Azure Application Gatewayで無効になっているリスナーのトラブルシューティング

概要

この記事では、Azure Application Gatewayの無効なリスナーの概念、発生の背後にある理由、およびそれらを識別して解決する手順について説明します。

Application Gateway のリスナーの SSL/TLS 証明書は、顧客の Azure Key Vault リソースから参照できます。 トランスポート層セキュリティ (TLS) 終了機能の円滑な操作とゲートウェイ リソースの全体的な正常性を確保するために、アプリケーション ゲートウェイは常にこれらのリソース (およびその証明書オブジェクト) にアクセスできる必要があります。

Key Vault リソースへのアクセスを変更または取り消すときは、Application Gateway リソースに対する影響を考慮してください。 アプリケーション ゲートウェイが関連付けられているキー コンテナーにアクセスできない場合、またはその証明書オブジェクトを見つけることができない場合、そのリスナーは自動的に無効な状態になります。

注

このアクションは、構成エラーに対してのみトリガーされます。

お客様の構成ミス (証明書の削除や無効化、Key Vaultのファイアウォールまたはアクセス許可によるアプリケーション ゲートウェイのアクセスの禁止など) により、key vaultベースの HTTPS リスナーが無効になる可能性があります。 一時的な接続の問題はリスナーに影響しません。

無効になっているリスナーは、Application Gateway 上の他の操作リスナーのトラフィックには影響しません。 たとえば、.pfx 証明書ファイルが Application Gateway リソースに直接アップロードされる HTTP リスナーまたは HTTPS リスナーは無効になることはありません。

次の図は、Key Vaultアクセスの問題が原因で影響を受けるリスナーの例を示しています。

影響を受けるリスナーを示す図。

定期的なチェックとそのリスナーへの影響

Application Gateway の定期的なチェックの動作と、キー コンテナー ベースのリスナーの状態への潜在的な影響を理解することは、このような発生を回避したり、より迅速に解決したりするのに役立ちます。

定期的なKey Vaultチェックのしくみ

  1. Application Gateway インスタンスは、キー コンテナー リソースを定期的にポーリングして、新しい証明書バージョンを取得します。
  2. このアクティビティ中に、インスタンスがKey Vault リソースまたは不足している証明書オブジェクトへのアクセスの切断を検出した場合、そのkey vault関連付けられているリスナーは無効状態になります。 インスタンスは、一貫したデータ プレーン動作を提供するために、60 秒以内にリスナーの状態が無効にされた状態で更新されます。
  3. お客様が問題を解決した後、同じ 4 時間の定期的なポーリングによって、Key Vault証明書オブジェクトへのアクセスが検証され、そのゲートウェイのすべてのインスタンスでリスナーが自動的に再有効化されます。

無効化されたリスナーを特定する

  • 次の図に示すように、クライアントが Application Gateway の無効なリスナーに対して要求を行うと、"ERR_SSL_UNRECOGNIZED_NAME_ALERT" というエラーが表示されます。

クライアント エラー ERR_SSL_UNRECOGNIZED_NAME_ALERTのスクリーンショット。

  1. 次の図に示すように、Application Gateway の Resource Health ページを確認することで、ゲートウェイで無効になっているリスナーからクライアント エラーが発生したかどうかを確認できます。

Application Gateway Resource Health ページのユーザー主導のresource health イベントのスクリーンショット。

Key Vault構成エラーを解決する

アカウントのAzure Advisorの推奨事項にアクセスして、正確な原因を絞り込み、問題を解決する手順を見つけることができます。 その手順は次のとおりです。

  1. Azure portal にサインインする
  2. Advisor を選択 します。
  3. メニューから [オペレーショナル エクセレンス] カテゴリを選択します。
  4. Application Gateway の Resolve Azure Key Vaultの問題 という推奨事項を見つけます (ゲートウェイでこの問題が発生している場合にのみ表示されます)。 正しいサブスクリプションが選択されていることを確認します。
  5. これを選択すると、エラーの詳細と関連するKey Vault リソースと、正確な問題を解決するためのトラブルシューティング ガイドが表示されます。

注

Application Gateway リソースが基になる問題が解決されると、無効に設定されているリスナーは自動的に有効になります。 このチェックは 4 時間ごとに行われます。 Application Gateway に対する軽微な変更 ( HTTP 設定、 リソース タグなど) を実行することで、これを迅速化できます。 この変更により、Key Vaultに対するチェックが強制されます。

参考資料

Azure Application Gateway でキー ボールトのエラーをトラブルシューティングする

  • 最終更新: