Felsöka certifiering av virtuella datorer

Kontrollera om avbildningen stöder VM-tillägg.

Så här aktiverar du VM-tillägg:

1. Välj din virtuella Linux-dator.

2. Gå till Diagnostikinställningar.

3. Aktivera basmatriser genom att uppdatera Storage-kontot.

4. Välj Spara.

   

Så här kontrollerar du att VM-tilläggen är korrekt aktiverade:

1. På den virtuella datorn väljer du fliken VM-tillägg och kontrollerar sedan statusen för Linux Diagnostics Extension.

2. Kontrollera etableringsstatusen.

   • Om statusen är Etableringen lyckadesgodkändes tilläggstestfallet.
   • Om statusen är Etableringen misslyckadesmisslyckades tilläggstestfallet och du måste ange flaggan Härdad.

   

   Om vm-tillägget misslyckas kan du läsa Använda Linux-diagnostiktillägg för att övervaka mått och loggar för att aktivera det. Om du inte vill att VM-tillägget ska aktiveras kontaktar du supportteamet och ber dem att inaktivera det.

Kontrollera att du har följt etableringsprocessen för virtuella datorer noggrant innan du skickar in ditt erbjudande.

Etableringsproblem kan omfatta följande felscenarier:

kryssrutan

VHD-specifikationer

Conectix-cookie och andra VHD-specifikationer

Conectix-strängen är en del av VHD-specifikationen och definieras som 8-byte-cookien i VHD-sidfoten som identifierar filskaparen. Alla VHD-filer som skapats av Microsoft har den här cookien.

En VHD-formaterad blob ska ha en sidfot på 512 byte i det här formatet:

Se till att den virtuella hårddisken uppfyller följande kriterier för att säkerställa en smidig publiceringsupplevelse:

• Cookien innehåller strängen "conectix".
• Disktypen är Fast.
• Den virtuella hårddiskens virtuella storlek är minst 20 MB.
• Den virtuella hårddisken är justerad. Den virtuella storleken måste vara en multipel på 1 MB.
• VHD-bloblängden är lika med den virtuella storleken plus VHD-sidfotens längd (512).

Ladda ned VHD-specifikationen.

Om din Windows-avbildningsbegäran avvisas på grund av ett problem med programvaruefterlevnad kan det bero på att du har skapat en Windows-avbildning med en installerad SQL Server-instans. I stället måste du ta den relevanta SQL Server-versionsbasavbildningen från Azure Marketplace.

Skapa inte en egen Windows-avbildning med SQL Server installerad i den. Använd de godkända SQL Server-basavbildningarna (Enterprise/Standard/web) från Azure Marketplace.

Om du försöker installera Visual Studio eller någon Office-licensierad produkt kontaktar du supportteamet för förhandsgodkännande.

Mer information om hur du väljer en godkänd bas finns i Skapa en virtuell dator från en godkänd bas.

I följande tabell visas de Linux-testfall som verktygslådan kör. Testverifiering anges i beskrivningen.

I följande tabell visas de Windows-testfall som verktygslådan kör, tillsammans med en beskrivning av testverifieringen:

Om du stöter på fel med de föregående testfallen läser du kolumnen Description i tabellen för lösningen. Kontakta supportteamet om du vill ha mer information.

I följande tabell finns vanliga fel som du kan se när du kör testfall:

Datadiskbegäranden med en storlek som är större än 1 023 gigabyte (GB) godkänns inte. Den här regeln gäller för både Linux och Windows.

Skicka begäran igen med en storlek som är mindre än eller lika med 1 023 GB.

Se följande regler för begränsningar i os-diskstorleken. När du skickar en begäran kontrollerar du att operativsystemets diskstorlek ligger inom begränsningen för Linux eller Windows.

Eftersom virtuella datorer tillåter åtkomst till det underliggande operativsystemet kontrollerar du att VHD-storleken är tillräckligt stor för den virtuella hårddisken. Diskar kan inte expanderas utan stilleståndstid. Använd en diskstorlek från 30 GB till 50 GB.

Om du vill förhindra en potentiell attack relaterad till WannaCry-viruset kontrollerar du att alla Windows-avbildningsbegäranden uppdateras med den senaste korrigeringen.

Du kan verifiera avbildningsfilens version från C:\windows\system32\drivers\srv.sys eller srv2.sys.

I följande tabell visas den lägsta korrigerade versionen av Windows Server:

När du skickar en Linux-avbildning kan din begäran avvisas på grund av problem med kernelversionen.

Uppdatera kerneln med en godkänd version och skicka begäran igen. Du hittar den godkända kernelversionen i följande tabell. Versionsnumret ska vara lika med eller större än det tal som anges här.

Om avbildningen inte är installerad med någon av följande kernelversioner uppdaterar du den med rätt korrigeringar. Begär det nödvändiga godkännandet från supportteamet när avbildningen har uppdaterats med de här nödvändiga korrigeringarna:

• CVE-2019-11477
• CVE-2019-11478
• CVE-2019-11479

Alla virtuella hårddiskar i Azure måste ha en virtuell storlek som är justerad till multiplar på 1 mb (MB). Om din virtuella hårddisk inte följer den rekommenderade virtuella storleken kan din begäran avvisas.

Följ riktlinjerna när du konverterar från en rådisk till en virtuell hårddisk. Kontrollera att den råa diskstorleken är en multipel på 1 MB. Mer information finns i Information för icke-avgudade distributioner.

Ett åtkomst nekad problem med att köra ett testfall på den virtuella datorn kan bero på otillräcklig behörighet.

Kontrollera att du har aktiverat korrekt åtkomst för det konto som självtestfallen körs på. Aktivera åtkomst för att köra testfall om det inte är aktiverat. Om du inte vill aktivera åtkomst kan du dela resultaten från självtestfallet med supportteamet.

Så här skickar du din begäran med SSH-inaktiverad avbildning för certifieringsprocessen:

1. Kör senaste certifieringstestverktyget för virtuella Azure-datorer på avbildningen.

2. Skapa ett supportärende. Bifoga toolkit-rapporten och ange information om erbjudandet:

   • Erbjudandenamn
   • Utgivarens namn
   • Planera ID/SKU och version

3. Skicka in din certifieringsbegäran igen.

kryssrutan

Se följande tabell för eventuella problem som uppstår när du laddar ned VM-avbildningen med en SAS-URL (signatur för delad åtkomst).

Om du publicerar avbildningen till Azure (med GPT-partition) rekommenderar vi starkt att du håller de första 2 048 sektorerna (1 MB) av OS-disken tomma. Det här kravet är att Azure ska kunna lägga till viktiga metadata i bilden (exempel inkluderar metadata för att förbättra starttiden för kunder, fakturering och annan information). Detta är en rekommendation för bästa praxis om du redan använder en godkänd basavbildning och avbildningen har en giltig faktureringstagg. Men om avbildningen inte har en giltig faktureringstagg kan publiceringen misslyckas om den första 1 MB av OS-disken inte är tom.

Om du skapar en egen avbildning som inte har någon giltig faktureringstagg kontrollerar du att de första 2 048 sektorerna (1 MB) av OS-disken är tomma. Annars misslyckas publiceringen. Det här kravet gäller endast os-disken (inte datadiskar). Om du skapar avbildningen från en godkänd bas har den redan de första 1 MB tomma. Därför behöver du inte arbeta med det separat.

Slutför stegen i nästa avsnitt om du vill behålla de första 1 MB kostnadsfria i os-disken.

Så här behåller du 1 MB ledigt utrymme i början på en tom virtuell hårddisk (2 048 sektorer, varje sektor 512 byte)

De här stegen gäller endast för Linux.

1. Skapa alla typer av virtuella Linux-datorer, till exempel Ubuntu, CentOS eller andra. Fyll i de obligatoriska fälten och välj sedan Nästa: Diskar.

   

2. Skapa en ohanterad disk för den virtuella datorn. Använd antingen standardvärdena eller ange valfritt värde för fält som OS-diskstorlek, OS-disktypoch krypteringstyp.

   

3. När du har skapat den virtuella datorn väljer du Diskari den vänstra rutan.

   

4. Koppla din virtuella hårddisk som datadisk till den virtuella datorn för att skapa en partitionstabell.

   1. Välj Koppla befintliga diskar:

      

      

   2. Hitta ditt VHD-lagringskonto.

   3. Välj Containeroch välj sedan din virtuella hårddisk.

   4. Välj OK.

      

      Din virtuella hårddisk läggs till som datadisk LUN 0.

5. Starta om den virtuella datorn.

6. När du har startat om den virtuella datorn loggar du in på den virtuella datorn med Putty eller en annan klient och kör kommandot sudo -i för att få rotåtkomst.

   

7. Skapa en partition på den virtuella hårddisken.

   1. Ange kommandot fdisk /dev/sdb.

   2. Om du vill visa den befintliga partitionslistan från din virtuella hårddisk anger du p.

   3. Ange d om du vill ta bort alla befintliga partitioner som är tillgängliga i din virtuella hårddisk. Du kan hoppa över det här steget om det inte behövs.

      

   4. Ange n för att skapa en ny partition och välj p för (primär partition).

   5. Ange 2048 som första sektor värde. Du kan lämna senaste som standardvärde.

      Viktig

      Alla befintliga data raderas till 2 048 sektorer (varje sektor på 512 byte). Säkerhetskopiera den virtuella hårddisken innan du skapar en ny partition.

      

   6. Skriv w för att bekräfta att partitionen har skapats.

      

   7. Du kan verifiera partitionstabellen genom att köra kommandot n fdisk /dev/sdb och skriva p. En partition skapas med förskjutningsvärdet 2 048.

      

8. Koppla från den virtuella hårddisken från den virtuella datorn och ta bort den virtuella datorn.

Skicka aldrig standardautentiseringsuppgifter med den inskickade virtuella hårddisken. Om du lägger till standardautentiseringsuppgifter blir den virtuella hårddisken mer sårbar för säkerhetshot. Skapa i stället dina egna autentiseringsuppgifter när du skickar den virtuella hårddisken.

Ett mappningsproblem kan uppstå när en begäran skickas med flera datadiskar som inte är i följd. Numreringsordningen för tre datadiskar måste till exempel vara 0, 1, 2. Alla andra ordningar behandlas som ett mappningsproblem.

Skicka begäran igen med rätt sekvensering av datadiskar.

När en avbildning skapas kan den mappas till eller tilldelas fel os-etikett. När du till exempel väljer Windows- som en del av operativsystemets namn när du skapar avbildningen ska OS-disken endast installeras med Windows. Samma krav gäller för Linux.

Om alla avbildningar som tas från Azure Marketplace ska återanvändas måste operativsystemets virtuella hårddisk generaliseras.

• För Linux-generaliserar följande process en virtuell Linux-dator och distribuerar om den som en separat virtuell dator.

  I SSH-fönstret anger du följande kommando: sudo waagent -deprovision+user.

• För Windowsgeneraliserar du Windows-avbildningar med hjälp av sysreptool.

  Mer information om verktyget sysreptool finns i översikten Systemförberedelse (Sysprep).

För lösningar på fel som är relaterade till datadisken använder du följande tabell:

Du får det här felet om rdp-alternativet (Remote Desktop Protocol) inte är aktiverat för Windows-avbildningen.

Aktivera RDP-åtkomst för Windows-avbildningar innan du skickar dem.

Du ser det här felet om storleken på Bash-historiken i den skickade avbildningen är mer än 1 kilobyte (KB). Storleken är begränsad till 1 KB för att begränsa filen från att innehålla potentiellt känslig information.

Så här tar du bort Bash-historiken:

1. Distribuera den virtuella datorn och välj alternativet Kör kommando på Azure-portalen.

   

2. Välj det första alternativet RunShellScript- och kör sedan kommandot: cat /dev/null > ~/.bash_history && history -c.

   

3. Starta om den virtuella datorn när kommandot har körts.

4. Generalisera den virtuella datorn, ta avbildningens virtuella hårddisk och stoppa den virtuella datorn.

5. Skicka den generaliserade avbildningen igen.

Under Marketplace-avbildningscertifiering verifieras ett VM-erbjudande som är en virtuell nätverksinstallation (NVA) med hjälp av tester som är generiska för alla VM-erbjudanden och NVA-testfall som anges i följande tabell. Målet med dessa NVA-specifika valideringar är att verifiera hur väl NVA-avbildningen orkestrerar med SDN-stacken.

Om du vill ha mer information eller frågor öppnar du ett Azure-supportärende.

Netcat-översikt:

Netcat är ett kommando som kan upprätta en TCP- eller UDP-anslutning mellan två datorer, vilket innebär att det kan skriva och läsa via en öppen port. Under NVA-valideringar kör vi Netcat-kommandot från en virtuell dator som finns i samma virtuella nätverk som den virtuella NVA-datorn för att testa om TCP-port 22 kan nås. Kommandosyntaxen är nc <destination_ip_address> <destination_port>, där

• destination_ip_address är den privata IP-adress som tilldelats till vm-nätverkskortet,
• destination_port är portnumret på NVA. Vi använder 22 i NVA-testfall.

Till exempel nc 192.168.1.1 22

Utgivare kan begära undantag för några tester som utförs under VM-certifieringen. Undantag tillhandahålls i sällsynta fall när en utgivare tillhandahåller bevis för att stödja begäran. Certifieringsteamet förbehåller sig rätten att när som helst neka eller godkänna undantag.

I det här avsnittet beskrivs allmänna scenarier där utgivare begär ett undantag och hur de begär ett.

Scenarier för undantag

Utgivare begär vanligtvis undantag i följande fall:

• Undantag för ett eller flera testfall. Kontakta Support för Partnercenter för att begära undantag för testfall.

• Låsta virtuella datorer/Ingen rotåtkomst. Några utgivare har scenarier där virtuella datorer måste låsas eftersom de har programvara som brandväggar installerade på den virtuella datorn. I det här fallet laddar du ned certified test tool och skickar rapporten på Partner Center support.

• Anpassade mallar. Vissa utgivare publicerar VM-avbildningar som kräver en anpassad ARM-mall (Azure Resource Manager) för att distribuera de virtuella datorerna. I det här fallet skickar du de anpassade mallarna på partnercentersupport som ska användas av certifieringsteamet för validering.

Information om undantagsscenarier

Kontakta Support för Partnercenter för att begära ett undantag för något av scenarierna och inkludera följande information:

• Publisher ID. Skriv utgivar-ID:t för partnercentralportalen.

• Erbjudande-ID/namn. Ange erbjudande-ID eller namn.

• SKU/Plan-ID. Ange plan-ID eller SKU för den virtuella datorns erbjudande.

• Version. Ange den version av VM-erbjudandet som kräver ett undantag.

• undantagstyp. Välj mellan tester, låsta virtuella datorer eller anpassade mallar.

• Orsak till begäran. Inkludera orsaken till undantagsbegäran, plus all information om testundantag.

• tidslinje. Ange slutdatumet för undantaget.

• Bifogad fil. Bifogade viktiga bevisdokument:

  • Bifoga testrapporten för låsta virtuella datorer.
  • För anpassade mallar anger du den anpassade ARM-mallen som bifogad fil.

  Om du inte kan ta med de här bifogade filerna nekas din begäran.

I det här avsnittet beskrivs hur du tillhandahåller en ny VM-avbildning när en säkerhetsrisk eller sårbarhet identifieras med en av dina VM-avbildningar. Det gäller endast azure vm-erbjudanden som publicerats på Azure Marketplace.

Utför någon av följande åtgärder:

• Om du har en ny VM-avbildning för att ersätta den sårbara VM-avbildningen läser du Ange en fast VM-avbildning.
• Om du inte har en ny VM-avbildning som ersätter den enda VM-avbildningen i en plan, eller om du är klar med planen, stoppa distributionen av planen.
• Om du inte planerar att ersätta den enda VM-avbildningen i erbjudandet rekommenderar vi att du sluta distribuera erbjudandet.

Ange en fast VM-avbildning

Så här anger du en fast VM-avbildning för att ersätta en VM-avbildning som har en säkerhetsrisk eller exploatering:

1. Ange en ny VM-avbildning för att åtgärda säkerhetsrisken eller sårbarheten.
2. Ta bort vm-avbildningen med säkerhetsrisken eller sårbarheten.
3. Publicera om erbjudandet.

Ange en ny VM-avbildning för att åtgärda säkerhetsrisken eller sårbarheten

Förbered de tekniska tillgångarna för den vm-avbildning som du vill lägga till för att slutföra de här stegen. Mer information finns i Skapa en virtuell dator med en godkänd bas eller Skapa en virtuell dator med din egen avbildning och Generera en SAS-URI för vm-avbildningen.

1. Logga in på PartnerCenter.

2. På sidan Start väljer du panelen Marketplace-erbjudanden.

3. I kolumnen Offer alias väljer du erbjudandet.

4. Välj fliken planöversikt och välj sedan lämplig plan.

5. På fliken Teknisk konfiguration under VM-avbildningarväljer du + Lägg till VM-avbildning.

   Not

   Du kan bara lägga till en VM-avbildning i en plan i taget. Om du vill lägga till flera VM-avbildningar publicerar du den första innan du lägger till nästa VM-avbildning.

6. I rutorna som visas anger du en ny diskversion och den virtuella datorbilden.

7. Välj Spara utkast.

Ta sedan bort vm-avbildningen med säkerhetsrisken.

Ta bort vm-avbildningen med säkerhetsrisken eller sårbarheten

1. Logga in på PartnerCenter.
2. På sidan Start väljer du panelen Marketplace-erbjudanden.
3. I kolumnen Offer alias väljer du erbjudandet.
4. Välj fliken planöversikt och välj sedan lämplig plan.
5. På fliken Teknisk konfiguration går du till VM-avbildningarbredvid den VM-avbildning som du vill ta bort och väljer Ta bort VM-avbildning.
6. I dialogrutan väljer du Fortsätt.
7. Välj Spara utkast.

Publicera sedan erbjudandet igen.

Publicera om erbjudandet

1. Välj Granska och publicera.
2. Om du behöver ange information till certifieringsteamet lägger du till den i rutan Anteckningar för certifiering.
3. Välj Publicera.

Information om hur du slutför publiceringsprocessen finns i Granska och publicera erbjudanden.

I det här avsnittet beskrivs hur du tillhandahåller en ny VM-avbildning när en TLS-relaterad säkerhetsrisk identifieras med en av dina VM-avbildningar. Det gäller endast azure vm-erbjudanden som publicerats på Azure Marketplace.

Reparationssteg

Följ dessa steg för att lösa dessa säkerhetsrisker:

Inaktivera användningen av TLS 1.0- och 1.1-protokoll och se till att VM-avbildningen stöder TLS version 1.2 eller senare. Detta kan uppnås genom att ange lämpliga registernycklar eller konfigurationsinställningar i VM-avbildningen.

För Linux använder du följande kommandon för att manuellt testa och se till att dessa versioner är inaktiverade:

• för TLS 1.0:

  openssl s_client -connect ip:port -tls1
  

• för TLS 1.1:

  openssl s_client -connect ip:port -tls1_1
  

För Windows läser du dokumentationen om officiella TLS-registerinställningar för att uppdatera registernycklarna. Använd följande PowerShell-kommandon för att konfigurera TLS-inställningar:

Aktivera högre versioner (valfritt)

Om du vill aktivera högre versioner (till exempel TLS 1.3) upprepar du föregående steg med motsvarande sökvägar och värden för dessa versioner.

VM-avbildningar med begränsad åtkomst eller som kräver anpassade mallar

Låst (eller) SSH-inaktiverat erbjudande

Avbildningar som publiceras med antingen SSH inaktiverad (för Linux) eller RDP inaktiverad (för Windows) behandlas som låsta virtuella datorer. Det finns särskilda affärsscenarier på grund av vilka utgivare endast tillåter begränsad åtkomst till några få användare.

Under valideringskontroller kanske låsta virtuella datorer inte tillåter körning av vissa certifieringskommandon.

Anpassade mallar

I allmänhet följer alla avbildningar som publiceras under en enskild virtuell dator standard ARM-mall för distribution. Det finns dock scenarier där utgivaren kan kräva anpassning vid distribution av virtuella datorer (till exempel flera nätverkskort som ska konfigureras).

Beroende på följande scenarier (inte outtömliga) använder utgivare anpassade mallar för att distribuera den virtuella datorn:

• Den virtuella datorn kräver extra nätverksundernät.
• Fler metadata som ska infogas i ARM-mallen.
• Kommandon som är nödvändiga för att köra ARM-mallen.

VM-tillägg

Tillägg för virtuella Azure-datorer (VM) är små program som tillhandahåller konfigurations- och automatiseringsuppgifter efter distributionen på virtuella Azure-datorer. Om en virtuell dator till exempel kräver programvaruinstallation, antivirusskydd eller för att köra ett skript inuti den, kan ett VM-tillägg användas.

Validering av linux-VM-tillägg kräver att följande ingår i avbildningen:

• Du måste installera lägsta version av Azure Linux-agenten som stöds eller högre.
• Python-version över 2.6+

Mer information finns i VM-tillägg.

Verifiering av bildintegritet

Om du skapar en avbildning och skapar en skiva ur avbildningen för att verifiera avbildningens integritet är de första 1 MB reserverade för optimerad prestanda och de senaste 512 byteen är reserverade för VHD-sidfot. Ignorera dem när du verifierar bildens integritet.

Relaterat innehåll

• Konfigurera egenskaper för vm-erbjudande
• Active Marketplace-belöningar
• Om du har frågor eller feedback om förbättringar kan du kontakta supporten för Partnercenter