Felsöka vanliga nyckelvalvsfel i Azure Application Gateway

Sammanfattning

Den här artikeln beskriver hur du felsöker vanliga nyckelvalvsfel i Azure Application Gateway och löser felkonfigurationer som kan störa certifikathantering och säkra HTTPS-anslutningar.

Med Application Gateway kan du lagra TLS-certifikat på ett säkert sätt i Azure Key Vault. När du använder en nyckelvalvsresurs är det viktigt att gatewayen alltid har åtkomst till det länkade nyckelvalvet. Om Application Gateway inte kan hämta certifikatet inaktiveras de associerade HTTPS-lyssnarna. Mer information finns i Förstå inaktiverade lyssnare.

Tips/Råd

Använd en hemlig identifierare som inte anger någon version. Med hjälp av den här identifieraren roterar Azure Application Gateway automatiskt certifikatet om en nyare version är tillgänglig i Azure Key Vault. Ett exempel på en hemlig URI (Uniform Resource Identifier) utan version är: https://myvault.vault.azure.net/secrets/mysecret/.

Azure Advisor felkoder

I följande avsnitt beskrivs de olika fel som kan uppstå. Om du vill kontrollera om din gateway har något av dessa problem går du till Azure Advisor för ditt konto. Lös problemet med hjälp av den här felsökningsartikeln. Konfigurera Azure Advisor-aviseringar för att hålla dig informerad när ett nyckelvalvsproblem identifieras för din gateway.

Anmärkning

Application Gateway genererar loggar för key vault-diagnostik var fjärde timme. Om diagnostiken fortsätter att visa felet när du har korrigerat konfigurationen kan du behöva vänta tills loggarna har uppdaterats.

Felkod – "UserAssignedIdentityDoesNotHaveGetPermissionOnKeyVault"

Description

Den associerade användartilldelade hanterade identiteten har inte den behörighet som krävs.

Lösning

Konfigurera åtkomstprinciperna för ditt Key Vault så att den användartilldelade hanterade identiteten får behörighet för hemligheter. Du kan göra detta på något av följande två sätt:

Åtkomstpolicy för valv

  1. I Azure-portalen går du till det länkade nyckelvalvet.
  2. Välj åtkomstprinciper.
  3. Välj Åtkomstprincip för valv för behörighetsmodell.
  4. I Hemliga hanteringsåtgärder väljer du behörigheten Hämta .
  5. Välj Spara.

Skärmbild av Key Vault inställningar för åtkomstprincip som används för att bevilja en hanterad identitet Hämta behörighet.

Mer information finns i Tilldela en Key Vault åtkomstprincip med hjälp av Azure-portalen.

Rollbaserad åtkomstkontroll (RBAC) i Azure

  1. I Azure-portalen går du till det länkade nyckelvalvet.
  2. Välj åtkomstprinciper.
  3. För Permission-modell väljer du Azure rollbaserad åtkomstkontroll.
  4. Gå till Åtkomstkontroll (IAM) för att konfigurera behörigheter.
  5. Lägg till rolltilldelning för din hanterade identitet genom att välja följande värden: a. Roll: Key Vault-hemlighetsanvändare b. Tilldela åtkomst till: Hanterad identitet c. Medlemmar: välj den användartilldelade hanterade identitet som du har associerat med din programgateway.
  6. Välj Granska + tilldela.

Mer information finns i Azure rollbaserad åtkomstkontroll i Key Vault.

Anmärkning

Portalstöd för att lägga till ett nytt nyckelvalvbaserat certifikat är för närvarande inte tillgängligt när du använder rollbaserad åtkomstkontroll i Azure. Du kan göra det med hjälp av en arm-mall (Azure Resource Management), Azure CLI eller Azure PowerShell. Mer information finns i Key Vault Azure rollbaserad behörighetsmodell för åtkomstkontroll.

Felkod – "SecretDisabled"

Description

Det associerade certifikatet är inaktiverat i Azure Key Vault.

Lösning

Aktivera certifikatversionen som Application Gateway använder. Det gör du genom att följa dessa steg:

  1. I Azure-portalen går du till det länkade nyckelvalvet.
  2. Välj Certifikat.
  3. Välj det certifikatnamn du vill använda och välj sedan den inaktiverade versionen.
  4. På hanteringssidan använder du växlingsknappen för att aktivera certifikatversionen.

Skärmbild av växlingsknappen för certifikatversion i Key Vault som används för att återaktivera en inaktiverad hemlighet.

Felkod – "SecretDeletedFromKeyVault"

Description

Det associerade certifikatet tas bort från Key Vault.

Lösning

Följ dessa steg för att återställa ett borttaget certifikat:

  1. I Azure-portalen går du till det länkade nyckelvalvet.
  2. Öppna fönstret Certifikat .
  3. Använd fliken Hanterade borttagna certifikat för att återställa ett borttaget certifikat.

Om du tar bort ett certifikatobjekt permanent skapar du ett nytt certifikat och uppdaterar Application Gateway med den nya certifikatinformationen. När du konfigurerar via Azure CLI eller Azure PowerShell använder du en hemlig identifierar-URI utan version. Med det här valet kan instanser hämta en förnyad version av certifikatet, om det finns.

Skärmbild av fliken Hanterade borttagna certifikat som används för att återställa ett borttaget Key Vault certifikat.

Felkod – "UserAssignedManagedIdentityNotFound"

Description

Den associerade användartilldelade hanterade identiteten har tagits bort.

Lösning

Skapa en ny hanterad identitet och använd den med nyckelvalvet. Gör det genom att följa dessa steg:

  1. Återskapa en hanterad identitet med samma namn som du använde tidigare och under samma resursgrupp. Se resursen Aktivitetsloggar för information om namngivning.
  2. Gå till den nyckelvalvsresurs som du vill använda och ange dess åtkomstprinciper för att ge den nya hanterade identiteten den behörighet som krävs. Mer information finns i Felkod: UserAssignedIdentityDoesNotHaveGetPermissionOnKeyVault.

Felkod – "KeyVaultHasRestrictedAccess"

Description

Key Vault har en begränsad nätverksinställning.

Lösning

Det här felet uppstår när du aktiverar Key Vault brandvägg för begränsad åtkomst. Konfigurera Application Gateway i ett begränsat nätverk av Key Vault. Gör det genom att följa dessa steg:

  1. I Key Vault väljer du Nätverk.
  2. Välj fliken Brandväggar och virtuella nätverk och välj sedan Privat slutpunkt och valda nätverk.
  3. Använd Azure Virtual Network för att lägga till application gatewayens virtuella nätverk och undernät.
  4. Markera kryssrutan Microsoft.KeyVault.
  5. Välj Ja. Med den här åtgärden kan betrodda tjänster kringgå Key Vault brandväggen.

Skärmbild av Key Vault nätverksinställningar som används för att konfigurera begränsad nätverksåtkomst.

Felkod – "KeyVaultSoftDeleted"

Description

Det associerade nyckelvalvet är i tillståndet för mjuk borttagning.

Lösning

Hitta den borttagna nyckelvalvsresursen. Gör det genom att följa dessa steg:

  1. I Azure-portalen söker du efter nyckelvalv.
  2. I Tjänster väljer du Nyckelvalv.

Skärmbild av sökning efter Key Vault-tjänsten i Azure-portalen.

  1. Välj Administrerade raderade valv.
  2. Hitta den borttagna nyckelvalvsresursen och återställ den.

Skärmbild av hanterade borttagna valv med alternativet att återställa ett borttaget nyckelvalv.

Felkod – "CustomerKeyVaultSubscriptionDisabled"

Description

Prenumerationen för Key Vault är inaktiverad.

Lösning

Olika orsaker kan göra att Azure inaktiverar din prenumeration. Information om hur du löser problemet finns i Återaktivera en inaktiverad Azure-prenumeration.

Application Gateway-felkoder

Felkod – "ApplicationGatewayCertificateDataOrKeyVaultSecretIdMustBeSpecified/ApplicationGatewaySslCertificateDataMustBeSpecified"

Description

Det här felet uppstår när du försöker uppdatera ett lyssnarcertifikat. När det här felet inträffar ignoreras ändringen för att uppdatera certifikatet och lyssnaren fortsätter att hantera trafik med den tidigare definierade konfigurationen.

Lösning

Försök att ladda upp certifikatet igen för att lösa problemet. Använd till exempel följande PowerShell-kommandon för att uppdatera certifikat som laddats upp till Application Gateway eller refereras via Azure Key Vault.

Uppdatera certifikatet som laddats upp direkt till Application Gateway.

$appgw = Get-AzApplicationGateway -ResourceGroupName "<ResourceGroup>" -Name "<AppGatewayName>"

$password = ConvertTo-SecureString -String "<password>" -Force -AsPlainText

Set-AzApplicationGatewaySSLCertificate -Name "<oldcertname>" -ApplicationGateway $appgw -CertificateFile "<newcertPath>" -Password $password

Set-AzApplicationGateway -ApplicationGateway $appgw

Uppdatera certifikat som refereras från Azure Key Vault.

$appgw = Get-AzApplicationGateway -ResourceGroupName "<ResourceGroup>" -Name "<AppGatewayName>"

$secret = Get-AzKeyVaultSecret -VaultName "<KeyVaultName>" -Name "<CertificateName>" 
$secretId = $secret.Id.Replace($secret.Version, "") 
$cert = Set-AzApplicationGatewaySslCertificate -ApplicationGateway $AppGW -Name "<CertificateName>" -KeyVaultSecretId $secretId 

Set-AzApplicationGateway -ApplicationGateway $appgw

Referenser

  • Uppdaterades senast