Risolvere i problemi relativi a una chiave gestita dal cliente

Questo articolo è la quarta parte di una serie di esercitazioni in quattro parti. La prima parte offre una panoramica delle chiavi gestite dal cliente, delle relative funzionalità e delle considerazioni di cui tenere conto prima di abilitarne una nel registry. Nella seconda parte si apprenderà come abilitare una chiave gestita dal cliente tramite l'interfaccia della riga di comando di Azure, il portale di Azure o un modello di Azure Resource Manager. Nella terza parte si apprenderà come eseguire la rotazione, l'aggiornamento e la revoca di una chiave gestita dal cliente. Questo articolo consente di risolvere e correggere i problemi comuni relativi alle chiavi gestite dal cliente.

Errore durante la rimozione di un'identità gestita

Se si tenta di rimuovere un'identità gestita assegnata dall'utente o assegnata dal sistema usata per configurare la crittografia per il registro contenitori, è possibile che venga visualizzato un errore:

Azure resource '/subscriptions/xxxx/resourcegroups/myGroup/providers/Microsoft.ContainerRegistry/registries/myRegistry' does not have access to identity 'xxxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxx' Try forcibly adding the identity to the registry <registry name>. For more information on bring your own key, please visit 'https://aka.ms/acr/cmk'.

Non è possibile modificare (ruotare) la chiave di crittografia. La procedura di risoluzione dipende dal tipo di identità usata per la crittografia.

Rimozione di un’identità assegnata dall’utente

Se viene visualizzato l'errore quando si tenta di rimuovere un'identità assegnata dall'utente, seguire questa procedura:

  1. Riassegnare l'identità assegnata dall'utente con il comando az acr identity assign.

  2. Passare l'ID risorsa dell'identità assegnata dall'utente o usare il nome dell'identità quando si trova nello stesso gruppo di risorse del registro.

    Ad esempio:

    az acr identity assign -n myRegistry \
    --identities "/subscriptions/mysubscription/resourcegroups/myresourcegroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/myidentity"

  3. Modificare la chiave e assegnare un'identità diversa.

  4. È ora possibile rimuovere l'identità originale assegnata dall'utente.

Rimuovere un'identità assegnata dal sistema

Se viene visualizzato l'errore quando si tenta di rimuovere un'identità assegnata dal sistema, creare un ticket di supporto di Azure per richiedere assistenza con il ripristino dell'identità.

Errore dopo aver abilitato un firewall dell'archivio chiavi

Se si abilita un firewall di Key Vault o Managed HSM, una rete virtuale o un endpoint privato dopo la creazione di un registro crittografato, potrebbero verificarsi errori HTTP 403 o altri errori con l'importazione di immagini o la rotazione automatica delle chiavi. Assicurarsi che la configurazione di rete dell'insieme di credenziali consenta a Registro Azure Container di raggiungere la chiave. Per le opzioni di rete di Managed HSM, vedere Sicurezza di rete per Managed HSM.

Se Registro Azure Container può accedere al Managed HSM, ma il selettore di chiavi del portale non può elencare le chiavi, assicurarsi che il client si trovi all'interno del limite di rete configurato o usare Immetti URI della chiave. Il bypass dei servizi attendibili non concede ai client del portale l'accesso tramite il firewall di Managed HSM.

Dopo aver corretto la configurazione di rete, riconfigurare l'identità gestita e la chiave inizialmente usata per la crittografia. Vedere la procedura descritta in Ruotare una chiave gestita dal cliente.

Se il problema persiste, contattare il supporto di Azure.

Errore quando si usa una chiave HSM gestita

Controllare i requisiti seguenti se la creazione del registro, la rotazione delle chiavi o le operazioni sulle immagini hanno esito negativo quando la chiave di crittografia viene archiviata in Managed HSM:

  • Viene effettuato il provisioning e l'attivazione del modulo di protezione hardware gestito. Le operazioni del piano di dati, inclusa la creazione della chiave e l'assegnazione di ruolo, non sono disponibili fino al completamento dell'attivazione.
  • La chiave è una chiave RSA-HSM che supporta le operazioni wrapKey e unwrapKey.
  • L'identità gestita del registro ha il ruolo RBAC locale Utente della crittografia del servizio Crypto HSM gestito. Per il principio del privilegio minimo, assegnare il ruolo a /keys/<key-name>.
  • L'URI della chiave usa HTTPS e ha il formato https://<managed-hsm-name>.<managed-hsm-dns-suffix>/keys/<key-name> o https://<managed-hsm-name>.<managed-hsm-dns-suffix>/keys/<key-name>/<version>.
  • L'URI identifica una chiave. Gli URI per segreti, certificati o altri percorsi di oggetti di Managed HSM non sono supportati.

Per verificare l'assegnazione di ruolo per una chiave specifica, eseguire:

az keyvault role assignment list \
  --hsm-name <managed-hsm-name> \
  --assignee-object-id <identity-principal-id> \
  --role "Managed HSM Crypto Service Encryption User" \
  --scope /keys/<key-name>

La propagazione delle modifiche RBAC locali di Managed HSM può richiedere alcuni minuti. Se l'assegnazione di ruolo è corretta ma la convalida non riesce, attendere la propagazione e ripetere l'operazione del registro.

Errore di scadenza del documento di identità

L'identità associata a un registro è impostata per il rinnovo automatico per evitare che scada. Se si annulla l'associazione di un'identità da un registro, viene visualizzato un messaggio di errore che indica che non è possibile rimuovere l'identità in uso per la chiave gestita dal cliente. Il tentativo di rimuovere l'identità compromette il rinnovo automatico dell'identità. Le operazioni pull/push dell’artefatto funzionano fino alla scadenza dell'identità (in genere tre mesi). Dopo la scadenza delle credenziali dell'identità, verrà visualizzato HTTP 403 con il messaggio di errore "L'identità associata al registro contenitori è inattiva. Ciò potrebbe essere dovuto al tentativo di rimozione dell'identità. Riassegnare l'identità manualmente".

È necessario riassegnare nuovamente l'identità al registro in modo esplicito.

  1. Eseguire il comando az acr identity assign per riassegnare manualmente l'identità.

    • Ad esempio,
    az acr identity assign -n myRegistry \
--identities "/subscriptions/mysubscription/resourcegroups/myresourcegroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/myidentity"

Eliminazione accidentale di un archivio chiavi o di una chiave

L'eliminazione della risorsa Key Vault o HSM gestito o della chiave usata per crittografare un registro rende il contenuto del registro inaccessibile. Se si abilita l'eliminazione temporanea in un insieme di credenziali, è possibile ripristinare l'insieme di credenziali eliminato o l'oggetto dell'insieme di credenziali e riprendere le operazioni del registro. Managed HSM supporta anche il ripristino dopo l'eliminazione temporanea, ma continua a comportare costi mentre è in uno stato di eliminazione temporanea.

La correzione di Criteri di Azure non riesce in un registro con chiave gestita dal cliente

Un'assegnazione di Criteri di Azure con un effetto Modifica (ad esempio, il criterio Configure container registries to disable ARM audience token authentication.predefinito) può non riuscire a correggere automaticamente un registro crittografato con una chiave gestita dal cliente. L'attività di correzione non riesce e il Registro di sistema rimane non conforme. La distribuzione della correzione segnala un BadRequest errore simile al seguente:

Invalid encryption key vault property specified for registry <registry-name>. Property Identity and KeyIdentifier must be set when encryption is enabled. For more information on customer-managed keys, please visit 'https://aka.ms/acr/cmk'.

Questo errore è una limitazione nota: la correzione automatica Modifica non è attualmente supportata nei registri crittografati con una chiave gestita dal cliente. La correzione non può mantenere le impostazioni protette di Key Vault quando invia di nuovo la configurazione del registro, pertanto il registro rifiuta l'aggiornamento con l'errore precedente e rimane non conforme.

Per garantire la conformità del registro, impostare direttamente la proprietà a cui il criterio è destinato anziché basarsi sulla correzione automatica. Impostando direttamente la proprietà si modifica solo quell'impostazione e si lascia invariata la configurazione della crittografia, in modo che il registro accetti l'aggiornamento. Usare il comando che corrisponde al criterio che si sta correggendo.

Per il criterio Configure container registries to disable ARM audience token authentication., eseguire:

az acr config authentication-as-arm update \
    -r myregistry \
    --resource-group myResourceGroup \
    --status disabled

Dopo aver eseguito il comando, attivare un'analisi di conformità dei criteri o attendere la valutazione successiva. Il registro risulta quindi conforme. L'attività di correzione automatica potrebbe comunque mostrare lo stato Non riuscito per i registry crittografati con una chiave gestita dal cliente. Questo stato non influisce sulla conformità del Registro di sistema dopo aver impostato direttamente la proprietà.

Passaggi successivi

Per scenari di eliminazione e ripristino, vedere:

  • Ultimo aggiornamento: