Risolvere i problemi di registrazione di Azure Stack HCI

Si applica a: Locale di Azure, versione 22H2

Per risolvere i problemi di registrazione di Azure Stack HCI è necessario esaminare sia i log di registrazione di PowerShell che i log di debug hcisvc da ogni server del cluster.

Raccogliere i log di registrazione di PowerShell

Quando vengono eseguiti i Register-AzStackHCI cmdlet e Unregister-AzStackHCI , i file di log denominati RegisterHCI_{aaaammdd-hhss}.log e UnregisterHCI_{yyyymmdd-hhss}.log vengono creati per ogni tentativo. È possibile impostare la directory di log per questi file di log usando il -LogsDirectory parametro nel Register-AzStackHCI cmdlet e chiamare Get-AzStackHCILogsDirectory per ottenere il percorso. Per impostazione predefinita, questi file vengono creati in C:\ProgramData\AzureStackHCI\Registration. Per il modulo PowerShell versione 2.1.2 o precedente, questi file vengono creati nella directory di lavoro della sessione di PowerShell in cui vengono eseguiti i cmdlet.

Per impostazione predefinita, i log di debug non sono inclusi. Se si verifica un problema che richiede i log di debug aggiuntivi, impostare la preferenza di debug su Continua eseguendo il cmdlet seguente prima di eseguire Register-AzStackHCI o Unregister-AzStackHCI:

$DebugPreference = 'Continue'

Raccogliere i log hcisvc locali

Per abilitare i log di debug per hcisvc, eseguire il comando seguente in PowerShell in ogni server del cluster:

wevtutil.exe sl /q /e:true Microsoft-AzureStack-HCI/Debug

Per ottenere i log:

Get-WinEvent -Logname Microsoft-AzureStack-HCI/Debug -Oldest -ErrorAction Ignore

Impossibile eseguire la registrazione. Impossibile generare un certificato autofirmato nei nodi {Node1,Node2}. Non è stato possibile impostare e verificare il certificato di registrazione nei nodi {Node1,Node2}

Spiegazione dello stato di errore:

Durante la registrazione, ogni server nel cluster deve essere operativo con connettività Internet in uscita ad Azure. Il cmdlet Register-AzStackHCI comunica a ogni server del cluster per effettuare il provisioning dei certificati. Ogni server usa il certificato per effettuare una chiamata API ai servizi HCI nel cloud per convalidare la registrazione.

Se la registrazione non riesce, potrebbe essere visualizzato il messaggio seguente: Impossibile eseguire la registrazione. Impossibile generare un certificato autofirmato nei nodi {Node1,Node2}. Non è stato possibile impostare e verificare il certificato di registrazione nei nodi {Node1,Node2}

Se sono presenti nomi di nodo dopo che non è stato possibile generare un certificato autofirmato nei nodi del messaggio di errore, il sistema non è riuscito a generare il certificato in tali server.

Azione di correzione:

1. Verificare che ogni server elencato nel messaggio precedente sia attivo e in esecuzione. È possibile controllare lo stato di hcisvc eseguendolo sc.exe query hcisvc e avviandolo se necessario con start-service hcisvc.

2. Verificare che ogni server elencato nel messaggio di errore disponga della connettività al computer in cui viene eseguito il Register-AzStackHCI cmdlet. Verificare questa operazione eseguendo il cmdlet seguente dal computer in cui Register-AzStackHCI viene eseguito, usando New-PSSession per connettersi a ogni server nel cluster e assicurarsi che funzioni:

   New-PSSession -ComputerName {failing nodes}
   

Se sono presenti nomi di nodo dopo che non è stato possibile impostare e verificare il certificato di registrazione nei nodi del messaggio di errore, il servizio è stato in grado di generare il certificato nei server, ma i server non sono stati in grado di chiamare correttamente l'API del servizio cloud HCI. Per risolvere il problema:

1. Assicurarsi che ogni server disponga della connettività Internet necessaria per comunicare con i servizi cloud di Azure Stack HCI e altri servizi di Azure necessari, ad esempio Microsoft Entra ID, e che non venga bloccato dai firewall. Vedere Requisiti del firewall per Azure Stack HCI.

2. Provare a eseguire il Invoke-AzStackHciConnectivityValidation cmdlet dal modulo AzStackHCI.EnvironmentChecker e assicurarsi che abbia esito positivo. Questo cmdlet richiama l'endpoint di integrità dei servizi cloud HCI per testare la connettività.

3. Esaminare i log di debug hcisvc in ogni nodo elencato nel messaggio di errore.

   • È possibile che il messaggio ExecuteWithRetry operation AADTokenFetch non sia riuscito con un errore riprovabile prima che si verifichi un errore con l'operazione ExecuteWithRetry AADTokenFetch non riuscita dopo che tutte le ripetizioni o l'operazione ExecuteWithRetry AADTokenFetch hanno avuto esito positivo nel tentativo.
   • Se si verifica un'operazione ExecuteWithRetry AADTokenFetch non riuscita dopo tutti i tentativi nei log, il sistema non è riuscito a recuperare il token di Microsoft Entra dal servizio anche dopo tutti i tentativi. È presente un'eccezione Microsoft Entra associata registrata con questo messaggio.
   • Se viene visualizzato AADSTS700027: l'asserzione client contiene una firma non valida. [Motivo : la chiave usata è scaduta. Identificazione personale della chiave usata dal client: '{SomeThumbprint}', Chiave trovata 'Start=06/29/2021 21:13:15, End=06/29/2023 21:13:15', si tratta di un problema relativo alla modalità di impostazione dell'ora nel server. Controllare l'ora UTC in tutti i server eseguendo [System.DateTime]::UtcNow in PowerShell e confrontarla con l'ora UTC effettiva. Se l'ora non è corretta, impostare i tempi corretti nei server e riprovare a eseguire la registrazione.

L'eliminazione della risorsa HCI dal portale e la ripetizione della registrazione dello stesso cluster causa problemi

Spiegazione dello stato di errore:

Se la risorsa cluster Azure Sack HCI è stata eliminata in modo esplicito dalla portale di Azure senza prima annullare la registrazione del cluster da Windows Admin Center o PowerShell, l'eliminazione di una risorsa di Azure Resource Manager HCI direttamente dal portale comporta uno stato di risorsa cluster non valido. L'annullamento della registrazione deve essere sempre attivato dall'interno del cluster HCI usando il Unregister-AzStackHCI cmdlet per un'annullamento della registrazione pulita. Questa sezione descrive i passaggi di pulizia per gli scenari in cui la risorsa cluster HCI è stata eliminata dal portale.

Azione di correzione:

1. Accedere al server cluster HCI locale usando le credenziali utente del cluster.
2. Eseguire il Unregister-AzStackHCI cmdlet nel cluster per pulire lo stato di registrazione del cluster e lo stato arc del cluster.
   • Se la registrazione ha esito positivo, passare a Microsoft Entra ID > Registrazioni app (Tutte le applicazioni) e cercare il nome corrispondente clusterName e clusterName.arc. Eliminare i due ID app, se esistenti.
   • Se l'annullamento della registrazione ha esito negativo e viene visualizzato l'errore ERROR: Non è stato possibile disabilitare l'integrazione di Azure Arc nel <nome> del nodo, provare a eseguire il Disable-AzureStackHCIArcIntegration cmdlet nel nodo. Se il nodo si trova in uno stato in cui Disable-AzureStackHCIArcIntegration non è possibile eseguire, rimuovere il nodo dal cluster e provare a eseguire di nuovo il Unregister-AzStackHCI cmdlet. Accedere a ogni singolo nodo:
     1. Passare alla directory in cui è installato l'agente Arc: cd 'C:\Program Files\AzureConnectedMachineAgent\'.
     2. Ottenere lo stato in arcmagent.exe e determinare il gruppo di risorse di Azure in cui è proiettato: .\azcmagent.exe show. L'output per questo comando mostra le informazioni sul gruppo di risorse.
     3. Forzare la disconnessione dell'agente Arc dal nodo: .\azcmagent.exe disconnect --force-local-only.
     4. Accedere al portale di Azure ed eliminare la risorsa Arc-for-Server dal gruppo di risorse determinato nel passaggio ii.

L'utente ha eliminato gli ID app per errore

Spiegazione dello stato di errore:

Se il cluster è disconnesso per più di 8 ore, è possibile che le registrazioni dell'app Microsoft Entra associate che rappresentano il cluster HCI e le registrazioni Arc siano state eliminate accidentalmente. Per il corretto funzionamento dei cluster HCI e degli scenari Arc, vengono create due registrazioni dell'app nel tenant durante la registrazione.

• Se l'ID <clustername> app viene eliminato, la risorsa cluster Connessione di Azure nella portale di Azure visualizza Disconnesso - Cluster non connesso per più di 8 ore. Esaminare i log di debug di HCIsvc nel nodo: il messaggio di errore è Application with identifier '<ID>' was not found in the directory 'Default Directory'. Ciò può verificarsi se l'applicazione non è stata installata dall'amministratore del tenant o ha acconsentito a qualsiasi utente nel tenant. È possibile che la richiesta di autenticazione sia stata inviata al tenant errato.
• Se <clustername>.arc creato durante l'abilitazione di Arc viene eliminato, non vengono visualizzati errori durante il normale funzionamento. Questa identità è necessaria solo durante i processi di registrazione e annullamento della registrazione. In questo scenario, l'annullamento della registrazione ha esito negativo e l'errore Non è stato possibile disabilitare l'integrazione di Azure Arc in Node Node <Name>. Provare a eseguire il cmdlet Disable-AzureStackHCIArcIntegration nel nodo. Se il nodo si trova in uno stato in cui non è stato possibile eseguire il cmdlet Disable-AzureStackHCIArcIntegration, rimuovere il nodo dal cluster e provare a eseguire di nuovo il cmdlet Unregister-AzStackHCI.

L'eliminazione di una di queste applicazioni comporta un errore di comunicazione dal cluster HCI al cloud.

Azione di correzione:

• Se viene eliminato solo <clustername> AppId , eseguire una registrazione di ripristino nel cluster per configurare le applicazioni Microsoft Entra:

  Register-AzStackHCI  -SubscriptionId "<subscription_ID>" -ComputerName Server1 -RepairRegistration
  

  Il ripristino della registrazione ricrea le applicazioni Microsoft Entra necessarie mantenendo al tempo stesso altre informazioni, ad esempio il nome della risorsa, il gruppo di risorse e altre opzioni di registrazione.

• Se l'ID <clustername>.arc app viene eliminato, non viene visualizzato alcun errore nei log. L'annullamento della registrazione ha esito negativo se <clustername>.arc viene eliminato. Se la registrazione non riesce, seguire la stessa azione di correzione descritta in questa sezione.

Errore non valido per i criteri

Spiegazione dello stato di errore:

Se un cluster registrato in precedenza mostra lo stato OutOfPolicy, le modifiche apportate alla configurazione di sistema potrebbero causare l'interruzione dei criteri dello stato di registrazione di Azure Stack HCI.

Ad esempio, le modifiche di sistema possono includere, ma non sono limitate a:

• Disattivazione dei conflitti delle impostazioni di avvio sicuro nel nodo registrato.
• Cancellazione del modulo TPM (Trusted Platform Module).
• Modifica significativa dell'ora di sistema.

Quali messaggi di ID evento "OutOfPolicy" potrebbero essere visualizzati durante la registrazione?

Esistono tre tipi di messaggi ID evento: informativo, avvisi ed errori.

I messaggi seguenti sono stati aggiornati con Azure Stack HCI 21H2 con KB5010421 e non verranno visualizzati se questa KNOWLEDGE Base non è installata.

ID evento informativo

Messaggi ID evento informativi che si verificano durante la registrazione. Esaminare e seguire i suggerimenti nel messaggio:

• (Informativo) ID evento 592: "Azure Stack HCI ha avviato una riparazione dei dati. Al momento non è necessaria alcuna ulteriore azione da parte dell'utente."

• (Informativo) ID evento 594: "Azure Stack HCI ha rilevato un errore durante l'accesso ai dati. Per ripristinare, verificare quali nodi sono interessati: se l'intero cluster è OutOfPolicy (eseguire Get-AzureStackHCI) eseguire Unregister-AzStackHCI nel cluster, riavviare e quindi eseguire Register-AzStackHCI. Se solo questo nodo è interessato, rimuovere questo nodo dal cluster, riavviare e attendere il completamento del ripristino, quindi tornare al cluster."

ID evento di avviso

Con i messaggi di avviso, lo stato della registrazione non viene completato. Potrebbe esserci o meno un problema. Prima di eseguire uno o più passaggi per la risoluzione dei problemi, esaminare il messaggio relativo all'ID evento.

(Avviso) ID evento 585: "Azure Stack HCI non è riuscito a rinnovare la licenza da Azure. Per ottenere altri dettagli sull'errore specifico, abilitare il canale eventi Microsoft-AzureStack-HCI/Debug."

ID evento di errore

I messaggi di errore dell'ID evento identificano un errore nel processo di registrazione. Il messaggio di errore fornisce istruzioni su come risolvere l'errore.

• (Errore) ID evento 591: "Azure Stack HCI non è riuscito a connettersi ad Azure. Se si continua a visualizzare questo errore, provare a eseguire Register-AzStackHCI di nuovo con il -RepairRegistration parametro ."

• (Errore) ID evento 594: "Azure Stack HCI ha rilevato un errore durante l'accesso ai dati. Per eseguire il ripristino, verificare quali nodi sono interessati: se l'intero cluster è OutOfPolicy (esecuzione), eseguire Unregister-AzStackHCI Get-AzureStackHCInel cluster, riavviare e quindi eseguire Register-AzStackHCI. Se è interessato solo questo nodo, rimuoverlo dal cluster, riavviare, attendere il completamento del ripristino, quindi riaggiungere il nodo al cluster".

Il cluster e la risorsa Arc in portale di Azure esistono, ma lo stato Get-AzureStackHCI indica "Non ancora" registrato

Spiegazione dello stato di errore:

Questo problema è causato dall'annullamento della registrazione di un cluster HCI con l'ambiente cloud errato o informazioni errate sulla sottoscrizione. Se un utente esegue il Unregister-AzStackHCI cmdlet con parametri o -SubcriptionId non corretti -EnvironmentName per un cluster, lo stato di registrazione del cluster viene rimosso dal cluster locale stesso, ma le risorse cluster e Arc nella portale di Azure saranno ancora presenti nell'ambiente o nella sottoscrizione originale.

Ad esempio:

• Errato -EnvironmentName <value>: il cluster è stato registrato in -EnvironmentName AzureUSGovernment come nell'esempio seguente. Il valore predefinito -EnvironmentName è "Azurecloud". Ad esempio, è stato eseguito:

  Register-AzStackHCI  -SubscriptionId "<subscription_ID>" -EnvironmentName AzureUSGovernment
  

  Tuttavia, è stato eseguito il Unregister-AzStackHCI cmdlet con -EnvironmentName Azurecloud (impostazione predefinita) come indicato di seguito:

  Unregister-AzStackHCI -SubscriptionId "<subscription_ID>"
  

• Errato -SubscriptionId <value>: il cluster è stato registrato nel -SubscriptionId "<subscription_id_1>" modo seguente:

  Register-AzStackHCI  -SubscriptionId "<subscription_id_1>"
  

  Tuttavia, è stato eseguito il Unregister-AzStackHCI cmdlet per un ID sottoscrizione diverso:

  Unregister-AzStackHCI -SubscriptionId "<subscription_id_2>"
  

Azione di correzione:

1. Eliminare le risorse cluster e Arc dal portale.
2. Passare a Microsoft Entra ID > Registrazioni app (Tutte le applicazioni) e cercare il nome corrispondente <clusterName> e <clusterName>.arc, quindi eliminare i due ID app.

L'emissione di Sync-AzureStackHCI immediatamente dopo il riavvio dei nodi del cluster comporta l'eliminazione delle risorse Arc

Spiegazione dello stato di errore:

L'esecuzione di una sincronizzazione del censimento prima della sincronizzazione dei nodi può comportare l'invio della sincronizzazione ad Azure, che non include il nodo. Ciò comporta la rimozione della risorsa Arc per tale nodo. Il Sync-AzureStackHCI cmdlet deve essere usato solo per eseguire il debug della connettività cloud del cluster HCI. Il cluster HCI ha un piccolo tempo di riscaldamento dopo un riavvio per riconciliare lo stato del cluster; pertanto, non eseguire Sync-AzureStackHCI subito dopo il riavvio di un nodo.

Azione di correzione:

1. Nel portale di Azure accedere al nodo visualizzato come Non installato.

2. Disconnettere l'agente Arc usando i due comandi seguenti:

   cd "C:\Program Files\AzureConnectedMachineAgent"
   

   then

   .\azcmagent.exe disconnect --force-local-only
   

3. Ripristinare la registrazione:

   Register-AzStackHCI  -SubscriptionId "<subscription_ID>" -ComputerName Server1  -RepairRegistration
   

4. Dopo l'operazione di ripristino, il nodo torna a uno stato connesso.

La registrazione viene completata correttamente, ma la connessione di Azure Arc nel portale indica Non installato

Scenario 1

Spiegazione dello stato di errore:

Questo problema può verificarsi se il ruolo necessario Azure Connected Machine Resource Manager viene rimosso dal provider di risorse HCI nel gruppo di risorse Arc-for-Server.

È possibile trovare l'autorizzazione nel pannello Controllo di accesso del gruppo di risorse nel portale di Azure. L'immagine seguente mostra l'autorizzazione:

Azione di correzione:

Eseguire il cmdlet di registrazione di ripristino:

Register-AzStackHCI -TenantId "<tenant_ID>" -SubscriptionId "<subscription_ID>" -ComputerName Server1  -RepairRegistration

Scenario 2

Spiegazione dello stato di errore:

Questo messaggio può anche essere dovuto a un problema temporaneo che talvolta si verifica durante l'esecuzione della registrazione di Azure Stack HCI. In questo caso, il Register-AzStackHCI cmdlet visualizza il messaggio di avviso seguente:

Azione di correzione:

Attendere 12 ore dopo la registrazione per la risoluzione automatica del problema.

Scenario 3

Spiegazione dello stato di errore:

Ciò può verificarsi anche quando il proxy non è configurato correttamente per una connessione ai servizi cloud di Azure ARC dai nodi HCI. Nei log dell'agente Arc potrebbe essere visualizzato l'errore seguente:

Azione di correzione:

Per risolvere questo problema, seguire le linee guida per aggiornare le impostazioni proxy. Registrare quindi di nuovo il cluster Azure Stack HCI.

Non è possibile ruotare i certificati in Fairfax e Mooncake

Spiegazione dello stato di errore:

1. Dalla portale di Azure, la risorsa cluster Connessione di Azure visualizza Disconnesso.
2. Esaminare i log di debug di HCIsvc nel nodo. Il messaggio di errore è un'eccezione: AADSTS700027: l'asserzione client non è riuscita a convalidare la firma.
3. L'errore può essere visualizzato anche come RotateRegistrationCertificate non riuscito: Gruppo di destinatari non valido.

Azione di correzione:

Eseguire una registrazione di ripristino nel cluster per aggiungere nuovi certificati nell'applicazione Microsoft Entra:

Register-AzStackHCI  -SubscriptionId "<subscription_ID>" -ComputerName Server1 -RepairRegistration

Il ripristino della registrazione genera nuovi certificati sostitutivi nell'applicazione Microsoft Entra, mantenendo al tempo stesso altre informazioni, ad esempio il nome della risorsa, il gruppo di risorse e altre opzioni di registrazione.

OnPremisesPasswordValidationTimeSkew

Spiegazione dello stato di errore:

La generazione del token Microsoft Entra ha esito negativo con un errore di ora se l'ora del nodo locale è troppo lontana dalla sincronizzazione con l'ora corrente effettiva (UTC). L'ID Microsoft Entra restituisce l'errore seguente:

AADSTS80013: OnPremisesPasswordValidationTimeSkew - Impossibile completare il tentativo di autenticazione a causa di un'asimmetria temporale tra il computer che esegue l'agente di autenticazione e AD. Correggere i problemi di sincronizzazione dell'ora.

Azione di correzione:

Verificare che l'ora sia sincronizzata con un'origine ora nota e accurata.

Impossibile acquisire il token per il tenant con errore

Spiegazione dello stato di errore:

Se l'account utente usato per la registrazione fa parte di più tenant di Microsoft Entra, è necessario specificare -TenantId durante la registrazione del cluster e annullare la registrazione. In caso contrario, l'errore Non è in grado di acquisire il token per il tenant con errore. È necessario usare l'autenticazione a più fattori per accedere al tenant. Eseguire di nuovo Connect-AzAccount con un parametro aggiuntivo -TenantId.

Azione di correzione:

• Per la registrazione del cluster, specificare il -TenantId parametro :

  Register-AzStackHCI  -SubscriptionId "<subscription_ID>" -ComputerName Server1 -TenantId <Tenant_ID>
  

• Per annullare la registrazione, specificare il -TenantId parametro :

  Unregister-AzStackHCI -ComputerName ClusterNode1 -SubscriptionId "<subscription ID GUID>" -ResourceName HCI001 -TenantId <Tenant_ID>
  

Uno o più nodi del cluster non sono in grado di connettersi ad Azure

Spiegazione dello stato di errore:

Questo problema si verifica quando uno o più nodi del cluster hanno problemi di connettività dopo la registrazione e non sono stati in grado di connettersi ad Azure per molto tempo. Anche dopo la risoluzione dei problemi di connettività, i nodi non sono in grado di riconnettersi ad Azure a causa dei certificati scaduti.

Azione di correzione:

1. Accedere al nodo disconnesso.

2. Eseguire Disable-AzureStackHCIArcIntegration.

3. Controllare lo stato dell'integrazione di ARC eseguendo Get-AzureStackHCIArcIntegration e assicurarsi che ora sia "Disabilitato" per il nodo disconnesso:

   

4. Accedere al portale di Azure ed eliminare la risorsa di Azure Resource Manager che rappresenta il server Arc per questo nodo.

5. Accedere di nuovo al nodo disconnesso ed eseguire Enable-AzureStackHCIArcIntegration.

6. Eseguire Sync-AzureStackHCI nel nodo.

Errore del processo durante il tentativo di creazione della macchina virtuale

Spiegazione dello stato di errore:

Se il cluster non è registrato con Azure durante la distribuzione o se il cluster è registrato ma non è connesso ad Azure per più di 30 giorni, il sistema non consentirà la creazione o l'aggiunta di nuove macchine virtuali. Quando si verifica questo problema, viene visualizzato il messaggio di errore seguente quando si tenta di creare macchine virtuali:

There was a failure configuring the virtual machine role for 'vmname'. Job failed. Error opening "vmname" clustered roles. The service being accessed is licensed for a particular number of connections. No more connections can be made to the service at this time because there are already as many connections as the service can accept.

Azione di correzione:

Registrare il cluster HCI con Azure. Per informazioni su come registrare il cluster, vedere le istruzioni nella documentazione di Register-AzStackHCI.

Usare un gruppo di risorse comune per le risorse cluster e Arc-for-Server

Il modulo PowerShell più recente supporta la presenza di un gruppo di risorse comune per le risorse cluster e Arc-for-Server o l'uso di qualsiasi gruppo di risorse preesistente per le risorse Arc-for-Server.

Per i cluster registrati con il modulo PowerShell versione 1.4.1 o precedente, è possibile seguire questa procedura per usare la nuova funzionalità:

1. Annullare la registrazione del cluster eseguendo Unregister-AzStackHCI da uno dei nodi. Vedere Annullare la registrazione di Azure Stack HCI con PowerShell.
2. Installare il modulo PowerShell più recente: Install-Module Az.StackHCI -Force.
3. Eseguire Register-AzStackHCI passando i parametri appropriati per -ResourceGroupName e -ArcForServerResourceGroupName.

Passaggi successivi

• Registrare Windows Admin Center con Azure
• Connettere Azure Stack HCI ad Azure