostingCertContent $certPassword
   }
   

DNS yapılandırmasını güncelleştirme

Ayrılmış IP'ler Get-AzureStackStampInformation cmdlet'i çalıştırılarak ayrıcalıklı uç nokta kullanılarak alınabilir.

Bağlantı noktaları ve protokoller

Azure Stack Hub veri merkezi tümleştirmesi - Yayımlama uç noktaları makalesi, uzantı ana bilgisayar dağıtımından önce Azure Stack Hub'ı yayımlamak için gelen iletişim gerektiren bağlantı noktalarını ve protokolleri kapsar.

Yeni uç noktaları yayımlama

Güvenlik duvarınız aracılığıyla yayımlanması gereken iki yeni uç nokta vardır. Genel VIP havuzundan ayrılan IP'ler, Azure Stack Hub ortamınızın ayrıcalıklı uç noktasından çalıştırılması gereken aşağıdaki kod kullanılarak alınabilir.

# Create a PEP Session
winrm s winrm/config/client '@{TrustedHosts= "<IpOfERCSMachine>"}'
$PEPCreds = Get-Credential
$PEPSession = New-PSSession -ComputerName <IpOfERCSMachine> -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)

# Obtain DNS Servers and extension host information from Azure Stack Hub Stamp Information and find the IPs for the Host Extension Endpoints
$StampInformation = Invoke-Command $PEPSession {Get-AzureStackStampInformation} | Select-Object -Property ExternalDNSIPAddress01, ExternalDNSIPAddress02, @{n="TenantHosting";e={($_.TenantExternalEndpoints.TenantHosting) -replace "https://*.","testdnsentry"-replace "/"}},  @{n="AdminHosting";e={($_.AdminExternalEndpoints.AdminHosting)-replace "https://*.","testdnsentry"-replace "/"}},@{n="TenantHostingDNS";e={($_.TenantExternalEndpoints.TenantHosting) -replace "https://",""-replace "/"}},  @{n="AdminHostingDNS";e={($_.AdminExternalEndpoints.AdminHosting)-replace "https://",""-replace "/"}}
If (Resolve-DnsName -Server $StampInformation.ExternalDNSIPAddress01 -Name $StampInformation.TenantHosting -ErrorAction SilentlyContinue) {
    Write-Host "Can access AZS DNS" -ForegroundColor Green
    $AdminIP = (Resolve-DnsName -Server $StampInformation.ExternalDNSIPAddress02 -Name $StampInformation.AdminHosting).IPAddress
    Write-Host "The IP for the Admin Extension Host is: $($StampInformation.AdminHostingDNS) - is: $($AdminIP)" -ForegroundColor Yellow
    Write-Host "The Record to be added in the DNS zone: Type A, Name: $($StampInformation.AdminHostingDNS), Value: $($AdminIP)" -ForegroundColor Green
    $TenantIP = (Resolve-DnsName -Server $StampInformation.ExternalDNSIPAddress01 -Name $StampInformation.TenantHosting).IPAddress
    Write-Host "The IP address for the Tenant Extension Host is $($StampInformation.TenantHostingDNS) - is: $($TenantIP)" -ForegroundColor Yellow
    Write-Host "The Record to be added in the DNS zone: Type A, Name: $($StampInformation.TenantHostingDNS), Value: $($TenantIP)" -ForegroundColor Green
}
Else {
    Write-Host "Cannot access AZS DNS" -ForegroundColor Yellow
    $AdminIP = (Resolve-DnsName -Name $StampInformation.AdminHosting).IPAddress
    Write-Host "The IP for the Admin Extension Host is: $($StampInformation.AdminHostingDNS) - is: $($AdminIP)" -ForegroundColor Yellow
    Write-Host "The Record to be added in the DNS zone: Type A, Name: $($StampInformation.AdminHostingDNS), Value: $($AdminIP)" -ForegroundColor Green
    $TenantIP = (Resolve-DnsName -Name $StampInformation.TenantHosting).IPAddress
    Write-Host "The IP address for the Tenant Extension Host is $($StampInformation.TenantHostingDNS) - is: $($TenantIP)" -ForegroundColor Yellow
    Write-Host "The Record to be added in the DNS zone: Type A, Name: $($StampInformation.TenantHostingDNS), Value: $($TenantIP)" -ForegroundColor Green
}
Remove-PSSession -Session $PEPSession

Örnek Çıkış

Can access AZS DNS
The IP for the Admin Extension Host is: *.adminhosting.\<region>.\<fqdn> - is: xxx.xxx.xxx.xxx
The Record to be added in the DNS zone: Type A, Name: *.adminhosting.\<region>.\<fqdn>, Value: xxx.xxx.xxx.xxx
The IP address for the Tenant Extension Host is *.hosting.\<region>.\<fqdn> - is: xxx.xxx.xxx.xxx
The Record to be added in the DNS zone: Type A, Name: *.hosting.\<region>.\<fqdn>, Value: xxx.xxx.xxx.xxx

Mevcut yayımlama Kurallarını güncelleştirme (Uzantı konağı etkinleştirme sonrası)

Mevcut güvenlik duvarı kurallarınızda aşağıdaki mevcut uç nokta bağlantı noktalarının kapatılması gerekir.

Sonraki adımlar

• Güvenlik duvarı tümleştirmesi hakkında bilgi edinin.
• Azure Stack Hub sertifikaları imzalama isteği oluşturma hakkında bilgi edinin.