Rodar segredos no Azure Stack Hub

Girar segredos externos

Esta seção aborda a rotação de certificados usados para proteger serviços externos. Esses certificados são fornecidos pelo Operador do Azure Stack Hub, para os seguintes serviços:

• Portal do administrador
• Portal público
• Administrador Azure Resource Manager
• Global Azure Resource Manager
• Cofre da Chave do Administrador
• Key Vault
• Host de extensão de administrador
• ACS (incluindo armazenamento de blob, tabela e fila)
• ADFS¹
• Gráfico¹
• Registro de contêiner²

1 Aplicável ao usar os Serviços Federados do Ative Directory (ADFS).

2 Aplicável ao usar o Azure Container Registry (ACR).

Preparação

Antes da rotação de segredos externos:

1. Execute o Test-AzureStack cmdlet do PowerShell usando o -group SecretRotationReadiness parâmetro para confirmar se todas as saídas de teste estão íntegras antes de girar segredos.

2. Prepare um novo conjunto de certificados externos de substituição:

   • O novo conjunto deve corresponder às especificações de certificado descritas nos requisitos de certificado PKI do Azure Stack Hub.

   • Gere uma solicitação de assinatura de certificado (CSR) para enviar à sua Autoridade de Certificação (CA). Use as etapas descritas em Gerar solicitações de assinatura de certificado e prepare-as para uso em seu ambiente do Azure Stack Hub usando as etapas em Preparar certificados PKI. O Azure Stack Hub dá suporte à rotação secreta para certificados externos de uma nova Autoridade de Certificação (CA) nos seguintes contextos:

     Girar a partir da autoridade de certificação	Girar para CA	Suporte à versão do Azure Stack Hub
     Autoassinado	Grandes Empresas	1903 & mais tarde
     Autoassinado	Autoassinado	Não suportado
     Autoassinado	Público*	1803 & mais tarde
     Grandes Empresas	Grandes Empresas	1803 e mais tarde; 1803-1903 se a MESMA autoridade de certificação corporativa usada na implantação
     Grandes Empresas	Autoassinado	Não suportado
     Grandes Empresas	Público*	1803 & mais tarde
     Público*	Grandes Empresas	1903 & mais tarde
     Público*	Autoassinado	Não suportado
     Público*	Público*	1803 & mais tarde

     ^*Parte do Programa Raiz Confiável do Windows.

   • Certifique-se de validar os certificados que você prepara com as etapas descritas em Validar certificados PKI

   • Certifique-se de que não há caracteres especiais na senha, como, por exemplo $, ,*,#,@,or)'.

   • Verifique se a criptografia PFX é TripleDES-SHA1. Se você tiver um problema, consulte Corrigir problemas comuns com certificados PKI do Azure Stack Hub.

3. Armazene um backup para os certificados usados para rotação em um local de backup seguro. Se a rotação for executada e, em seguida, falhar, substitua os certificados no compartilhamento de arquivos pelas cópias de backup antes de executar novamente a rotação. Mantenha cópias de backup no local de backup seguro.

4. Crie um compartilhamento de arquivos que você pode acessar a partir das VMs ERCS. O compartilhamento de arquivos deve ser legível e gravável para a identidade do CloudAdmin .

5. Abra um console ISE do PowerShell em um computador onde você tenha acesso ao compartilhamento de arquivos. Navegue até seu compartilhamento de arquivos, onde você cria diretórios para colocar seus certificados externos.

6. Crie uma pasta no compartilhamento de arquivos chamada Certificates. Dentro da pasta de certificados, crie uma subpasta chamada AAD ou ADFS, dependendo do provedor de identidade que seu Hub usa. Por exemplo, .\Certificates\AAD ou .\Certificates\ADFS. Nenhuma outra pasta além da pasta de certificados e da subpasta do provedor de identidade deve ser criada aqui.

7. Copie o novo conjunto de certificados externos de substituição criados na etapa #2 para a pasta .\Certificates\<IdentityProvider> criada na etapa #6. Como mencionado acima, a subpasta do provedor de identidade deve ser AAD ou ADFS. Certifique-se de que os nomes alternativos de entidade (SANs) de seus certificados externos de substituição sigam o cert.<regionName>.<externalFQDN> formato especificado nos requisitos de certificado PKI (infraestrutura de chave pública) do Azure Stack Hub.

   Aqui está um exemplo de uma estrutura de pastas para o provedor de identidade do Microsoft Entra:

       <ShareName>
           │
           └───Certificates
                 └───AAD
                     ├───ACSBlob
                     │       <CertName>.pfx
                     │
                     ├───ACSQueue
                     │       <CertName>.pfx
                     │
                     ├───ACSTable
                     │       <CertName>.pfx
                     │
                     ├───Admin Extension Host
                     │       <CertName>.pfx
                     │
                     ├───Admin Portal
                     │       <CertName>.pfx
                     │
                     ├───ARM Admin
                     │       <CertName>.pfx
                     │
                     ├───ARM Public
                     │       <CertName>.pfx
                     │
                     ├───Container Registry*
                     │       <CertName>.pfx
                     │
                     ├───KeyVault
                     │       <CertName>.pfx
                     │
                     ├───KeyVaultInternal
                     │       <CertName>.pfx
                     │
                     ├───Public Extension Host
                     │       <CertName>.pfx
                     │
                     └───Public Portal
                             <CertName>.pfx
   

^*Aplicável ao usar o Azure Container Registry (ACR) para Microsoft Entra ID e ADFS.

Rotação

Conclua as seguintes etapas para girar segredos externos:

1. Use o seguinte script do PowerShell para girar os segredos. O script requer acesso a uma sessão PEP (Privileged EndPoint). O PEP é acessado por meio de uma sessão remota do PowerShell na máquina virtual (VM) que hospeda o PEP. Se você estiver usando um sistema integrado, há três instâncias do PEP, cada uma em execução dentro de uma VM (Prefix-ERCS01, Prefix-ERCS02 ou Prefix-ERCS03) em hosts diferentes. O script realiza os passos seguintes:

   • Cria uma sessão do PowerShell com o ponto de extremidade privilegiado usando a conta CloudAdmin e armazena a sessão como uma variável. Esta variável é usada como parâmetro na próxima etapa.

   • Executa Invoke-Command, passando a variável de sessão PEP como parâmetro -Session .

   • É executado Start-SecretRotation na sessão PEP, usando os seguintes parâmetros. Para obter mais informações, consulte a referência Start-SecretRotation :

     Parâmetro	Variável	Description
     -PfxFilesPath	$CertSharePath	O caminho de rede para a pasta raiz dos certificados, conforme discutido na etapa #6 da seção Preparação, por exemplo \\<IPAddress>\<ShareName>\Certificates.
     -PathAccessCredential	$CertShareCreds	O objeto PSCredential para credenciais para o compartilhamento.
     -CertificatePassword	$CertPassword	Uma cadeia de caracteres segura da senha usada para todos os arquivos de certificado pfx criados.

   # Create a PEP session
   winrm s winrm/config/client '@{TrustedHosts= "<IP_address_of_ERCS>"}'
   $PEPCreds = Get-Credential
   $PEPSession = New-PSSession -ComputerName <IP_address_of_ERCS_Machine> -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
   
   # Run secret rotation
   $CertPassword = ConvertTo-SecureString '<Cert_Password>' -AsPlainText -Force
   $CertShareCreds = Get-Credential
   $CertSharePath = "<Network_Path_Of_CertShare>"
   Invoke-Command -Session $PEPsession -ScriptBlock {
       param($CertSharePath, $CertPassword, $CertShareCreds )
       Start-SecretRotation -PfxFilesPath $CertSharePath -PathAccessCredential $CertShareCreds -CertificatePassword $CertPassword
   } -ArgumentList ($CertSharePath, $CertPassword, $CertShareCreds)
   Remove-PSSession -Session $PEPSession
   

2. A rotação do segredo externo leva aproximadamente uma hora. Após a conclusão bem-sucedida, o console exibirá uma ActionPlanInstanceID ... CurrentStatus: Completed mensagem, seguida de Action plan finished with status: 'Completed'. Remova seus certificados do compartilhamento criado na seção Preparação e armazene-os em seu local de backup seguro.

   Nota

   Se a rotação secreta falhar, siga as instruções na mensagem de erro e execute Start-SecretRotation novamente com o -ReRun parâmetro.

   Start-SecretRotation -ReRun
   

   Entre em contato com o suporte se ocorrer repetidas falhas de rotação secreta.

3. Opcionalmente, para confirmar que todos os certificados externos foram rotacionados, execute a ferramenta de validação Test-AzureStack usando o seguinte script:

   Test-AzureStack -Include AzsExternalCertificates -DetailedResults -debug
   

As implantações anteriores ao 1811 podem ver alertas para certificados internos pendentes ou expirações secretas. Esses alertas são imprecisos e devem ser ignorados, e são um problema conhecido resolvido em 1811.

1. Atualize o BMC nos servidores físicos do Azure Stack Hub seguindo as instruções do OEM. O nome de usuário e a senha para cada BMC em seu ambiente devem ser os mesmos. Os nomes de usuário da BMC não podem exceder 16 caracteres.

1. Não é mais necessário que você primeiro atualize as credenciais da BMC nos servidores físicos do Azure Stack Hub seguindo as instruções do OEM. O nome de usuário e a senha de cada BMC em seu ambiente devem ser os mesmos e não podem exceder 16 caracteres.

Girar segredos de infraestrutura interna e externa (somente antes de 1811 )

# Create a PEP Session
winrm s winrm/config/client '@{TrustedHosts= "<IP_address_of_ERCS>"}'
$PEPCreds = Get-Credential
$PEPSession = New-PSSession -ComputerName <IP_address_of_ERCS> -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
# Create Credentials for the fileshare
$CertPassword = ConvertTo-SecureString '<CertPasswordHere>' -AsPlainText -Force
$CertShareCreds = Get-Credential
$CertSharePath = "<NetworkPathOfCertShare>"
# Run Secret Rotation
Invoke-Command -Session $PEPSession -ScriptBlock {
    Start-SecretRotation -PfxFilesPath $using:CertSharePath -PathAccessCredential $using:CertShareCreds -CertificatePassword $using:CertPassword
}
Remove-PSSession -Session $PEPSession

Este comando gira os segredos de infraestrutura expostos à rede interna do Azure Stack Hub e os certificados TLS usados para os pontos de extremidade de infraestrutura de rede externa do Azure Stack Hub. Start-SecretRotation gira todos os segredos gerados pela pilha e, como há certificados fornecidos, os certificados de ponto de extremidade externos também serão girados.