在 Azure Stack Hub 中轮换机密

本文提供了用于执行机密轮换的指南，以帮助维护与 Azure Stack Hub 基础结构资源和服务的安全通信。

概述

Azure Stack Hub 使用机密来维护与基础结构资源和服务之间的安全通信。 为维护 Azure Stack Hub 基础结构的完整性，操作员需要能够轮换机密，轮换频率应与其组织的安全要求一致。

当机密即将过期时，会在管理员门户中生成以下警报。 完成密钥轮换可解决以下警报：

• 挂起的服务帐户密码过期
• 挂起的内部证书过期
• 挂起的外部证书过期

有关警报监控和补救的更多信息, 看看 在 Azure Stack Hub 中监控健康状况和警报.

先决条件

1. 建议运行受支持的 Azure Stack Hub 版本，并为正在运行实例的 Azure Stack Hub 版本应用最新的可用修补程序。 例如，如果运行的是 2501，请确保已安装可用于 2501 的最新修补程序 。
2. 向用户通知计划内维护操作。 将普通的维护时间段尽量安排在非营业时间。 维护操作可能会影响用户工作负荷和门户操作。
3. 为 Azure Stack Hub 生成证书签名请求。
4. 准备 Azure Stack Hub PKI 证书。
5. 在秘密轮换期间，操作员可能会注意到警报会打开然后自动关闭。 此行为是预期行为，可以忽略警报。 操作员可以使用 Test-AzureStack PowerShell cmdlet 来验证这些警报的有效性。 对于使用 System Center Operations Manager 监视 Azure Stack Hub 系统的操作员而言，将系统置于维护模式可以防止这些警报发送到其 ITSM 系统。 但是，如果 Azure Stack Hub 系统不可访问，警报将继续出现。

轮换内部机密

内部机密包括由 Azure Stack Hub 基础结构使用的证书、密码、安全字符串和密钥，无需 Azure Stack Hub 操作员的介入。 仅当你怀疑某个机密已泄露或收到机密过期的警报时，才需要轮换内部机密。

完成以下步骤来轮换内部机密：

1. 运行以下 PowerShell 脚本。 对于内部秘密旋转，“运行秘密旋转 ”部分只使用了 -Internal 参数的 启动-SecretRotation cmdlet:

   # Create a PEP Session
   winrm s winrm/config/client '@{TrustedHosts= "<IP_address_of_ERCS>"}'
   $PEPCreds = Get-Credential
   $PEPSession = New-PSSession -ComputerName <IP_address_of_ERCS_Machine> -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
   
   # Run Secret Rotation
   Invoke-Command -Session $PEPSession -ScriptBlock {
       Start-SecretRotation -Internal
   }
   Remove-PSSession -Session $PEPSession
   

2. 成功完成后，控制台会显示 ActionPlanInstanceID ... CurrentStatus: Completed 信息，然后是 Action plan finished with status: 'Completed'.

   注释

   如果机密轮换失败，请按照错误消息中的说明操作，并使用 Start-SecretRotation 和 -Internal 参数重新运行 -ReRun：

   Start-SecretRotation -Internal -ReRun
   

   如果遇到反复的机密轮换失败，请联系技术支持。

轮换 Azure Stack Hub 根证书

部署期间将预配 Azure Stack Hub 根证书，有效期为五年。 从 2108 开始，内部机密轮换操作也会轮换根证书。 标准机密过期警报会标识根证书的过期，并在 90 天（警告）和 30 天（严重）时生成警报。

若要轮换根证书，必须将系统更新到 2108，并执行内部机密轮换。

以下示例使用 Privileged Endpoint 列出根证书的到期日期：

$pep = New-PSSession -ComputerName <ip address> -ConfigurationName PrivilegedEndpoint -Credential $cred -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US) 
 
$stampInfo = Invoke-Command -Session $pep -ScriptBlock { Get-AzureStackStampInformation }

$rootCert = $stampInfo.RootCACertificates| Sort-Object -Property NotAfter | Select-Object -Last 1
"The Azure Stack Hub root certificate expires on {0}" -f $rootCert.NotAfter.ToString("D") | Write-Host -ForegroundColor Cyan

更新 BMC 凭据

基板管理控制器监视服务器的物理状态。 请咨询原始设备制造商 (OEM) 硬件供应商，以获取有关更新 BMC 的用户帐户名和密码的说明。

1. 在 Azure Stack Hub 会话中打开特权终结点。 有关说明，请参阅使用 Azure Stack Hub 中的特权终结点。

2. 打开特权端点会话后，运行下面的 PowerShell 脚本之一，这些脚本使用 Invoke-Command 运行 Set-BmcCredential. 如果在 -BypassBMCUpdate中使用可选 Set-BMCCredential 参数，则 BMC 中的凭据不会更新；仅更新 Azure Stack Hub 内部数据存储。 将特权终结点会话变量作为参数传递。

   下面是一个示例 PowerShell 脚本，它会提示你输入用户名和密码：

   # Interactive Version
   $PEPIp = "<Privileged Endpoint IP or Name>" # You can also use the machine name instead of IP here.
   $PEPCreds = Get-Credential "<Domain>\CloudAdmin" -Message "PEP Credentials"
   $NewBmcPwd = Read-Host -Prompt "Enter New BMC password" -AsSecureString
   $NewBmcUser = Read-Host -Prompt "Enter New BMC user name"
   
   $PEPSession = New-PSSession -ComputerName $PEPIp -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
   
   Invoke-Command -Session $PEPSession -ScriptBlock {
       # Parameter BmcPassword is mandatory, while the BmcUser parameter is optional.
       Set-BmcCredential -BmcPassword $using:NewBmcPwd -BmcUser $using:NewBmcUser
   }
   Remove-PSSession -Session $PEPSession
   

   你还可以在变量中对用户名和密码进行编码，这可能会降低安全性：

   # Static Version
   $PEPIp = "<Privileged Endpoint IP or Name>" # You can also use the machine name instead of IP here.
   $PEPUser = "<Privileged Endpoint user for example Domain\CloudAdmin>"
   $PEPPwd = ConvertTo-SecureString '<Privileged Endpoint Password>' -AsPlainText -Force
   $PEPCreds = New-Object System.Management.Automation.PSCredential ($PEPUser, $PEPPwd)
   $NewBmcPwd = ConvertTo-SecureString '<New BMC Password>' -AsPlainText -Force
   $NewBmcUser = "<New BMC User name>"
   
   $PEPSession = New-PSSession -ComputerName $PEPIp -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
   
   Invoke-Command -Session $PEPSession -ScriptBlock {
       # Parameter BmcPassword is mandatory, while the BmcUser parameter is optional.
       Set-BmcCredential -BmcPassword $using:NewBmcPwd -BmcUser $using:NewBmcUser
   }
   Remove-PSSession -Session $PEPSession
   

参考：Start-SecretRotation cmdlet

Start-SecretRotation cmdlet 轮换 Azure Stack Hub 系统的基础结构机密。 此 cmdlet 只能针对 Azure Stack Hub 特权终结点执行，方法是使用 Invoke-Command 脚本块在 -Session 参数中传递 PEP 会话。 默认情况下，它只轮换所有外部网络基础结构终结点的证书。

语法

对于外部机密轮换

Start-SecretRotation [-PfxFilesPath <string>] [-PathAccessCredential <PSCredential>] [-CertificatePassword <SecureString>]  

对于内部机密轮换

Start-SecretRotation [-Internal]  

对于外部机密轮换 rerun

Start-SecretRotation [-ReRun]

对于内部机密轮换 rerun

Start-SecretRotation [-ReRun] [-Internal]

例子

仅轮换内部基础结构机密

此命令必须通过 Azure Stack Hub 环境的特权终结点运行。

Start-SecretRotation -Internal

此命令轮换向 Azure Stack Hub 内部网络公开的所有基础结构机密。

仅轮换外部基础结构机密

# Create a PEP Session
winrm s winrm/config/client '@{TrustedHosts= "<IP_address_of_ERCS>"}'
$PEPCreds = Get-Credential
$PEPSession = New-PSSession -ComputerName <IP_address_of_ERCS> -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)

# Create Credentials for the fileshare
$CertPassword = ConvertTo-SecureString '<CertPasswordHere>' -AsPlainText -Force
$CertShareCreds = Get-Credential
$CertSharePath = "<NetworkPathOfCertShare>"
# Run Secret Rotation
Invoke-Command -Session $PEPsession -ScriptBlock {
    param($CertSharePath, $CertPassword, $CertShareCreds )
    Start-SecretRotation -PfxFilesPath $CertSharePath -PathAccessCredential $CertShareCreds -CertificatePassword $CertPassword
} -ArgumentList ($CertSharePath, $CertPassword, $CertShareCreds)
Remove-PSSession -Session $PEPSession

此命令轮换用于 Azure Stack Hub 外部网络基础结构终结点的 TLS 证书。

后续步骤

详细了解 Azure Stack Hub 安全性