Udostępnij za pośrednictwem

Rotacja wpisów tajnych w usłudze Azure Stack Hub

  • Artykuł

Ten artykuł zawiera wskazówki dotyczące przeprowadzania rotacji wpisów tajnych w celu zapewnienia bezpiecznej komunikacji z zasobami i usługami infrastruktury usługi Azure Stack Hub.

Omówienie

Usługa Azure Stack Hub używa wpisów tajnych do zapewnienia bezpiecznej komunikacji z zasobami i usługami infrastruktury. Aby zachować integralność infrastruktury usługi Azure Stack Hub, operatorzy muszą mieć możliwość rotacji wpisów tajnych na częstotliwościach, które są zgodne z wymaganiami dotyczącymi zabezpieczeń w organizacji.

Gdy wpisy tajne zbliżają się do wygaśnięcia, w portalu administratora są generowane następujące alerty. Ukończenie rotacji wpisów tajnych rozwiąże następujące alerty:

  • Oczekiwanie na wygaśnięcie hasła konta usługi
  • Oczekiwanie na wygaśnięcie certyfikatu wewnętrznego
  • Oczekiwanie na wygaśnięcie certyfikatu zewnętrznego

Ostrzeżenie

Przed wygaśnięciem w portalu administratora są wyzwalane 2 fazy alertów:

  • 90 dni przed wygaśnięciem zostanie wygenerowany alert ostrzegawczy.
  • 30 dni przed wygaśnięciem zostanie wygenerowany alert krytyczny.

W przypadku otrzymywania tych powiadomień ważne jest ukończenie rotacji wpisów tajnych. Niepowodzenie tej czynności może spowodować utratę obciążeń i ewentualne ponowne wdrożenie usługi Azure Stack Hub na własny koszt!

Aby uzyskać więcej informacji na temat monitorowania i korygowania alertów, zobacz Monitorowanie kondycji i alertów w usłudze Azure Stack Hub.

Uwaga

Środowiska usługi Azure Stack Hub w wersjach starszych niż 1811 mogą wyświetlać alerty dotyczące oczekujących wewnętrznych certyfikatów lub wygasania wpisów tajnych. Te alerty są niedokładne i powinny być ignorowane bez uruchamiania wewnętrznego rotacji wpisów tajnych. Niedokładne wewnętrzne alerty wygasania wpisów tajnych są znanym problemem, który został rozwiązany w wersji 1811. Wpisy tajne wewnętrzne nie wygasną, chyba że środowisko jest aktywne przez dwa lata.

Wymagania wstępne

  1. Zdecydowanie zaleca się uruchomienie obsługiwanej wersji usługi Azure Stack Hub i zastosowanie najnowszej dostępnej poprawki dla używanej wersji wystąpienia usługi Azure Stack Hub. Jeśli na przykład korzystasz z wersji 2008, upewnij się, że zainstalowano najnowszą poprawkę dostępną dla wersji 2008.

    Ważne

    W przypadku wersji starszych niż 1811:

    • Jeśli rotacja wpisów tajnych została już wykonana, należy zaktualizować do wersji 1811 lub nowszej przed ponownym wykonaniem rotacji wpisów tajnych. Rotacja wpisów tajnych musi być wykonywana za pośrednictwem uprzywilejowanego punktu końcowego i wymaga poświadczeń operatora usługi Azure Stack Hub. Jeśli nie wiesz, czy rotacja wpisów tajnych została uruchomiona w środowisku, zaktualizuj do wersji 1811 przed wykonaniem rotacji wpisów tajnych.
    • Nie musisz wymieniać wpisów tajnych, aby dodać certyfikaty hosta rozszerzenia. Postępuj zgodnie z instrukcjami w artykule Przygotowanie hosta rozszerzenia dla usługi Azure Stack Hub w celu dodania certyfikatów hosta rozszerzenia.

  2. Powiadamianie użytkowników o planowanych operacjach konserwacji. Zaplanuj normalne okna obsługi, jak najwięcej, w godzinach pracy. Operacje konserwacji mogą mieć wpływ zarówno na obciążenia użytkowników, jak i operacje portalu.

  3. Generowanie żądań podpisywania certyfikatów dla usługi Azure Stack Hub.

  4. Przygotowywanie certyfikatów infrastruktury kluczy publicznych usługi Azure Stack Hub.

  5. Podczas rotacji wpisów tajnych operatory mogą zauważyć, że alerty są otwierane i zamykane automatycznie. Jest to oczekiwane zachowanie, a wyświetlane alerty można zignorować. Operatorzy mogą zweryfikować ważność tych alertów przy użyciu polecenia cmdlet Test-AzureStack PowerShell. W przypadku operatorów używanie programu System Center Operations Manager do monitorowania systemów Usługi Azure Stack Hub umieszczenie systemu w trybie konserwacji uniemożliwi tym alertom dotarcie do systemów ITSM. Jednak alerty będą nadal dostępne, jeśli system usługi Azure Stack Hub stanie się niedostępny.

Obracanie zewnętrznych wpisów tajnych

Ważne

Zewnętrzna rotacja wpisów tajnych dla:

W tej sekcji opisano rotację certyfikatów używanych do zabezpieczania usług zewnętrznych. Te certyfikaty są udostępniane przez operatora usługi Azure Stack Hub dla następujących usług:

  • Portal administratora
  • Portal publiczny
  • Administrator Azure Resource Manager
  • Globalna usługa Azure Resource Manager
  • Magazyn kluczy administratora
  • Key Vault
  • Host rozszerzenia administratora
  • ACS (w tym obiekt blob, tabela i magazyn kolejek)
  • ADFS1
  • Graf1
  • Container Registry2

1Dotyczy korzystania z usług Federacyjnych Active Directory (ADFS).

2Dotyczy korzystania z usługi Azure Container Registry (ACR).

Przygotowywanie

Przed rotacją zewnętrznych wpisów tajnych:

  1. Test-AzureStack Uruchom polecenie cmdlet programu PowerShell przy użyciu parametru -group SecretRotationReadiness , aby potwierdzić, że wszystkie dane wyjściowe testu są w dobrej kondycji przed rotacją wpisów tajnych.

  2. Przygotuj nowy zestaw zastępczych certyfikatów zewnętrznych:

    • Nowy zestaw musi być zgodny ze specyfikacjami certyfikatów opisanymi w wymaganiach dotyczących certyfikatów PKI usługi Azure Stack Hub.

    • Wygeneruj żądanie podpisania certyfikatu (CSR), aby przesłać go do urzędu certyfikacji. Wykonaj kroki opisane w temacie Generowanie żądań podpisywania certyfikatów i przygotuj je do użycia w środowisku usługi Azure Stack Hub, wykonując kroki opisane w artykule Przygotowywanie certyfikatów PKI. Usługa Azure Stack Hub obsługuje rotację wpisów tajnych dla certyfikatów zewnętrznych z nowego urzędu certyfikacji w następujących kontekstach:

      Rotacja z urzędu certyfikacji Obracanie do urzędu certyfikacji Obsługa wersji usługi Azure Stack Hub
      Z podpisem własnym Przedsiębiorstwa 1903 i nowsze
      Z podpisem własnym Z podpisem własnym Nieobsługiwany
      Z podpisem własnym Publiczny* 1803 i nowsze
      Przedsiębiorstwa Przedsiębiorstwa 1803 i nowsze; 1803–1903, jeśli ten sam urząd certyfikacji przedsiębiorstwa, który był używany podczas wdrażania
      Przedsiębiorstwa Z podpisem własnym Nieobsługiwany
      Przedsiębiorstwa Publiczny* 1803 i nowsze
      Publiczny* Przedsiębiorstwa 1903 i nowsze
      Publiczny* Z podpisem własnym Nieobsługiwany
      Publiczny* Publiczny* 1803 i nowsze

      *Część zaufanego programu głównego systemu Windows.

    • Pamiętaj, aby zweryfikować przygotowane certyfikaty, wykonując kroki opisane w temacie Weryfikowanie certyfikatów PKI

    • Upewnij się, że w haśle nie ma żadnych znaków specjalnych, takich $jak ,*,#,,@,or)".

    • Upewnij się, że szyfrowanie PFX ma wartość TripleDES-SHA1. Jeśli wystąpi problem, zobacz Rozwiązywanie typowych problemów z certyfikatami infrastruktury kluczy publicznych usługi Azure Stack Hub.

  3. Zapisz kopię zapasową certyfikatów używanych do rotacji w bezpiecznej lokalizacji kopii zapasowej. Jeśli rotacja zostanie uruchomiona, a następnie zakończy się niepowodzeniem, przed ponownym uruchomieniem rotacji zastąp certyfikaty w udziałie plików kopiami zapasowymi. Zachowaj kopie zapasowe w bezpiecznej lokalizacji kopii zapasowej.

  4. Utwórz udział plików, do którego można uzyskać dostęp z maszyn wirtualnych ERCS. Udział plików musi być czytelny i zapisywalny dla tożsamości CloudAdmin .

  5. Otwórz konsolę programu PowerShell ISE z komputera, na którym masz dostęp do udziału plików. Przejdź do udziału plików, w którym tworzysz katalogi, aby umieścić certyfikaty zewnętrzne.

  6. Utwórz folder w udziale plików o nazwie Certificates. W folderze certificates utwórz podfolder o nazwie AAD lub ADFS, w zależności od dostawcy tożsamości używanego przez centrum. Na przykład .\Certificates\AAD lub .\Certificates\ADFS. W tym miejscu nie powinny być tworzone żadne inne foldery oprócz folderu certificates i podfolder dostawcy tożsamości.

  7. Skopiuj nowy zestaw zastępczych certyfikatów zewnętrznych utworzonych w kroku 2 do folderu .\Certificates\<IdentityProvider> utworzonego w kroku 6. Jak wspomniano powyżej, podfolder dostawcy tożsamości musi mieć AAD wartość lub ADFS. Upewnij się, że alternatywne nazwy podmiotu (SAN) zastępczych certyfikatów zewnętrznych są zgodne z formatem cert.<regionName>.<externalFQDN> określonym w wymaganiach dotyczących certyfikatów infrastruktury kluczy publicznych (PKI) usługi Azure Stack Hub.

    Oto przykład struktury folderów dostawcy tożsamości Firmy Microsoft Entra:

        <ShareName>
        │
        └───Certificates
              └───AAD
                  ├───ACSBlob
                  │       <CertName>.pfx
                  │
                  ├───ACSQueue
                  │       <CertName>.pfx
                  │
                  ├───ACSTable
                  │       <CertName>.pfx
                  │
                  ├───Admin Extension Host
                  │       <CertName>.pfx
                  │
                  ├───Admin Portal
                  │       <CertName>.pfx
                  │
                  ├───ARM Admin
                  │       <CertName>.pfx
                  │
                  ├───ARM Public
                  │       <CertName>.pfx
                  │
                  ├───Container Registry*
                  │       <CertName>.pfx
                  │
                  ├───KeyVault
                  │       <CertName>.pfx
                  │
                  ├───KeyVaultInternal
                  │       <CertName>.pfx
                  │
                  ├───Public Extension Host
                  │       <CertName>.pfx
                  │
                  └───Public Portal
                          <CertName>.pfx

*Dotyczy korzystania z usługi Azure Container Registry (ACR) dla usługi Microsoft Entra ID i ADFS.

Uwaga

W przypadku rotacji zewnętrznych certyfikatów usługi Container Registry należy ręcznie utworzyć Container Registry podfolder w podfolderze dostawcy tożsamości. Ponadto należy przechowywać odpowiedni certyfikat pfx w tym ręcznie utworzonym podfolderze.

Wymiana

Wykonaj następujące kroki, aby obrócić zewnętrzne wpisy tajne:

  1. Użyj następującego skryptu programu PowerShell, aby obrócić wpisy tajne. Skrypt wymaga dostępu do sesji privileged EndPoint (PEP). Dostęp do pep jest uzyskiwany za pośrednictwem zdalnej sesji programu PowerShell na maszynie wirtualnej, która hostuje pep. Jeśli używasz zintegrowanego systemu, istnieją trzy wystąpienia PEP, z których każdy działa na maszynie wirtualnej (Prefix-ERCS01, Prefix-ERCS02 lub Prefix-ERCS03) na różnych hostach. Skrypt wykonuje następujące kroki:

    • Tworzy sesję programu PowerShell z uprzywilejowanym punktem końcowym przy użyciu konta CloudAdmin i zapisuje sesję jako zmienną. Ta zmienna jest używana jako parametr w następnym kroku.

    • Uruchamia polecenie Invoke-Command, przekazując zmienną -Session sesji PEP jako parametr.

    • Uruchamia się Start-SecretRotation w sesji PEP przy użyciu następujących parametrów. Aby uzyskać więcej informacji, zobacz dokumentację Start-SecretRotation :

      Parametr Zmienna opis
      -PfxFilesPath $CertSharePath Ścieżka sieciowa do folderu głównego certyfikatów, jak opisano w kroku 6 sekcji Przygotowywanie, na przykład \\<IPAddress>\<ShareName>\Certificates.
      -PathAccessCredential $CertShareCreds Obiekt PSCredential dla poświadczeń do udziału.
      -CertificatePassword $CertPassword Bezpieczny ciąg hasła używanego dla wszystkich utworzonych plików certyfikatów pfx. 
    # Create a PEP session
winrm s winrm/config/client '@{TrustedHosts= "<IP_address_of_ERCS>"}'
$PEPCreds = Get-Credential
$PEPSession = New-PSSession -ComputerName <IP_address_of_ERCS_Machine> -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)

# Run secret rotation
$CertPassword = ConvertTo-SecureString '<Cert_Password>' -AsPlainText -Force
$CertShareCreds = Get-Credential
$CertSharePath = "<Network_Path_Of_CertShare>"
Invoke-Command -Session $PEPsession -ScriptBlock {
    param($CertSharePath, $CertPassword, $CertShareCreds )
    Start-SecretRotation -PfxFilesPath $CertSharePath -PathAccessCredential $CertShareCreds -CertificatePassword $CertPassword
} -ArgumentList ($CertSharePath, $CertPassword, $CertShareCreds)
Remove-PSSession -Session $PEPSession

  2. Rotacja wpisów tajnych zewnętrznych trwa około godziny. Po pomyślnym zakończeniu konsola wyświetli ActionPlanInstanceID ... CurrentStatus: Completed komunikat, po którym następuje Action plan finished with status: 'Completed'. Usuń certyfikaty z udziału utworzonego w sekcji Przygotowywanie i zapisz je w bezpiecznej lokalizacji kopii zapasowej.

    Uwaga

    Jeśli rotacja wpisu tajnego zakończy się niepowodzeniem, postępuj zgodnie z instrukcjami w komunikacie o błędzie i uruchom Start-SecretRotation ponownie parametr .-ReRun

    Start-SecretRotation -ReRun

    Skontaktuj się z pomocą techniczną, jeśli wystąpią powtarzające się błędy rotacji wpisów tajnych.

  3. Opcjonalnie, aby potwierdzić, że wszystkie certyfikaty zewnętrzne zostały obrócone, uruchom narzędzie do weryfikacji Test-AzureStack przy użyciu następującego skryptu:

    Test-AzureStack -Include AzsExternalCertificates -DetailedResults -debug

Obracanie wewnętrznych wpisów tajnych

Wewnętrzne wpisy tajne obejmują certyfikaty, hasła, bezpieczne ciągi i klucze używane przez infrastrukturę usługi Azure Stack Hub bez interwencji operatora usługi Azure Stack Hub. Rotacja wewnętrzna wpisów tajnych jest wymagana tylko wtedy, gdy podejrzewasz, że jeden z nich został naruszony lub gdy otrzymano alert o wygaśnięciu.

Wdrożenia przed 1811 mogą wyświetlać alerty dotyczące oczekujących wewnętrznych certyfikatów lub wygasania wpisów tajnych. Te alerty są niedokładne i powinny być ignorowane i są znanym problemem rozwiązanym w wersji 1811.

Wykonaj następujące kroki, aby obrócić wpisy tajne wewnętrzne:

  1. Uruchom następujący skrypt programu PowerShell. Zwróć uwagę na wewnętrzną rotację wpisów tajnych, sekcja "Run Secret Rotation" używa tylko parametru -Internal do polecenia cmdlet Start-SecretRotation:

    # Create a PEP Session
winrm s winrm/config/client '@{TrustedHosts= "<IP_address_of_ERCS>"}'
$PEPCreds = Get-Credential
$PEPSession = New-PSSession -ComputerName <IP_address_of_ERCS_Machine> -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)

# Run Secret Rotation
Invoke-Command -Session $PEPSession -ScriptBlock {
    Start-SecretRotation -Internal
}
Remove-PSSession -Session $PEPSession

    Uwaga

    Wersje wcześniejsze niż 1811 nie wymagają flagi -Internal .

  2. Po pomyślnym zakończeniu konsola wyświetli ActionPlanInstanceID ... CurrentStatus: Completed komunikat, po którym następuje Action plan finished with status: 'Completed'.

    Uwaga

    Jeśli rotacja wpisu tajnego nie powiedzie się, postępuj zgodnie z instrukcjami w komunikacie o błędzie i ponownie uruchom polecenie Start-SecretRotation z parametrami -Internal i -ReRun.

    Start-SecretRotation -Internal -ReRun

    Skontaktuj się z pomocą techniczną, jeśli wystąpią powtarzające się błędy rotacji wpisów tajnych.

Rotacja certyfikatu głównego usługi Azure Stack Hub

Certyfikat główny usługi Azure Stack Hub jest aprowizowany podczas wdrażania z upływem pięciu lat. Począwszy od wersji 2108, wewnętrzna rotacja wpisów tajnych również obraca certyfikat główny. Standardowy alert wygaśnięcia wpisu tajnego identyfikuje wygaśnięcie certyfikatu głównego i generuje alerty w ciągu 90 (ostrzeżenie) i 30 (krytycznych) dni.

Aby obrócić certyfikat główny, należy zaktualizować system do wersji 2108 i przeprowadzić wewnętrzną rotację wpisów tajnych.

Poniższy fragment kodu używa uprzywilejowanego punktu końcowego, aby wyświetlić datę wygaśnięcia certyfikatu głównego:

$pep = New-PSSession -ComputerName <ip address> -ConfigurationName PrivilegedEndpoint -Credential $cred -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US) 
 
$stampInfo = Invoke-Command -Session $pep -ScriptBlock { Get-AzureStackStampInformation }

$rootCert = $stampInfo.RootCACertificates| Sort-Object -Property NotAfter | Select-Object -Last 1
"The Azure Stack Hub Root Certificate expires on {0}" -f $rootCert.NotAfter.ToString("D") | Write-Host -ForegroundColor Cyan

Aktualizowanie poświadczenia kontrolera BMC

Kontroler zarządzania płytą główną monitoruje stan fizyczny serwerów. Zapoznaj się z dostawcą sprzętu producenta oryginalnego sprzętu (OEM), aby uzyskać instrukcje dotyczące aktualizowania nazwy konta użytkownika i hasła kontrolera BMC.

Uwaga

Twoja aplikacja OEM może udostępniać dodatkowe aplikacje do zarządzania. Aktualizowanie nazwy użytkownika lub hasła dla innych aplikacji zarządzania nie ma wpływu na nazwę użytkownika lub hasło kontrolera BMC.

  1. Zaktualizuj kontroler BMC na serwerach fizycznych usługi Azure Stack Hub, postępując zgodnie z instrukcjami producenta OEM. Nazwa użytkownika i hasło dla każdego kontrolera BMC w danym środowisku muszą być takie same. Nazwy użytkowników kontrolera BMC nie mogą przekraczać 16 znaków.
  1. Nie jest już wymagane, aby najpierw zaktualizować poświadczenia kontrolera BMC na serwerach fizycznych usługi Azure Stack Hub, postępując zgodnie z instrukcjami producenta OEM. Nazwa użytkownika i hasło dla każdego kontrolera BMC w środowisku muszą być takie same i nie mogą przekraczać 16 znaków.

  1. Otwórz uprzywilejowany punkt końcowy w sesjach usługi Azure Stack Hub. Aby uzyskać instrukcje, zobacz Using the privileged endpoint in Azure Stack Hub (Korzystanie z uprzywilejowanego punktu końcowego w usłudze Azure Stack Hub).

  2. Po otwarciu sesji uprzywilejowanego punktu końcowego uruchom jeden z poniższych skryptów programu PowerShell, który uruchamia polecenie Invoke-Command w celu uruchomienia polecenia Set-BmcCredential. Jeśli używasz opcjonalnego parametru -BypassBMCUpdate z ustawieniem Set-BMCCredential, poświadczenia w kontrolerze BMC nie są aktualizowane. Zaktualizowano tylko wewnętrzny magazyn danych usługi Azure Stack Hub. Przekaż zmienną sesji uprzywilejowanego punktu końcowego jako parametr.

    Oto przykładowy skrypt programu PowerShell, który wyświetli monit o podanie nazwy użytkownika i hasła:

    # Interactive Version
$PEPIp = "<Privileged Endpoint IP or Name>" # You can also use the machine name instead of IP here.
$PEPCreds = Get-Credential "<Domain>\CloudAdmin" -Message "PEP Credentials"
$NewBmcPwd = Read-Host -Prompt "Enter New BMC password" -AsSecureString
$NewBmcUser = Read-Host -Prompt "Enter New BMC user name"

$PEPSession = New-PSSession -ComputerName $PEPIp -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)

Invoke-Command -Session $PEPSession -ScriptBlock {
    # Parameter BmcPassword is mandatory, while the BmcUser parameter is optional.
    Set-BmcCredential -BmcPassword $using:NewBmcPwd -BmcUser $using:NewBmcUser
}
Remove-PSSession -Session $PEPSession

    Możesz również zakodować nazwę użytkownika i hasło w zmiennych, co może być mniej bezpieczne:

    # Static Version
$PEPIp = "<Privileged Endpoint IP or Name>" # You can also use the machine name instead of IP here.
$PEPUser = "<Privileged Endpoint user for example Domain\CloudAdmin>"
$PEPPwd = ConvertTo-SecureString '<Privileged Endpoint Password>' -AsPlainText -Force
$PEPCreds = New-Object System.Management.Automation.PSCredential ($PEPUser, $PEPPwd)
$NewBmcPwd = ConvertTo-SecureString '<New BMC Password>' -AsPlainText -Force
$NewBmcUser = "<New BMC User name>"

$PEPSession = New-PSSession -ComputerName $PEPIp -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)

Invoke-Command -Session $PEPSession -ScriptBlock {
    # Parameter BmcPassword is mandatory, while the BmcUser parameter is optional.
    Set-BmcCredential -BmcPassword $using:NewBmcPwd -BmcUser $using:NewBmcUser
}
Remove-PSSession -Session $PEPSession

Dokumentacja: polecenie cmdlet Start-SecretRotation

Polecenie cmdlet Start-SecretRotation obraca wpisy tajne infrastruktury systemu usługi Azure Stack Hub. To polecenie cmdlet można wykonać tylko względem uprzywilejowanego punktu końcowego usługi Azure Stack Hub przy użyciu Invoke-Command bloku skryptu przekazującego sesję PEP w parametrze -Session . Domyślnie obraca tylko certyfikaty wszystkich punktów końcowych infrastruktury sieci zewnętrznej.

Parametr Type Wymagania Position Domyślny opis
PfxFilesPath String Fałsz O nazwie Brak Ścieżka udziału plików do folderu głównego \Certificates zawierającego wszystkie certyfikaty zewnętrznego punktu końcowego sieci. Wymagane tylko w przypadku rotacji zewnętrznych wpisów tajnych. Ścieżka musi kończyć się folderem \Certificates, na przykład \\<IPAddress>\<ShareName>\Certificates.
CertificatePassword SecureString Fałsz O nazwie Brak Hasło dla wszystkich certyfikatów podanych w -PfXFilesPath. Wymagana wartość, jeśli parametr PfxFilesPath jest udostępniany podczas rotacji wpisów tajnych zewnętrznych.
Internal String Fałsz O nazwie Brak Flaga wewnętrzna musi być używana w dowolnym momencie, gdy operator usługi Azure Stack Hub chce obracać wewnętrzne wpisy tajne infrastruktury.
PathAccessCredential PsCredential Fałsz O nazwie Brak Poświadczenie programu PowerShell dla udziału plików katalogu \Certificates zawierającego wszystkie certyfikaty zewnętrznego punktu końcowego sieci. Wymagane tylko w przypadku rotacji zewnętrznych wpisów tajnych.
ReRun PrzełącznikParametr Fałsz O nazwie Brak Należy używać w dowolnym momencie ponownego obrotu wpisu tajnego po nieudanej próbie.

Składnia

W przypadku rotacji wpisów tajnych zewnętrznych

Start-SecretRotation [-PfxFilesPath <string>] [-PathAccessCredential <PSCredential>] [-CertificatePassword <SecureString>]

W przypadku wewnętrznego rotacji wpisów tajnych

Start-SecretRotation [-Internal]

W przypadku ponownego uruchomienia zewnętrznego rotacji wpisów tajnych

Start-SecretRotation [-ReRun]

W przypadku ponownego uruchomienia wewnętrznego rotacji wpisów tajnych

Start-SecretRotation [-ReRun] [-Internal]

Przykłady

Obracanie tylko wewnętrznych wpisów tajnych infrastruktury

To polecenie musi być uruchamiane za pośrednictwem uprzywilejowanego punktu końcowego środowiska usługi Azure Stack Hub.

PS C:\> Start-SecretRotation -Internal

To polecenie obraca wszystkie wpisy tajne infrastruktury uwidocznione w sieci wewnętrznej usługi Azure Stack Hub.

Obracanie tylko wpisów tajnych infrastruktury zewnętrznej

# Create a PEP Session
winrm s winrm/config/client '@{TrustedHosts= "<IP_address_of_ERCS>"}'
$PEPCreds = Get-Credential
$PEPSession = New-PSSession -ComputerName <IP_address_of_ERCS> -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)

# Create Credentials for the fileshare
$CertPassword = ConvertTo-SecureString '<CertPasswordHere>' -AsPlainText -Force
$CertShareCreds = Get-Credential
$CertSharePath = "<NetworkPathOfCertShare>"
# Run Secret Rotation
Invoke-Command -Session $PEPsession -ScriptBlock {
    param($CertSharePath, $CertPassword, $CertShareCreds )
    Start-SecretRotation -PfxFilesPath $CertSharePath -PathAccessCredential $CertShareCreds -CertificatePassword $CertPassword
} -ArgumentList ($CertSharePath, $CertPassword, $CertShareCreds)
Remove-PSSession -Session $PEPSession

To polecenie obraca certyfikaty TLS używane dla zewnętrznych punktów końcowych infrastruktury sieci usługi Azure Stack Hub.

Obracanie wewnętrznych i zewnętrznych wpisów tajnych infrastruktury (tylko przed 1811 )

Ważne

To polecenie dotyczy tylko usługi Azure Stack Hub przed 1811 , ponieważ rotacja została podzielona dla certyfikatów wewnętrznych i zewnętrznych.

Od wersji 1811+ nie można już obracać certyfikatów wewnętrznych i zewnętrznych.

# Create a PEP Session
winrm s winrm/config/client '@{TrustedHosts= "<IP_address_of_ERCS>"}'
$PEPCreds = Get-Credential
$PEPSession = New-PSSession -ComputerName <IP_address_of_ERCS> -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
# Create Credentials for the fileshare
$CertPassword = ConvertTo-SecureString '<CertPasswordHere>' -AsPlainText -Force
$CertShareCreds = Get-Credential
$CertSharePath = "<NetworkPathOfCertShare>"
# Run Secret Rotation
Invoke-Command -Session $PEPSession -ScriptBlock {
    Start-SecretRotation -PfxFilesPath $using:CertSharePath -PathAccessCredential $using:CertShareCreds -CertificatePassword $using:CertPassword
}
Remove-PSSession -Session $PEPSession

To polecenie obraca wpisy tajne infrastruktury uwidocznione w sieci wewnętrznej usługi Azure Stack Hub oraz certyfikaty TLS używane dla zewnętrznych punktów końcowych infrastruktury sieci usługi Azure Stack Hub. Funkcja Start-SecretRotation obraca wszystkie wpisy tajne generowane przez stos, a ponieważ istnieją certyfikaty, zewnętrzne certyfikaty punktów końcowych również zostaną obrócone.

Następne kroki

Dowiedz się więcej o zabezpieczeniach usługi Azure Stack Hub