Tutorial: Configuración de certificados, la VPN y el cifrado para Azure Stack Edge Mini R

Artículo
06/01/2023

Este tutorial describe cómo configurar los certificados, la VPN y el cifrado en reposo para su dispositivo Azure Stack Edge Mini R mediante la interfaz de usuario web local.

El tiempo necesario para este paso puede variar en función de la opción específica que elija y de cómo se establezca el flujo de certificados en su entorno.

En este tutorial, obtendrá información sobre lo siguiente:

Requisitos previos
Configuración de certificados para el dispositivo físico
Configuración de la VPN
Configuración del cifrado en reposo

Requisitos previos

Antes de configurar e instalar el dispositivo Azure Stack Edge Mini R, asegúrese de lo siguiente:

Ha instalado el dispositivo físico tal y como se describe en Instalación de Azure Stack Edge Mini R.
Si tiene previsto aportar sus propios certificados:
- Debe tener los certificados preparados en el formato adecuado, incluido el certificado de la cadena de firma. Para obtener más información sobre el certificado, vaya a Administración de certificados.
- Si el dispositivo se implementa en la nube de Azure Government, Azure Government Secret o Azure Government Top Secret y no se implementa en la nube pública de Azure, se requerirá un certificado de cadena de firma para poder activar el dispositivo. Para más detalles sobre el certificado, consulte Administración de certificados.

Configuración de certificados para el dispositivo

En la página Certificados, configurará los certificados. En función de si cambió el nombre del dispositivo o el dominio DNS en la página Dispositivo, puede elegir una de las siguientes opciones para los certificados.
- Si no ha cambiado el nombre del dispositivo o del dominio DNS predeterminados en el paso anterior y no desea aportar sus propios certificados, puede omitir este paso y continuar con el paso siguiente. El dispositivo ha generado automáticamente certificados autofirmados para comenzar.
- Si cambió el nombre del dispositivo o el dominio DNS, verá que el estado de los certificados se mostrará como No válido.
  
  Seleccione un certificado para ver los detalles del estado.
  
  El estado del certificado es No válido porque los certificados no reflejan el nombre del dispositivo ni el dominio DNS actualizados (que se usan con el nombre del firmante y el nombre alternativo del firmante). Para activar correctamente el dispositivo, puede aportar sus propios certificados de punto de conexión firmados y las cadenas de firma correspondientes. Primero debe agregar la cadena de firma y, a continuación, cargar los certificados de punto de conexión. Para más información, consulte Aportación de certificados propios en el dispositivo Azure Stack Edge Mini R.
- Si ha cambiado el nombre del dispositivo o el dominio DNS y no aporta sus propios certificados, se bloqueará la activación.

Aportación de sus propios certificados

Ya ha agregado la cadena de firma en un paso anterior en este dispositivo. Ahora puede cargar los certificados de punto de conexión, el certificado de nodo, el certificado de interfaz de usuario local y el certificado de VPN. Siga estos pasos para agregar sus propios certificados.

Para cargar el certificado, en la página Certificado, seleccione + Agregar certificado.
Puede cargar otros certificados. Por ejemplo, puede cargar los certificados de punto de conexión de Blob Storage y Azure Resource Manager.
También puede cargar el certificado de la interfaz de usuario web local. Después de cargar este certificado, se le pedirá que inicie el explorador y borre la memoria caché. A continuación, tendrá que conectarse a la interfaz de usuario web local del dispositivo.
También puede cargar el certificado de nodo.
Por último, puede cargar el certificado de VPN.
En cualquier momento, puede seleccionar un certificado y ver sus detalles para asegurarse de que coinciden con el certificado que ha cargado.

La página del certificado debe actualizarse para reflejar los certificados recién agregados.

Nota

Salvo por la nube pública de Azure, es necesario agregar los certificados de la cadena de firma antes de activar todas las configuraciones de nube (Azure Government o Azure Stack Hub).

Configuración de la VPN

En el icono Security (Seguridad), seleccione Configure (Configurar) para la VPN.

Para configurar una VPN, primero debe asegurarse de haber aplicado la configuración necesaria en Azure. Para más detalles, consulte Configuración de la VPN a través de PowerShell para el dispositivo Azure Stack Edge Mini R. Después de esto, puede realizar la configuración en la interfaz de usuario local.
1. En la página de la VPN, seleccione Configure (Configurar).
2. En la hoja Configure VPN (Configurar VPN):
  1. Aporte la libreta de teléfonos como entrada.
  2. Proporcione el archivo JSON de intervalo IP de centro de datos de Azure como entrada. Descargue el archivo de: https://www.microsoft.com/download/details.aspx?id=56519.
  3. Seleccione eastus como la región.
  4. Seleccione Aplicar.
3. Configure los intervalos de direcciones IP a los que se accederá únicamente mediante VPN.
  - En IP address ranges to be accessed using VPN only (Intervalos de direcciones IP a los que acceder solo mediante VPN), seleccione Configure (Configurar).
  - Escriba el intervalo IPv4 VNET que había elegido para Azure Virtual Network.
  - Seleccione Aplicar.

El dispositivo está listo ahora para activarse. Configure el cifrado en reposo.

Habilitación del cifrado

En el icono Security (Seguridad), seleccione Configure (Configurar) para el cifrado en reposo. Esta configuración es obligatoria y no podrá activar el dispositivo hasta que la configuración sea correcta.

En la fábrica, una vez que se ha creado la imagen de los dispositivos, se habilita el cifrado de BitLocker de nivel de volumen. Después de recibir el dispositivo, tiene que configurar el cifrado en reposo. Se volverán a crear el bloque de almacenamiento y los volúmenes, y es posible proporcionar claves de BitLocker para habilitar el cifrado en reposo y, de este modo, crear una segunda capa de cifrado para los datos en reposo.
En el panel de cifrado en reposo, escriba una clave codificada con Base 64, de 32 caracteres de longitud (AES de 256 bits). Se trata de una configuración que solo se realiza una vez, y esta clave se usa para proteger la clave de cifrado real.

También puede optar por generar automáticamente la clave.
Seleccione Aplicar. Esta operación tarda varios minutos y el estado de la operación se muestra en el icono Security (Seguridad).
Una vez que el estado aparezca como completado, vuelva a Introducción.