Problembehandlung für kundenseitig verwaltete Schlüssel

Dieser Artikel ist der vierte Teil einer vierteiligen Tutorialserie. Im ersten Teil erhalten Sie eine Übersicht über kundenseitig verwaltete Schlüssel, ihre Features und die Überlegungen, die Sie anstellen sollten, bevor Sie solche Schlüssel in Ihrer Registry aktivieren. Im zweiten Teil erfahren Sie, wie Sie kundenseitig verwaltete Schlüssel mithilfe der Azure CLI, mit dem Azure-Portal oder einer Azure Resource Manager-Vorlage aktivieren. Im dritten Teil erfahren Sie, wie Sie einen kundenseitig verwalteten Schlüssel rotieren, aktualisieren und widerrufen. Dieser Artikel hilft Ihnen beim Beheben häufiger Probleme mit kundenseitig verwalteten Schlüsseln.

Fehler beim Entfernen einer verwalteten Identität

Wenn Sie versuchen, eine benutzerseitig oder systemseitig zugewiesene verwaltete Identität zu entfernen, die Sie zur Konfiguration der Verschlüsselung für Ihre Registry verwendet haben, wird möglicherweise ein Fehler angezeigt:

Azure resource '/subscriptions/xxxx/resourcegroups/myGroup/providers/Microsoft.ContainerRegistry/registries/myRegistry' does not have access to identity 'xxxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx' Try forcibly adding the identity to the registry <registry name>. For more information on bring your own key, please visit 'https://aka.ms/acr/cmk'.

Sie können den Verschlüsselungsschlüssel nicht ändern (rotieren). Die Lösungsschritte hängen davon ab, welche Art von Identität Sie zur Verschlüsselung verwendet haben.

Entfernen einer vom Benutzer zugewiesenen Identität

Wenn Sie den Fehler beim Entfernen einer benutzerseitig zugewiesenen Identität erhalten, führen Sie die folgenden Schritte aus:

  1. Weisen Sie die benutzerseitig zugewiesene Identität mithilfe des Befehls az acr identity assign neu zu.

  2. Übergeben Sie die Ressourcen-ID der benutzerseitig zugewiesenen Identität, oder verwenden Sie den Namen der Identität, wenn sie sich in derselben Ressourcengruppe wie die Registry befindet.

    Zum Beispiel:

    az acr identity assign -n myRegistry \
    --identities "/subscriptions/mysubscription/resourcegroups/myresourcegroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/myidentity"

  3. Ändern Sie den Schlüssel, und weisen Sie eine andere Identität zu.

  4. Jetzt können Sie die ursprüngliche, benutzerseitig zugewiesene Identität entfernen.

Entfernen einer systemseitig zugewiesenen Identität

Wenn der Fehler auftritt, während Sie versuchen, eine systemseitig zugewiesene Identität zu entfernen, erstellen Sie ein Azure-Support Ticket zur Unterstützung beim Wiederherstellen der Identität.

Fehler, nachdem Sie eine Schlüsselspeicherfirewall aktiviert haben

Wenn Sie nach dem Erstellen einer verschlüsselten Registrierung eine Firewall für Key Vault oder verwaltete HSM, ein virtuelles Netzwerk oder einen privaten Endpunkt aktivieren, wird möglicherweise HTTP 403 oder andere Fehler mit Imageimport oder automatisierter Schlüsseldrehung angezeigt. Stellen Sie sicher, dass die Netzwerkkonfiguration des Schlüsselspeichers es Azure Container Registry ermöglicht, den Schlüssel zu erreichen. Informationen zu verwalteten HSM-Netzwerkoptionen finden Sie unter Netzwerksicherheit für verwaltetes HSM.

Wenn Azure Container Registry auf das verwaltete HSM zugreifen kann, die Portalschlüsselauswahl jedoch keine Schlüssel auflisten kann, stellen Sie sicher, dass sich Ihr Client innerhalb der konfigurierten Netzwerkgrenze befindet oder Sie Schlüssel-URI eingeben verwenden. Die Umgehung vertrauenswürdiger Dienste gewährt Portalclients keinen Zugriff über die Firewall des verwalteten HSM.

Nachdem Sie die Netzwerkkonfiguration korrigiert haben, konfigurieren Sie die verwaltete Identität und den Schlüssel neu, die Sie ursprünglich für die Verschlüsselung verwendet haben. Folgen Sie den Schritten in Rotieren eines kundenseitig verwalteten Schlüssels.

Sollte das Problem weiterhin bestehen, wenden Sie sich an den Azure-Support.

Fehler beim Verwenden eines verwalteten HSM-Schlüssels

Überprüfen Sie die folgenden Anforderungen, wenn die Erstellung von Registrierungen, Schlüsselrotation oder Imagevorgänge fehlschlagen, wenn der Verschlüsselungsschlüssel im verwaltetem HSM gespeichert wird:

  • Das verwaltete HSM wird bereitgestellt und aktiviert. Vorgänge auf Datenebene, einschließlich Schlüsselerstellung und Rollenzuweisung, sind erst verfügbar, wenn die Aktivierung abgeschlossen ist.
  • Der Schlüssel ist ein RSA-HSM-Schlüssel, der die wrapKey- und unwrapKey-Vorgänge unterstützt.
  • Die verwaltete Identität der Registrierung verfügt über die lokale RBAC-Rolle " Managed HSM Crypto Service Encryption User ". Weisen Sie nach dem Prinzip der geringsten Rechte die Rolle bei /keys/<key-name> zu.
  • Der Schlüssel-URI verwendet HTTPS und hat das Format https://<managed-hsm-name>.<managed-hsm-dns-suffix>/keys/<key-name> oder https://<managed-hsm-name>.<managed-hsm-dns-suffix>/keys/<key-name>/<version>.
  • Der URI identifiziert einen Schlüssel. URIs für Geheimnisse, Zertifikate oder andere Managed HSM-Objektpfade werden nicht unterstützt.

Um die Rollenzuweisung für einen bestimmten Schlüssel zu überprüfen, führen Sie Folgendes aus:

az keyvault role assignment list \
  --hsm-name <managed-hsm-name> \
  --assignee-object-id <identity-principal-id> \
  --role "Managed HSM Crypto Service Encryption User" \
  --scope /keys/<key-name>

Verwaltete LOKALE HSM-RBAC-Änderungen können mehrere Minuten dauern, bis sie übernommen werden. Wenn die Rollenzuweisung korrekt ist, die Überprüfung aber trotzdem fehlschlägt, warten Sie auf die Verteilung, und wiederholen Sie den Registrierungsvorgang.

Fehler beim Ablauf der Identität

Die einer Registrierung zugeordnete Identität ist auf die automatische Verlängerung festgelegt, damit sie nicht abläuft. Wenn Sie die Zuordnung zwischen einer Identität und einer Registrierung aufheben, wird eine Fehlermeldung angezeigt, in der erklärt wird, dass Sie die für CMK verwendete Identität nicht entfernen können. Der Versuch, die Identity zu entfernen, gefährdet die automatische Erneuerung der Identity. Die Artefakt-Pull-/Push-Vorgänge funktionieren, bis die Identität abläuft (in der Regel nach drei Monaten). Nach Ablauf der Identität wird ein HTTP 403-Fehler mit der folgenden Fehlermeldung angezeigt: „Die der Registrierung zugeordnete Identität ist inaktiv. Dies kann auf den Versuch zurückzuführen sein, die Identität zu entfernen. Weisen Sie die Kennung manuell neu zu.

Sie müssen die Identität explizit wieder der Registrierungsdatenbank zuweisen.

  1. Führen Sie den Befehl az acr identity assign aus, um die Identität manuell neu zuzuweisen.

    • Zum Beispiel,
    az acr identity assign -n myRegistry \
--identities "/subscriptions/mysubscription/resourcegroups/myresourcegroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/myidentity"

Versehentliches Löschen eines Schlüsselspeichers oder Schlüssels

Das Löschen der Key Vault- oder verwalteten HSM-Ressource oder des Schlüssels, den Sie zum Verschlüsseln einer Registrierung verwenden, macht den Inhalt der Registrierung unzugänglich. Wenn Sie das vorläufige Löschen im Schlüsseltresor aktivieren, können Sie einen gelöschten Tresor oder ein Schlüsseltresorobjekt wiederherstellen und Registrierungsvorgänge fortsetzen. Verwaltetes HSM unterstützt auch die Wiederherstellung nach dem vorläufigen Löschen, aber es entstehen weiterhin Gebühren, während es sich in einem vorläufig gelöschten Zustand befindet.

Die Azure Policy-Korrektur schlägt bei einer Registrierung mit kundenseitig verwaltetem Schlüssel fehl

Eine Azure Policy-Zuweisung mit einem „Modify“-Effekt (z. B. der integrierten Richtlinie Configure container registries to disable ARM audience token authentication.) kann bei der automatischen Korrektur einer Containerregistrierung fehlschlagen, die mit einem kundenseitig verwalteten Schlüssel verschlüsselt ist. Die Problembehebungsaufgabe schlägt fehl, und die Registrierungsdatenbank bleibt nicht konform. Die Bereitstellung zur Problembehebung meldet einen BadRequest Fehler ähnlich dem folgenden:

Invalid encryption key vault property specified for registry <registry-name>. Property Identity and KeyIdentifier must be set when encryption is enabled. For more information on customer-managed keys, please visit 'https://aka.ms/acr/cmk'.

Dieser Fehler ist eine bekannte Einschränkung: Die automatische Modify-Korrektur wird derzeit nicht für Registrys unterstützt, die mit einem vom Kunden verwalteten Schlüssel verschlüsselt sind. Die Korrektur kann die Einstellungen für den geschützten Schlüsseltresor nicht beibehalten, wenn sie die Registrierungskonfiguration erneut übermittelt, sodass die Registrierung das Update mit dem vorherigen Fehler ablehnt und nicht konform bleibt.

Um die Registrierungsdatenbank in Compliance zu bringen, legen Sie die Eigenschaft fest, auf die die Richtlinie direkt abzielt, anstatt sich auf die automatische Korrektur zu verlassen. Wenn Sie die Eigenschaft direkt festlegen, ändert sich nur diese Einstellung, und die Verschlüsselungskonfiguration bleibt unverändert, sodass die Registrierung das Update akzeptiert. Verwenden Sie den Befehl, der der Richtlinie entspricht, die Sie beheben.

Führen Sie für die Configure container registries to disable ARM audience token authentication. Richtlinie Folgendes aus:

az acr config authentication-as-arm update \
    -r myregistry \
    --resource-group myResourceGroup \
    --status disabled

Nachdem Sie den Befehl ausgeführt haben, lösen Sie einen Richtliniencompliancescan aus, oder warten Sie auf die nächste Auswertung. Die Registrierung wird dann als konform gemeldet. Die Aufgabe zur automatischen Behebung zeigt möglicherweise weiterhin den Status Fehlgeschlagen für Registrierungen an, die mit einem vom Kunden verwalteten Schlüssel verschlüsselt sind. Dieser Status wirkt sich nicht auf die Compliance der Registrierungsdatenbank aus, nachdem Sie die Eigenschaft direkt festgelegt haben.

Nächste Schritte

Informationen zu Lösch- und Wiederherstellungsszenarien finden Sie unter:

  • Zuletzt aktualisiert um