Azure Stack Hub’da gizli dizilerin rotasyonunu yapma

Bu makalede, Azure Stack Hub altyapı kaynakları ve hizmetleriyle güvenli iletişimi sürdürmeye yardımcı olmak için gizli dizi döndürme gerçekleştirmeye yönelik yönergeler sağlanır.

Genel Bakış

Azure Stack Hub, altyapı kaynakları ve hizmetleriyle güvenli iletişimi sürdürmek için gizli dizileri kullanır. Azure Stack Hub altyapısının bütünlüğünü korumak için operatörlerin, kuruluşlarının güvenlik gereksinimleriyle tutarlı olan gizli dizileri sıklıklarda döndürebilmeleri gerekir.

Gizli dizilerin süresi dolduğunda, yönetici portalında aşağıdaki uyarılar oluşturulur. Gizli dizi döndürmenin tamamlanması şu uyarıları çözer:

• Hizmet hesabı parolasının süre sonu bekleniyor
• Beklemedeki iç sertifika süre sonu
• Beklemedeki dış sertifika süre sonu

Uyarı izleme ve düzeltme hakkında daha fazla bilgi için bkz. Azure Stack Hub'da sistem durumunu ve uyarıları izleme.

Önkoşullar

1. Azure Stack Hub'ın desteklenen bir sürümünü çalıştırmanız ve örneğinizin çalıştırılan Azure Stack Hub sürümü için en son kullanılabilir düzeltmeyi uygulamanız kesinlikle önerilir. Örneğin, 2008 çalıştırıyorsanız 2008 için kullanılabilen en son düzeltmeyi yüklediğinizden emin olun.

   Önemli

   1811 öncesi sürümler için:

   • Gizli dizi döndürme işlemi zaten gerçekleştirildiyse, gizli dizi döndürmeyi yeniden gerçekleştirmeden önce sürüm 1811 veya sonraki bir sürüme güncelleştirmeniz gerekir. Gizli Dizi Döndürme , Privileged Endpoint aracılığıyla yürütülmelidir ve Azure Stack Hub Operatör kimlik bilgileri gerektirir. Ortamınızda gizli dizi döndürmenin çalıştırılıp çalıştırılmadığını bilmiyorsanız, gizli dizi döndürmeyi gerçekleştirmeden önce 1811'e güncelleştirin.
   • Uzantı konak sertifikaları eklemek için gizli dizileri döndürmeniz gerekmez. Uzantı ana bilgisayar sertifikaları eklemek için Azure Stack Hub için uzantı konağı hazırlama makalesindeki yönergeleri izlemeniz gerekir.

2. Kullanıcılarınıza planlı bakım işlemlerini bildirin. İş dışı saatlerde mümkün olduğunca normal bakım pencereleri zamanlayın. Bakım işlemleri hem kullanıcı iş yüklerini hem de portal işlemlerini etkileyebilir.

3. Azure Stack Hub için sertifika imzalama istekleri oluşturun.

4. Azure Stack Hub PKI sertifikalarını hazırlama.

5. Gizli dizilerin rotasyonu sırasında işleçler uyarıların açılıp otomatik olarak kapanabileceğini fark edebilir. Bu beklenen bir davranıştır ve uyarılar yoksayılabilir. operatörler , Test-AzureStack PowerShell cmdlet'ini kullanarak bu uyarıların geçerliliğini doğrulayabilir. Operatörler için, Azure Stack Hub sistemlerini izlemek için System Center Operations Manager kullanmak, bir sistemin bakım moduna alınması bu uyarıların ITSM sistemlerine ulaşmasını engeller. Ancak Azure Stack Hub sistemine ulaşılamaz duruma gelirse uyarılar gelmeye devam eder.

İç gizli dizileri döndürme

İç gizli diziler, Azure Stack Hub Operatörünün müdahalesi olmadan Azure Stack Hub altyapısı tarafından kullanılan sertifikaları, parolaları, güvenli dizeleri ve anahtarları içerir. İç gizli dizi döndürme işlemi yalnızca bir gizli dizinin gizliliği tehlikeye atıldıysa veya bir süre sonu uyarısı aldıysanız gereklidir.

İç gizli dizileri döndürmek için aşağıdaki adımları tamamlayın:

1. Aşağıdaki PowerShell betiğini çalıştırın. İç gizli dizi döndürme için bildirim, "Gizli Dizi Döndürmeyi Çalıştır" bölümü yalnızca -InternalStart-SecretRotation cmdlet'i için parametresini kullanır:

   # Create a PEP Session
   winrm s winrm/config/client '@{TrustedHosts= "<IP_address_of_ERCS>"}'
   $PEPCreds = Get-Credential
   $PEPSession = New-PSSession -ComputerName <IP_address_of_ERCS_Machine> -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
   
   # Run Secret Rotation
   Invoke-Command -Session $PEPSession -ScriptBlock {
       Start-SecretRotation -Internal
   }
   Remove-PSSession -Session $PEPSession
   

   Not

   1811 öncesi sürümler bayrağı gerektirmez -Internal .

2. Başarıyla tamamlandıktan sonra konsolunuz bir ActionPlanInstanceID ... CurrentStatus: Completed ileti görüntüler ve ardından Action plan finished with status: 'Completed'öğesini görüntüler.

   Not

   Gizli dizi döndürme başarısız olursa, hata iletisindeki yönergeleri izleyin ve Start-SecretRotation komutunu -Internal ve -ReRun parametreleriyle yeniden çalıştırın.

   Start-SecretRotation -Internal -ReRun
   

   Yinelenen gizli dizi döndürme hatalarıyla karşılaşırsanız desteğe başvurun.

Azure Stack Hub kök sertifikayı döndürme

Azure Stack Hub kök sertifikası, dağıtım sırasında beş yıl süreyle sağlanır. 2108'den başlayarak, iç gizli dizi döndürme de kök sertifikayı döndürür. Standart gizli dizi süre sonu uyarısı, kök sertifikanın süre sonunu tanımlar ve hem 90 (uyarı) hem de 30 (kritik) günde uyarılar oluşturur.

Kök sertifikayı döndürmek için sisteminizi 2108'e güncelleştirmeniz ve iç gizli dizi döndürme gerçekleştirmeniz gerekir.

Aşağıdaki kod parçacığı, kök sertifikanın sona erme tarihini listelemek için Privileged Endpoint kullanır:

$pep = New-PSSession -ComputerName <ip address> -ConfigurationName PrivilegedEndpoint -Credential $cred -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US) 
 
$stampInfo = Invoke-Command -Session $pep -ScriptBlock { Get-AzureStackStampInformation }

$rootCert = $stampInfo.RootCACertificates| Sort-Object -Property NotAfter | Select-Object -Last 1
"The Azure Stack Hub Root Certificate expires on {0}" -f $rootCert.NotAfter.ToString("D") | Write-Host -ForegroundColor Cyan

BMC kimlik bilgilerini güncelleştirme

Temel kart yönetim denetleyicisi sunucularınızın fiziksel durumunu izler. BMC'nin kullanıcı hesabı adını ve parolasını güncelleştirme yönergeleri için özgün donanım üreticinize (OEM) başvurun.

2. Azure Stack Hub oturumlarında ayrıcalıklı bir uç nokta açın. Yönergeler için bkz. Azure Stack Hub'da ayrıcalıklı uç noktayı kullanma.

3. Ayrıcalıklı bir uç nokta oturumu açtıktan sonra, Set-BmcCredential komutunu çalıştırmak için Invoke-Command kullanan aşağıdaki PowerShell betiklerinden birini çalıştırın. Set-BMCCredential ile isteğe bağlı -BypassBMCUpdate parametresini kullanırsanız, BMC'deki kimlik bilgileri güncelleştirilmez. Yalnızca Azure Stack Hub iç veri deposu güncelleştirilir. Ayrıcalıklı uç nokta oturum değişkeninizi parametre olarak geçirin.

   Aşağıda kullanıcı adı ve parola isteyecek örnek bir PowerShell betiği verilmiştir:

   # Interactive Version
   $PEPIp = "<Privileged Endpoint IP or Name>" # You can also use the machine name instead of IP here.
   $PEPCreds = Get-Credential "<Domain>\CloudAdmin" -Message "PEP Credentials"
   $NewBmcPwd = Read-Host -Prompt "Enter New BMC password" -AsSecureString
   $NewBmcUser = Read-Host -Prompt "Enter New BMC user name"
   
   $PEPSession = New-PSSession -ComputerName $PEPIp -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
   
   Invoke-Command -Session $PEPSession -ScriptBlock {
       # Parameter BmcPassword is mandatory, while the BmcUser parameter is optional.
       Set-BmcCredential -BmcPassword $using:NewBmcPwd -BmcUser $using:NewBmcUser
   }
   Remove-PSSession -Session $PEPSession
   

   Kullanıcı adını ve parolayı daha az güvenli olabilecek değişkenlerde de kodlayabilirsiniz:

   # Static Version
   $PEPIp = "<Privileged Endpoint IP or Name>" # You can also use the machine name instead of IP here.
   $PEPUser = "<Privileged Endpoint user for example Domain\CloudAdmin>"
   $PEPPwd = ConvertTo-SecureString '<Privileged Endpoint Password>' -AsPlainText -Force
   $PEPCreds = New-Object System.Management.Automation.PSCredential ($PEPUser, $PEPPwd)
   $NewBmcPwd = ConvertTo-SecureString '<New BMC Password>' -AsPlainText -Force
   $NewBmcUser = "<New BMC User name>"
   
   $PEPSession = New-PSSession -ComputerName $PEPIp -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
   
   Invoke-Command -Session $PEPSession -ScriptBlock {
       # Parameter BmcPassword is mandatory, while the BmcUser parameter is optional.
       Set-BmcCredential -BmcPassword $using:NewBmcPwd -BmcUser $using:NewBmcUser
   }
   Remove-PSSession -Session $PEPSession
   

Başvuru: Start-SecretRotation cmdlet'i

Start-SecretRotation cmdlet'i bir Azure Stack Hub sisteminin altyapı gizli dizilerini döndürür. Bu cmdlet yalnızca parametrede PEP oturumunu -Session geçiren bir Invoke-Command betik bloğu kullanılarak Azure Stack Hub ayrıcalıklı uç noktasında yürütülebilir. Varsayılan olarak, yalnızca tüm dış ağ altyapısı uç noktalarının sertifikalarını döndürür.

Syntax

Dış gizli dizi döndürme için

Start-SecretRotation [-PfxFilesPath <string>] [-PathAccessCredential <PSCredential>] [-CertificatePassword <SecureString>]  

İç gizli dizi döndürme için

Start-SecretRotation [-Internal]  

Dış gizli dizi döndürme yeniden çalıştırması için

Start-SecretRotation [-ReRun]

İç gizli dizi döndürme yeniden çalıştırması için

Start-SecretRotation [-ReRun] [-Internal]

Örnekler

Yalnızca iç altyapı gizli dizilerini döndürme

Bu komut, Azure Stack Hub ortamınızın ayrıcalıklı uç noktası üzerinden çalıştırılmalıdır.

PS C:\> Start-SecretRotation -Internal

Bu komut, Azure Stack Hub iç ağına sunulan tüm altyapı gizli dizilerini döndürür.

Yalnızca dış altyapı gizli dizilerini döndürme

# Create a PEP Session
winrm s winrm/config/client '@{TrustedHosts= "<IP_address_of_ERCS>"}'
$PEPCreds = Get-Credential
$PEPSession = New-PSSession -ComputerName <IP_address_of_ERCS> -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)

# Create Credentials for the fileshare
$CertPassword = ConvertTo-SecureString '<CertPasswordHere>' -AsPlainText -Force
$CertShareCreds = Get-Credential
$CertSharePath = "<NetworkPathOfCertShare>"
# Run Secret Rotation
Invoke-Command -Session $PEPsession -ScriptBlock {
    param($CertSharePath, $CertPassword, $CertShareCreds )
    Start-SecretRotation -PfxFilesPath $CertSharePath -PathAccessCredential $CertShareCreds -CertificatePassword $CertPassword
} -ArgumentList ($CertSharePath, $CertPassword, $CertShareCreds)
Remove-PSSession -Session $PEPSession

Bu komut, Azure Stack Hub'ın dış ağ altyapısı uç noktaları için kullanılan TLS sertifikalarını döndürür.

# Create a PEP Session
winrm s winrm/config/client '@{TrustedHosts= "<IP_address_of_ERCS>"}'
$PEPCreds = Get-Credential
$PEPSession = New-PSSession -ComputerName <IP_address_of_ERCS> -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
# Create Credentials for the fileshare
$CertPassword = ConvertTo-SecureString '<CertPasswordHere>' -AsPlainText -Force
$CertShareCreds = Get-Credential
$CertSharePath = "<NetworkPathOfCertShare>"
# Run Secret Rotation
Invoke-Command -Session $PEPSession -ScriptBlock {
    Start-SecretRotation -PfxFilesPath $using:CertSharePath -PathAccessCredential $using:CertShareCreds -CertificatePassword $using:CertPassword
}
Remove-PSSession -Session $PEPSession

Sonraki adımlar

Azure Stack Hub güvenliği hakkında daha fazla bilgi edinin