对虚拟机认证进行故障排除

查看映像是否支持 VM 扩展。

启用 VM 扩展：

1. 选择 Linux VM。

2. 转到“诊断设置”。

3. 通过更新“存储帐户”启用基础映像矩阵。

4. 选择“保存”。

   

验证 VM 扩展是否已正确激活：

1. 在 VM 中，选择“VM 扩展”选项卡，然后验证“Linux 诊断扩展”的状态 。

2. 检查预配状态。

   • 如果状态为“预配成功”，说明已通过扩展测试用例。
   • 如果状态为“预配失败”，说明扩展测试用例失败，需要设置强化标志。

   

   如果 VM 扩展失败，请参阅使用 Linux 诊断扩展监视指标和日志以启用该扩展。 如果不希望启用 VM 扩展，请联系支持团队，要求其禁用该扩展。

在提交产品/服务之前，请检查并确保已严格遵循 VM 预配流程。 若要查看用于预配 VM 的 JSON 格式，请参阅测试虚拟机映像。

预配问题可能包括以下故障场景：

VHD 规范

Conectix cookie 和其他 VHD 规范

“conectix”字符串是 VHD 规范的一部分。 它在 VHD 页脚中定义为 8 字节 cookie，用于标识文件创建器。 Azure 创建的所有 VHD 文件都有此 Cookie。

VHD 格式的 Blob 应具有以下格式的 512 字节页脚：

若要确保发布体验流畅，请确保 VHD 满足以下条件：

• Cookie 包含字符串“conectix”。
• 磁盘类型是固定的。
• VHD 的虚拟大小至少为 20 MB。
• VHD 已对齐。 虚拟大小必须是 1 MB 的倍数。
• VHD Blob 长度等于虚拟大小加上 VHD 页脚长度 (512)。

下载 VHD 规范。

如果 Windows 映像请求因软件合规性问题而被拒绝，说明你可能使用了安装的 SQL Server 实例创建了 Windows 映像。 但你需要从 Azure 市场获取相关的 SQL Server 版本基础映像。

请勿使用其上安装的 SQL Server 创建自己的 Windows 映像。 应使用 Azure 市场中已批准的 SQL Server 基础映像（企业/标准/Web）。

如果你正在尝试安装 Visual Studio 或任何 Office 许可的产品，请联系支持团队以获得预先批准。

有关选择批准的基础映像的详细信息，请参阅通过批准的基础映像创建虚拟机。

Microsoft 认证工具包可帮助运行测试用例，并验证 VHD 或映像是否与 Azure 环境兼容。

下载 Microsoft 认证工具包。

Linux 测试用例

下表列出了工具包将运行的 Linux 测试用例。 描述中说明了测试验证。

常见的测试用例错误

有关运行测试用例时可能会看到的常见错误，请参阅下表：

Windows 测试用例

下表列出了工具包将运行的 Windows 测试用例，以及测试验证的描述：

如果前面有测试用例失败，请参阅表中的“描述”列，获取该解决方案。 有关详细信息，请联系支持团队。

大于 1023 GB 的数据磁盘请求不会获得批准。 本规则同时适用于 Linux 和 Windows。

重新提交小于或等于 1023 GB 的请求。

有关 OS 磁盘大小的限制，请参阅以下规则。 提交任何请求时，验证 OS 磁盘大小是否在 Linux 或 Windows 的限制范围内。

因为 VM 允许访问基础操作系统，所以请确保 VHD 大小对于该 VHD 而言足够大。 如果不停机，磁盘无法进行扩展。 使用 30 GB 到 50 GB 的磁盘大小。

若要防范与 WannaCry 病毒相关的潜在攻击，请确保使用最新的修补程序更新所有 Windows 映像请求。

可从 C:\windows\system32\drivers\srv.sys 或 srv2.sys 验证映像文件版本。

下表显示了 Windows Server 的最低修补版本：

提交 Linux 映像时，你的请求可能会因为内核版本问题而被拒绝。

将内核更新为已批准的版本，然后重新提交请求。 可在下表中查找已批准的内核版本。 版本号应等于或大于此处列出的编号。

如果你的映像没有安装以下任一内核版本，请使用正确的修补程序更新它。 在用以下必需的修补程序更新映像后，请向支持团队请求所需批准：

• CVE-2019-11477
• CVE-2019-11478
• CVE-2019-11479

Azure 上的所有 VHD 必须已将虚拟大小调整为 1 MB 的倍数。 如果 VHD 不符合建议的虚拟大小，你的请求可能会被拒绝。

将原始磁盘转换为 VHD 时，请遵循指导原则。 确保原始磁盘大小为 1 MB 的倍数。 有关详细信息，请参阅有关未认可分发版的信息。

在 VM 上运行测试用例时出现的访问被拒绝问题可能是由于权限不足引起的。

检查是否已为运行自测试用例的帐户启用了正确的访问权限。 如果未启用，请启用运行测试用例所需的访问权限。 如果不希望启用访问权限，可以将自测试用例结果分享给支持团队。

通过禁用 SSH 的映像来提交请求以进行认证：

1. 在映像上运行适用于 Azure VM 的最新认证测试工具。

2. 提交一个支持票证。 确保附加了工具包报告并提供产品/服务详细信息：

   • 产品名称
   • 发布者名称
   • 规划 ID/SKU 和版本

3. 重新提交认证请求。

使用共享访问签名 (SAS) URL 下载 VM 映像时如果出现问题，可参考下表。

如果要将映像发布到 Azure（使用 GPT 分区），我们强烈建议将操作系统磁盘的前 2,048 个扇区 (1 MB) 保留为空。 该要求使 Azure 能够将重要元数据添加到映像（示例中包含的元数据可以缩短客户的启动时间，改善计费和其他细节）。 请注意，如果已在使用批准的基础映像，并且映像具有有效的计费标记，则建议使用此方法。 但是，如果映像没有有效的计费标记，则如果操作系统磁盘的前 1 MB 不为空，发布可能会失败。

如果要构建自己的映像，且该映像不包含任何有效的计费标记，请确保操作系统磁盘的前 2,048 个扇区 (1 MB) 为空。 否则，你的发布将失败。 此要求仅适用于 OS 磁盘（而非数据磁盘）。 如果要从批准的基础映像来构建映像，该映像的前 1 MB 将为空。 因此，无需单独处理。

若要在操作系统磁盘中保留前 1 MB 的可用空间，请完成下一部分中的步骤。

如何在空的 VHD 上保留前 1 MB 的可用空间（2,048 个扇区，每个扇区 512 个字节）

这些步骤仅适用于 Linux。

1. 创建任意类型的 Linux VM，如 Ubuntu、CentOS 等。 填写必填字段，然后选择“下一步: 磁盘“。

   

2. 为 VM 创建非托管磁盘。 使用默认值，或者为“操作系统磁盘大小”、“操作系统磁盘类型”和“加密类型”等字段指定任意值。

   

3. 创建 VM 后，在左窗格中选择“磁盘”。

   

4. 将 VHD 作为数据磁盘附加到 VM 以创建分区表。

   1. 选择“附加现有磁盘”：

      

      

   2. 查找你的 VHD 存储帐户。

   3. 选择“容器”，然后选择 VHD。

   4. 选择“确定”。

      

      VHD 将添加为数据磁盘 LUN 0。

5. 重启 VM。

6. 重启 VM 后，使用 Putty 或其他客户端登录到 VM，并运行 sudo -i 命令以获取根访问权限。

   

7. 在 VHD 上创建分区。

   1. 输入 fdisk /dev/sdb 命令。

   2. 若要从 VHD 查看现有分区列表，请输入 p。

   3. 输入 d 以删除 VHD 中所有可用的现有分区。 如果不需要，可以跳过此步骤。

      

   4. 输入 n 以创建新分区，并选择 p 作为主分区。

   5. 输入 2048 作为第一个扇区值。 可保留最后一个扇区作为默认值。

      重要

      2048 个扇区之前的扇区中的所有现有数据都将被擦除（每个扇区 512 个字节）。 创建新分区之前请先备份 VHD。

      

   6. 键入 w 以确认创建分区。

      

   7. 可通过运行命令 n fdisk /dev/sdb 并键入 p 来验证分区表。 你将看到创建的分区的偏移值为 2048。

      

8. 从 VM 中分离 VHD 并删除 VM。

切勿将默认凭据与已提交的 VHD 一起发送。 添加默认凭据会使 VHD 更容易受到安全威胁的攻击。 请改为在提交 VHD 时创建自己的凭据。

当提交的请求包含多个未按顺序排列的数据磁盘时，可能会出现映射问题。 例如，三个数据磁盘的编号顺序必须是 0、1、2。 任何其他顺序都被视为映射问题。

使用正确的数据磁盘顺序重新提交请求。

创建映像时，它可能被映射到或被分配了错误的 OS 标签。 例如，在创建映像时，如果选择 Windows 作为 OS 名称的一部分，那么 OS 磁盘在安装时应仅附带 Windows。 这一要求也适用于 Linux。

如果要重复使用从 Azure 市场获取的所有映像，则必须泛化操作系统 VHD。

• 对于 Linux，以下过程将泛化 Linux VM，并将其重新部署为单独的 VM。

  在 SSH 窗口中，输入以下命令：sudo waagent -deprovision+user。

• 对于 Windows，通过使用 来泛化 Windows 映像。

  有关 sysreptool 工具的详细信息，请参阅sysreptool。

有关与数据磁盘相关的错误的解决方案，请使用下表：

如果没有为 Windows 映像启用远程桌面协议 (RDP) 选项，则会出现此错误。

提交 Windows 映像之前为其启用 RDP 访问。

如果提交的映像中的 Bash 历史记录大小超过 1 KB，则会出现此错误。 大小限制为 1 KB，以限制文件包含敏感信息的可能性。

删除 Bash 历史记录：

1. 部署 VM，并选择 Azure 门户上的“运行命令”选项。

   

2. 选择第一个选项 RunShellScript，然后运行以下命令：。

   

3. 成功运行该命令后，重启 VM。

4. 泛化 VM，获取映像 VHD，然后停止 VM。

5. 重新提交泛化映像。

在市场映像认证期间，作为网络虚拟设备 (NVA) 的 VM 产品/服务使用适用于任何 VM 产品/服务的通用测试，以及下表中列出的 NVA 测试用例进行验证。 这些特定于 NVA 的验证的目标是验证 NVA 映像与 SDN 堆栈的协调情况。

有关详细信息或问题，请提交 Azure 支持案例。

Netcat 概述：

Netcat 是一个命令，它能够在两台计算机之间建立 TCP 或 UDP 连接，这意味着它可以通过打开的端口进行写入和读取。 在 NVA 验证过程中，我们从与 NVA VM 位于同一虚拟网络中的 VM 执行 Netcat 命令，以测试是否可以访问 TCP 端口 22。 命令语法为 nc <destination_ip_address> <destination_port>，其中

• destination_ip_address 是分配给 VM NIC 的专用 IP 地址，
• destination_port 是 NVA 上的端口号。 我们在 NVA 测试用例中使用了 22。

例如： nc 192.168.1.1 22

发布者可以为 VM 认证期间执行的几个测试请求例外。 在发布者提供了证据来支持请求的情况下，一般很少会允许例外。 认证团队保留随时拒绝或批准例外的权利。

本节介绍发布者请求例外的一般情况以及请求例外的方式。

例外情况

发布者通常在下列情况下请求例外：

• 一个或多个测试用例的例外。 联系合作伙伴中心支持以请求测试用例的例外。

• 锁定的 VM/无根访问权限。 有少数发布者存在这样的情况：由于其 VM 上安装了防火墙之类的软件，因此需要锁定 VM。 对于这种情况，请下载已认证的测试工具，并在合作伙伴中心支持处提交报告。

• 自定义模板。 某些发布者发布的 VM 映像需要自定义 Azure 资源管理器 (ARM) 模板来部署 VM。 对于这种情况，请在合作伙伴中心支持处提交自定义模板，以便认证团队可以使用该模板进行验证。

要提供的例外情况信息

联系合作伙伴中心支持，为其中某种情况请求例外，并提供以下信息：

• 发布者 ID。 键入合作伙伴中心门户发布者 ID。

• 产品/服务 ID/名称。 输入产品/服务 ID 或名称。

• SKU/计划 ID。 键入 VM 产品/服务计划 ID 或 SKU。

• 版本。 输入需要例外的 VM 产品/服务版本。

• 异常类型。 从测试、锁定的 VM 或自定义模板中选择。

• 请求原因。 包含请求例外的原因，以及有关免除测试的任何信息。

• 时间线。 输入所需例外的结束日期。

• 附件。 附加重要证据文档：

  • 对于锁定的 VM，请附加测试报告。
  • 对于自定义模板，请提供自定义 ARM 模板作为附件。

  如果未包含这些附件，请求将被拒绝。

本节介绍在某个 VM 映像中发现漏洞或攻击时如何提供新的 VM 映像。 这仅适用于发布到 Azure 市场的 Azure VM 产品/服务。

执行下列操作之一：

• 如果有新的 VM 映像并用来替换易受攻击的 VM 映像，请参阅提供固定的 VM 映像。
• 如果没有新的 VM 映像来替换计划中唯一的 VM 映像，或者已完成该计划，请停止分发计划。
• 如果不打算替换该产品/服务中的唯一 VM 映像，建议停止分发该产品/服务。

提供固定的 VM 映像

若要提供固定的 VM 映像来替换有漏洞或易受攻击的 VM 映像，请执行以下操作：

1. 提供新的 VM 映像来解决安全漏洞或攻击。
2. 删除具有安全漏洞或易受攻击的 VM 映像。
3. 重新发布产品/服务。

提供新的 VM 映像来解决安全漏洞或攻击

若要完成这些步骤，请为要添加的 VM 映像准备技术资产。 有关详细信息，请参阅使用已批准的基础映像创建虚拟机或使用自己的映像创建虚拟机，以及为 VM 映像生成 SAS URI。

1. 登录合作伙伴中心。

2. 在“主页”上，选择“市场产品/服务”磁贴。

3. 在“产品/服务别名”列中，选择产品/服务。

4. 选择“计划概览”选项卡，然后选择适当的计划。

5. 在“技术配置”选项卡的“VM 映像”下，选择“+ 添加 VM 映像” 。

   注意

   一次只能向一个计划添加一个 VM 映像。 若要添加多个 VM 映像，请先发布第一个 VM 映像，然后再添加下一个 VM 映像。

6. 在出现的框中，提供新的磁盘版本和虚拟机映像。

7. 选择“保存草稿”。

接下来，删除具有安全漏洞的 VM 映像。

删除具有安全漏洞或易受攻击的 VM 映像

1. 登录合作伙伴中心。
2. 在“主页”上，选择“市场产品/服务”磁贴。
3. 在“产品/服务别名”列中，选择产品/服务。
4. 选择“计划概览”选项卡，然后选择适当的计划。
5. 在“技术配置”选项卡的“VM 映像”下，在要删除的 VM 映像旁边选择“删除 VM 映像” 。
6. 在对话框中，选择“继续”。
7. 选择“保存草稿”。

接下来，重新发布产品/服务。

重新发布产品/服务

1. 选择“查看和发布”。
2. 如果需要向认证团队提供任何信息，请将信息添加到“认证说明”框中。
3. 选择“发布”。

若要完成发布过程，请参阅查看和发布产品/服务。

具有有限访问权限或需要自定义模板的 VM 映像

锁定的（或）禁用了 SSH 的产品/服务

在禁用 SSH（对于 Linux）或禁用 RDP（对于 Windows）的情况下发布的映像将被视为锁定的 VM。 有一些特殊的业务方案，出于其特殊性，发布者不向任何用户/只向少数用户提供有限的访问权限。

在验证检查期间，锁定的 VM 可能不允许执行某些认证命令。

自定义模板

通常，在单个 VM 产品/服务下发布的所有映像都将遵循标准 ARM 模板进行部署。 但在某些情况下，发布者在部署 VM 时可能需要进行自定义（例如配置多个 NIC）。

根据以下方案（非详尽），发布者将使用自定义模板部署 VM：

• VM 需要额外的网络子网。
• ARM 模板中要插入其他元数据。
• 执行 ARM 模板前作为先决条件的命令。

VM 扩展

Azure 虚拟机 (VM) 扩展是小型应用程序，可在 Azure VM 上提供部署后配置和自动化任务。 例如，如果某个虚拟机需要安装软件、防病毒保护或运行脚本，便可以使用 VM 扩展。

Linux VM 扩展验证要求映像包含以下内容：

• 必须安装最低受支持版本的 Azure Linux 代理或更高版本。](https://learn.microsoft.com/troubleshoot/azure/virtual-machines/support-extensions-agent-version)
• 高于 2.6 的 Python 版本

有关详细信息，请访问 VM 扩展。

验证映像完整性

如果你正在创建映像并从该映像创建光盘以验证映像完整性，请注意，前 1MB 保留用于优化性能，最后 512 字节保留用于 VHD 脚注。 因此请在验证映像完整性时忽略这些字节。

后续步骤

• 配置 VM 产品/服务属性
• 如果你有疑问或想提供改进反馈，请联系合作伙伴中心支持