排查虚拟机认证问题

检查映像是否支持 VM 扩展。

若要启用 VM 扩展，请执行以下操作：

1. 选择 Linux VM。

2. 转到 诊断设置。

3. 通过更新 存储帐户来启用基矩阵。

4. 选择 保存。

   

验证 VM 扩展是否已正确激活：

1. 在 VM 中，选择 VM 扩展 选项卡，然后验证 Linux 诊断扩展的状态。

2. 检查预配状态。

   • 如果状态 预配成功，则通过扩展测试用例。
   • 如果状态 预配失败，则扩展测试用例失败，并且需要设置强化标志。

   显示预配成功的

   如果 VM 扩展失败，请参阅 使用 Linux 诊断扩展监视指标和日志， 启用它。 如果不希望启用 VM 扩展，请联系支持团队，并要求他们禁用它。

检查以确保在提交产品/服务之前严格遵循 VM 预配过程。

预配问题可能包括以下失败方案：

VHD 规范

Conectix Cookie 和其他 VHD 规范

“conectix”字符串是 VHD 规范的一部分，在标识文件创建者的 VHD 页脚中定义为 8 字节 Cookie。 Microsoft创建的所有 VHD 文件都具有此 Cookie。

VHD 格式化的 Blob 应采用以下格式的 512 字节页脚：

若要确保顺利发布体验，请确保 VHD 满足以下条件：

• Cookie 包含字符串“conectix”。
• 磁盘类型为 Fixed。
• VHD 的虚拟大小至少为 20 MB。
• VHD 对齐。 虚拟大小必须是 1 MB 的倍数。
• VHD Blob 长度等于虚拟大小加上 VHD 页脚长度（512）。

下载 VHD 规范。

如果 Windows 映像请求因软件符合性问题而被拒绝，则可能是因为你创建了装有 SQL Server 实例的 Windows 映像。 相反，必须从 Azure 市场获取相关的 SQL Server 版本基础映像。

不要创建自己的 Windows 映像，其中安装了 SQL Server。 使用 Azure 市场中批准的 SQL Server 基础映像（Enterprise/Standard/web）。

如果尝试安装 Visual Studio 或任何 Office 许可的产品，请联系支持团队，获取事先批准。

有关选择已批准的基础的详细信息，请参阅 从已批准的基础创建虚拟机。

下表列出了工具包运行的 Linux 测试用例。 测试验证在说明中声明。

下表列出了工具包运行的 Windows 测试用例以及测试验证的说明：

如果遇到上述测试用例出现任何故障，请参阅解决方案表中的 说明 列。 有关详细信息，请联系支持团队。

有关运行测试用例时可能看到的常见错误，请参阅下表：

未批准大小大于 1,023 GB 的数据磁盘请求。 此规则适用于 Linux 和 Windows。

重新提交大小小于或等于 1,023 GB 的请求。

有关 OS 磁盘大小的限制，请参阅以下规则。 提交任何请求时，请验证 OS 磁盘大小是否在 Linux 或 Windows 的限制范围内。

由于 VM 允许访问基础操作系统，因此请确保 VHD 大小足以容纳 VHD。 磁盘在停机的情况下无法扩展。 使用 30 GB 到 50 GB 的磁盘大小。

若要防止与 WannaCry 病毒相关的潜在攻击，请确保使用最新的修补程序更新所有 Windows 映像请求。

可以从 C:\windows\system32\drivers\srv.sys 或 srv2.sys验证映像文件版本。

下表显示了最低修补版本的 Windows Server：

提交 Linux 映像时，由于内核版本问题，请求可能会被拒绝。

使用已批准的版本更新内核，并重新提交请求。 可以在下表中找到已批准的内核版本。 版本号应等于或大于此处列出的数字。

如果映像未安装以下内核版本之一，请使用正确的修补程序对其进行更新。 使用以下所需的修补程序更新映像后，请求支持团队的必要批准：

• CVE-2019-11477
• CVE-2019-11478
• CVE-2019-11479

Azure 上的所有 VHD 必须具有与 1 兆字节（MB）的倍数对齐的虚拟大小。 如果 VHD 不符合建议的虚拟大小，则请求可能会被拒绝。

从原始磁盘转换为 VHD 时，请遵循准则。 确保原始磁盘大小是 1 MB 的倍数。 有关详细信息，请参阅 非授权分发的信息。

VM 上运行测试用例的 访问被拒绝 问题可能是由于权限不足。

检查是否为运行自测试用例的帐户启用了适当的访问权限。 启用访问以运行测试用例（如果未启用）。 如果不想启用访问权限，可以与支持团队共享自测试用例结果。

若要使用 SSH 禁用的映像提交请求，以进行认证过程：

1. 在映像上运行 azure VM 的 最新认证测试工具。

2. 提出 支持票证。 请确保附加工具包报表并提供产品/服务详细信息：

   • 产品/服务名称
   • 发布者名称
   • 计划 ID/SKU 和版本

3. 重新提交认证请求。

有关使用共享访问签名 （SAS） URL 下载 VM 映像时出现的任何问题，请参阅下表。

如果要将映像发布到 Azure（GPT 分区），我们强烈建议 将 OS 磁盘的前 2,048 个扇区（1 MB）保留为空。 此要求是允许 Azure 将重要元数据添加到映像（示例包括用于改善客户启动时间的元数据、计费和其他详细信息）。 如果已 已批准的基础映像 并且映像具有有效的计费标记，则建议使用最佳做法。 但是，如果映像没有有效的计费标记，则如果 OS 磁盘的前 1 MB 不为空，发布可能会失败。

如果要生成没有任何有效计费标记的映像，请确保 OS 磁盘的前 2,048 个扇区（1 MB）为空。 否则，发布会失败。 此要求仅适用于 OS 磁盘（而非数据磁盘）。 如果要从已批准的基础生成映像，则它已为前 1 MB 空。 因此，无需单独处理它。

若要在 OS 磁盘中保留前 1 MB 可用，请完成下一部分中的步骤。

如何在空 VHD（2,048 扇区，每个扇区 512 字节）的开头保留 1 MB 的可用空间。

这些步骤仅适用于 Linux。

1. 创建任何类型的 Linux VM，例如 Ubuntu、CentOS 或其他。 填写必填字段，然后选择“下 一步：磁盘”。

   

2. 为 VM 创建非托管磁盘。 使用默认值，或者为 OS 磁盘大小、OS 磁盘类型和 加密类型等字段指定任何值。

   

3. 创建 VM 后，在左窗格中，选择 磁盘。

   显示如何为 V M 选择磁盘的屏幕截图

4. 将 VHD 作为数据磁盘附加到 VM，以便创建分区表。

   1. 选择 附加现有磁盘：

      

      

   2. 查找 VHD 存储帐户。

   3. 选择 容器，然后选择 VHD。

   4. 选择“确定”。

      

      VHD 将添加为数据磁盘 LUN 0。

5. 重启 VM。

6. 重启 VM 后，使用 Putty 或其他客户端登录到 VM，并运行 sudo -i 命令以获取根访问权限。

   

7. 在 VHD 上创建分区。

   1. 输入 fdisk /dev/sdb 命令。

   2. 若要查看 VHD 中的现有分区列表，请输入 p。

   3. 输入 d 以删除 VHD 中可用的所有现有分区。 如果需要，可以跳过此步骤。

      

   4. 输入 n 以创建新分区，并为（主分区）选择 p。

   5. 输入 2048 作为 第一个扇区 值。 可以将 最后一个扇区保留为默认值。

      重要

      任何现有数据都将擦除到 2,048 个扇区（每个扇区 512 个字节）。 在创建新分区之前备份 VHD。

      

   6. 键入 w 以确认分区的创建。

      

   7. 可以通过运行命令 n fdisk /dev/sdb 并键入 p来验证分区表。 使用 2,048 偏移值创建分区。

      

8. 从 VM 分离 VHD 并删除 VM。

切勿使用提交的 VHD 发送默认凭据。 添加默认凭据会使 VHD 更容易受到安全威胁。 而是在提交 VHD 时创建自己的凭据。

当请求提交时，不会按顺序排列的多个数据磁盘时，可能会出现映射问题。 例如，三个数据磁盘的编号顺序必须 0、1、2。 任何其他顺序都被视为映射问题。

重新提交请求并正确序列化数据磁盘。

创建映像时，可能会将其映射到或分配错误的 OS 标签。 例如，在创建映像时选择 Windows 作为 OS 名称的一部分时，OS 磁盘应仅随 Windows 一起安装。 相同的要求适用于 Linux。

如果要重复使用从 Azure 市场获取的所有映像，则必须通用化操作系统 VHD。

• 对于 Linux，以下过程将 Linux VM 通用化，并将其重新部署为单独的 VM。

  在 SSH 窗口中，输入以下命令：sudo waagent -deprovision+user。

• 对于 Windows，可以使用 sysreptool通用化 Windows 映像。

  有关 sysreptool 工具的详细信息，请参阅 系统准备（Sysprep）概述。

有关与数据磁盘相关的错误的解决方案，请使用下表：

如果未为 Windows 映像启用远程桌面协议 （RDP） 选项，则会出现此错误。

在提交 Windows 映像之前启用对 Windows 映像的 RDP 访问。

如果提交的图像中的 Bash 历史记录的大小超过 1 KB，则会看到此错误。 大小限制为 1 KB，以限制文件包含潜在的敏感信息。

删除 Bash 历史记录：

1. 部署 VM，然后在 Azure 门户中选择“运行命令” 选项。

   

2. 选择第一个选项 RunShellScript，然后运行命令：cat /dev/null > ~/.bash_history && history -c。

   

3. 命令成功运行后，重启 VM。

4. 通用化 VM、获取映像 VHD 并停止 VM。

5. 重新提交通用映像。

在市场映像认证期间，使用任何 VM 产品/服务通用的测试以及下表中列出的 NVA 测试用例来验证作为网络虚拟设备（NVA）的 VM 产品/服务。 这些 NVA 特定验证的目标是验证 NVA 映像与 SDN 堆栈的协调程度。

有关进一步的信息或问题，请提出 Azure 支持案例。

Netcat 概述：

Netcat 是一个能够在两台计算机之间建立 TCP 或 UDP 连接的命令，这意味着它可以写入和读取打开的端口。 在 NVA 验证期间，我们从与 NVA VM 位于同一虚拟网络中的 VM 执行 Netcat 命令，以测试 TCP 端口 22 是否可访问。 命令语法 nc <destination_ip_address> <destination_port>，其中

• destination_ip_address 是分配给 VM NIC 的专用 IP 地址，
• destination_port 是 NVA 上的端口号。 我们在 NVA 测试用例中使用 22 个。

例如，nc 192.168.1.1 22

发布者可以请求 VM 认证期间执行的一些测试的异常。 当发布者提供证据来支持请求时，极少数情况下会提供异常。 认证团队随时保留拒绝或批准例外的权利。

本部分介绍发布者请求异常以及如何请求异常的一般方案。

异常方案

发布者通常会在以下情况下请求异常：

• 一个或多个测试用例的异常。 请联系合作伙伴中心支持 请求测试用例的例外。

• 锁定的 VM/无根访问。 一些发布者有需要锁定的 VM 的方案，因为它们有安装在 VM 上的防火墙等软件。 在这种情况下，请下载 认证测试工具 并在 合作伙伴中心支持提交报告。

• 自定义模板。 某些发布者发布需要自定义 Azure 资源管理器 （ARM） 模板来部署 VM 的 VM 映像。 在这种情况下，请在 合作伙伴中心支持提交自定义模板， 供认证团队进行验证。

为异常方案提供的信息

请联系 合作伙伴中心支持人员 请求其中一种方案的例外，并包含以下信息：

• 发布服务器 ID。 键入合作伙伴中心门户发布者 ID。

• 产品/服务 ID/名称。 输入产品/服务 ID 或名称。

• SKU/计划 ID。 键入 VM 套餐计划 ID 或 SKU。

• 版本。 输入需要异常的 VM 产品/服务版本。

• 异常类型。 从测试、锁定的 VM 或自定义模板中进行选择。

• 请求的原因。 包括异常请求的原因，以及有关测试豁免的任何信息。

• 时间线。 输入异常的结束日期。

• 附件。 附加的重要证据文档：

  • 对于锁定的 VM，请附加测试报告。
  • 对于自定义模板，请以附件的形式提供自定义 ARM 模板。

  如果无法包含这些附件，则请求被拒绝。

本部分介绍如何在使用某个 VM 映像发现漏洞或攻击时提供新的 VM 映像。 它仅适用于发布到 Azure 市场的 Azure VM 产品/服务。

执行以下操作之一：

• 如果有新的 VM 映像来替换易受攻击的 VM 映像，请参阅 提供固定的 VM 映像。
• 如果没有新的 VM 映像来替换计划中的唯一 VM 映像，或者已完成计划，停止分发计划。
• 如果不打算替换产品/服务中唯一的 VM 映像，建议 停止分发产品/服务。

提供固定的 VM 映像

若要提供固定的 VM 映像来替换存在漏洞或攻击的 VM 映像，

1. 提供新的 VM 映像以解决安全漏洞或漏洞。
2. 删除具有安全漏洞或攻击的 VM 映像。
3. 重新发布产品/服务。

提供新的 VM 映像以解决安全漏洞或攻击

若要完成这些步骤，请为要添加的 VM 映像准备技术资产。 有关详细信息，请参阅 使用已批准的基础 创建虚拟机，或 使用自己的映像 创建虚拟机，为 VM 映像生成 SAS URI。

1. 登录到 合作伙伴中心。

2. 在主页上，选择 市场产品/服务 磁贴。

3. 在 产品/服务别名 列中，选择产品/服务。

4. 选择 计划概述 选项卡，然后选择相应的计划。

5. 在“技术配置”选项卡上的 VM 映像下，选择“+ 添加 VM 映像。

   注意

   一次只能将一个 VM 映像添加到一个计划。 若要添加多个 VM 映像，请在添加下一个 VM 映像之前发布第一个映像。

6. 在显示的框中，提供新的磁盘版本和虚拟机映像。

7. 选择 保存草稿。

接下来，删除具有安全漏洞的 VM 映像。

删除具有安全漏洞或攻击的 VM 映像

1. 登录到 合作伙伴中心。
2. 在主页上，选择 市场产品/服务 磁贴。
3. 在 产品/服务别名 列中，选择产品/服务。
4. 选择 计划概述 选项卡，然后选择相应的计划。
5. 在“技术配置”选项卡上的“VM 映像”下，选择要删除的 VM 映像旁边的 删除 VM 映像。
6. 在对话框中，选择 继续。
7. 选择 保存草稿。

接下来，重新发布产品/服务。

重新发布产品/服务

1. 选择 审阅并发布。
2. 如果需要向认证团队提供任何信息，请将其添加到 认证说明 框中。
3. 选择 发布。

若要完成发布过程，请参阅 查看和发布产品/服务。

本部分介绍如何在使用某个 VM 映像发现与 TLS 相关的漏洞时提供新的 VM 映像。 它仅适用于发布到 Azure 市场的 Azure VM 产品/服务。

修正步骤

若要解决这些漏洞，请执行以下步骤：

禁用 TLS 1.0 和 1.1 协议的使用，并确保 VM 映像支持 TLS 1.2 或更高版本。 这可以通过在 VM 映像中设置相应的注册表项或配置设置来实现。

对于 Linux，请使用以下命令手动测试并确保禁用这些版本：

• TLS 1.0 ：

  openssl s_client -connect ip:port -tls1
  

• TLS 1.1 ：

  openssl s_client -connect ip:port -tls1_1
  

对于 Windows，请参阅官方 TLS 注册表设置文档 更新注册表项。 使用以下 PowerShell 命令配置 TLS 设置：

启用更高版本（可选）

如果要启用更高版本（例如 TLS 1.3），请使用这些版本的相应路径和值重复前面的步骤。

具有有限访问权限或需要自定义模板的 VM 映像

锁定 （或） SSH 禁用的产品/服务

使用 SSH 禁用（适用于 Linux）或 RDP 禁用（对于 Windows）发布的映像被视为锁定的 VM。 有一些特殊的业务方案，因为发布者只允许对少数用户进行受限访问。

在验证检查期间，锁定的 VM 可能不允许执行某些认证命令。

自定义模板

一般情况下，在单个 VM 产品/服务下发布的所有映像都遵循标准 ARM 模板进行部署。 但是，在某些情况下，发布者可能需要在部署 VM 时进行自定义（例如，要配置的多个 NIC）。

根据以下方案（非exhaustive），发布者使用自定义模板来部署 VM：

• VM 需要额外的网络子网。
• 要插入 ARM 模板的更多元数据。
• 执行 ARM 模板所必备的命令。

VM 扩展

Azure 虚拟机（VM）扩展是小型应用程序，用于在 Azure VM 上提供部署后配置和自动化任务。 例如，如果虚拟机需要软件安装、防病毒保护或在其中运行脚本，则可以使用 VM 扩展。

Linux VM 扩展验证需要满足以下条件才能成为映像的一部分：

• 必须安装 受支持的最低版本 Azure Linux 代理或更高版本。
• 高于 2.6+ 的 Python 版本

有关详细信息，请参阅 VM 扩展。

验证图像完整性

如果要创建映像并从映像中创建光盘以验证映像的完整性，则保留前 1 MB 用于优化性能，最后 512 个字节是为 VHD 页脚保留的。 因此，在验证映像的完整性时忽略它们。

相关内容

• 配置 VM 产品/服务属性
• 活动市场奖励
• 如果有改进问题或反馈，请联系 合作伙伴中心支持人员