在 Azure Stack Hub 中轮换机密

本文提供了用于执行机密轮换的指南，以帮助维护与 Azure Stack Hub 基础结构资源和服务的安全通信。

概述

Azure Stack Hub 使用机密来维护与基础结构资源和服务之间的安全通信。 为维护 Azure Stack Hub 基础结构的完整性，操作员需要能够轮换机密，轮换频率应与其组织的安全要求一致。

在机密接近过期时，管理员门户中会生成以下警报。 完成机密轮换可解决以下警报：

• 挂起的服务帐户密码过期
• 挂起的内部证书过期
• 挂起的外部证书过期

若要详细了解警报监视和修正，请参阅在 Azure Stack Hub 中监视运行状况和警报。

先决条件

1. 强烈建议你运行受支持的 Azure Stack Hub 版本，并为实例运行的 Azure Stack Hub 版本应用最新发布的修补程序。 例如，如果运行的是 2008，请确保已安装适用于 2008 的最新修补程序。

   重要

   对于 1811 之前的版本：

   • 如果已执行机密轮换，必须在再次执行机密轮换之前将版本更新为 1811 或更高版本。 必须通过特权终结点执行机密轮换，且需要有 Azure Stack Hub 操作员凭据。 如果你不知道是否已在环境中运行过机密轮换，在执行机密轮换之前，请先更新到 1811。
   • 无需轮换机密即可添加扩展主机证书。 应该按照准备 Azure Stack Hub 的扩展主机一文中的说明添加扩展主机证书。

2. 向用户通知计划内维护操作。 将普通的维护时间段尽量安排在非营业时间。 维护操作可能会同时影响用户工作负荷和门户操作。

3. 为 Azure Stack Hub 生成证书签名请求。

4. 准备 Azure Stack Hub PKI 证书。

5. 在机密轮换期间，操作员可能会注意到警报在打开后又自动关闭。 此行为是预期行为，可以忽略警报。 操作员可以使用 Test-AzureStack PowerShell cmdlet 来验证这些警报的有效性。 对于使用 System Center Operations Manager 监视 Azure Stack Hub 系统的操作员而言，将系统置于维护模式可以防止这些警报发送到其 ITSM 系统。 但是，如果 Azure Stack Hub 系统不可访问，警报将继续出现。

轮换内部机密

内部机密包括由 Azure Stack Hub 基础结构使用的证书、密码、安全字符串和密钥，无需 Azure Stack Hub 操作员的介入。 仅当你怀疑某个机密已泄露或收到机密过期的警报时，才需要轮换内部机密。

完成以下步骤来轮换内部机密：

1. 运行下面的 PowerShell 脚本。 请注意，对于内部机密轮换，“运行机密轮换”部分仅对 Start-SecretRotation cmdlet 使用 -Internal 参数：

   # Create a PEP Session
   winrm s winrm/config/client '@{TrustedHosts= "<IP_address_of_ERCS>"}'
   $PEPCreds = Get-Credential
   $PEPSession = New-PSSession -ComputerName <IP_address_of_ERCS_Machine> -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
   
   # Run Secret Rotation
   Invoke-Command -Session $PEPSession -ScriptBlock {
       Start-SecretRotation -Internal
   }
   Remove-PSSession -Session $PEPSession
   

   注意

   1811 之前的版本不需要 -Internal 标志。

2. 成功完成后，控制台会显示“ActionPlanInstanceID ... CurrentStatus: Completed”消息，后跟“Action plan finished with status: 'Completed'”。

   注意

   如果机密轮换失败，请按照错误消息中的说明操作，并使用 -Internal 和 -ReRun 参数重新运行 Start-SecretRotation。

   Start-SecretRotation -Internal -ReRun
   

   如果遇到反复的机密轮换失败，请联系技术支持。

轮换 Azure Stack Hub 根证书

部署期间将预配 Azure Stack Hub 根证书，有效期为五年。 从 2108 开始，内部机密轮换操作也会轮换根证书。 标准机密过期警报会标识根证书的过期，并在 90 天（警告）和 30 天（严重）时生成警报。

若要轮换根证书，必须将系统更新到 2108，并执行内部机密轮换。

以下代码片段使用“特权终结点”列出根证书的到期日期：

$pep = New-PSSession -ComputerName <ip address> -ConfigurationName PrivilegedEndpoint -Credential $cred -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US) 
 
$stampInfo = Invoke-Command -Session $pep -ScriptBlock { Get-AzureStackStampInformation }

$rootCert = $stampInfo.RootCACertificates| Sort-Object -Property NotAfter | Select-Object -Last 1
"The Azure Stack Hub Root Certificate expires on {0}" -f $rootCert.NotAfter.ToString("D") | Write-Host -ForegroundColor Cyan

更新 BMC 凭据

基板管理控制器监视服务器的物理状态。 请咨询原始设备制造商 (OEM) 硬件供应商，以获取有关更新 BMC 的用户帐户名和密码的说明。

2. 在 Azure Stack Hub 会话中打开特权终结点。 有关说明，请参阅使用 Azure Stack Hub 中的特权终结点。

3. 打开特权终结点会话后，运行下面的 PowerShell 脚本之一，这些脚本使用 Invoke-Command 来运行 Set-BmcCredential。 如果你将可选的 -BypassBMCUpdate 参数用于 Set-BMCCredential，则 BMC 中的凭据不会更新。 只会更新 Azure Stack Hub 内部数据存储。 将特权终结点会话变量作为参数传递。

   下面是一个示例 PowerShell 脚本，它会提示你输入用户名和密码：

   # Interactive Version
   $PEPIp = "<Privileged Endpoint IP or Name>" # You can also use the machine name instead of IP here.
   $PEPCreds = Get-Credential "<Domain>\CloudAdmin" -Message "PEP Credentials"
   $NewBmcPwd = Read-Host -Prompt "Enter New BMC password" -AsSecureString
   $NewBmcUser = Read-Host -Prompt "Enter New BMC user name"
   
   $PEPSession = New-PSSession -ComputerName $PEPIp -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
   
   Invoke-Command -Session $PEPSession -ScriptBlock {
       # Parameter BmcPassword is mandatory, while the BmcUser parameter is optional.
       Set-BmcCredential -BmcPassword $using:NewBmcPwd -BmcUser $using:NewBmcUser
   }
   Remove-PSSession -Session $PEPSession
   

   你还可以在变量中对用户名和密码进行编码，这可能会降低安全性：

   # Static Version
   $PEPIp = "<Privileged Endpoint IP or Name>" # You can also use the machine name instead of IP here.
   $PEPUser = "<Privileged Endpoint user for example Domain\CloudAdmin>"
   $PEPPwd = ConvertTo-SecureString '<Privileged Endpoint Password>' -AsPlainText -Force
   $PEPCreds = New-Object System.Management.Automation.PSCredential ($PEPUser, $PEPPwd)
   $NewBmcPwd = ConvertTo-SecureString '<New BMC Password>' -AsPlainText -Force
   $NewBmcUser = "<New BMC User name>"
   
   $PEPSession = New-PSSession -ComputerName $PEPIp -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
   
   Invoke-Command -Session $PEPSession -ScriptBlock {
       # Parameter BmcPassword is mandatory, while the BmcUser parameter is optional.
       Set-BmcCredential -BmcPassword $using:NewBmcPwd -BmcUser $using:NewBmcUser
   }
   Remove-PSSession -Session $PEPSession
   

参考：Start-SecretRotation cmdlet

Start-SecretRotation cmdlet 轮换 Azure Stack Hub 系统的基础结构机密。 此 cmdlet 只能针对 Azure Stack Hub 特权终结点执行，方法是使用 Invoke-Command 脚本块在 -Session 参数中传递 PEP 会话。 默认情况下，它只轮换所有外部网络基础结构终结点的证书。

语法

对于外部机密轮换

Start-SecretRotation [-PfxFilesPath <string>] [-PathAccessCredential <PSCredential>] [-CertificatePassword <SecureString>]  

对于内部机密轮换

Start-SecretRotation [-Internal]  

对于外部机密轮换 rerun

Start-SecretRotation [-ReRun]

对于内部机密轮换 rerun

Start-SecretRotation [-ReRun] [-Internal]

示例

仅轮换内部基础结构机密

此命令必须通过 Azure Stack Hub 环境的特权终结点运行。

PS C:\> Start-SecretRotation -Internal

此命令轮换向 Azure Stack Hub 内部网络公开的所有基础结构机密。

仅轮换外部基础结构机密

# Create a PEP Session
winrm s winrm/config/client '@{TrustedHosts= "<IP_address_of_ERCS>"}'
$PEPCreds = Get-Credential
$PEPSession = New-PSSession -ComputerName <IP_address_of_ERCS> -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)

# Create Credentials for the fileshare
$CertPassword = ConvertTo-SecureString '<CertPasswordHere>' -AsPlainText -Force
$CertShareCreds = Get-Credential
$CertSharePath = "<NetworkPathOfCertShare>"
# Run Secret Rotation
Invoke-Command -Session $PEPsession -ScriptBlock {
    param($CertSharePath, $CertPassword, $CertShareCreds )
    Start-SecretRotation -PfxFilesPath $CertSharePath -PathAccessCredential $CertShareCreds -CertificatePassword $CertPassword
} -ArgumentList ($CertSharePath, $CertPassword, $CertShareCreds)
Remove-PSSession -Session $PEPSession

此命令轮换用于 Azure Stack Hub 外部网络基础结构终结点的 TLS 证书。

# Create a PEP Session
winrm s winrm/config/client '@{TrustedHosts= "<IP_address_of_ERCS>"}'
$PEPCreds = Get-Credential
$PEPSession = New-PSSession -ComputerName <IP_address_of_ERCS> -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
# Create Credentials for the fileshare
$CertPassword = ConvertTo-SecureString '<CertPasswordHere>' -AsPlainText -Force
$CertShareCreds = Get-Credential
$CertSharePath = "<NetworkPathOfCertShare>"
# Run Secret Rotation
Invoke-Command -Session $PEPSession -ScriptBlock {
    Start-SecretRotation -PfxFilesPath $using:CertSharePath -PathAccessCredential $using:CertShareCreds -CertificatePassword $using:CertPassword
}
Remove-PSSession -Session $PEPSession

后续步骤

详细了解 Azure Stack Hub 安全性