Compartilhar via

Repôr uma tecla bloqueada

Se uma máquina virtual (VM) perder sua cópia da chave travada, um disco será migrado para uma nova VM. Se ocorrer qualquer outra incompatibilidade de chaves, a VM não poderá acessar o WireServer ou o Serviço de Metadados de Instância do Azure. A redefinição da chave traz a VM de volta a um estado saudável se a chave for perdida ou não corresponder entre o host e o convidado.

Observação

O proprietário da VM deve solicitar a redefinição da chave. Os serviços de metadados não conseguem distinguir entre um invasor ou o Agente Proxy Convidado solicitando uma redefinição quando a chave é perdida, portanto, as redefinições não podem ser emitidas de dentro da VM.

Redefinir a chave de uma VM

A plataforma sempre garante que o keyIncarnationId valor no modelo de VM corresponda à chave real no armazenamento. Incrementar esse valor aciona uma redefinição de chave. Para obter mais informações, consulte Configuração de recursos MSP.

PATCH https://management.azure.com/subscriptions/{subscription_id}/resourceGroups/{resource_group_name}/providers/Microsoft.Compute/virtualMachines/{virtualMachine_Name}?api-version=2024-03-01
{
  "properties": {
    "securityProfile": {
      "proxyAgentSettings": {
        "keyIncarnationId": 10
      }
    }
  }
}

Confirme a redefinição

Verifique o AzureProxyAgentExtension valor da exibição da instância da VM para confirmar se a nova chave foi gerada. Seu novo keyIncarnationId valor aparece depois que a alteração se propaga de ponta a ponta.

"keyLatchStatus":{
    "status":"RUNNING",
    "message":"Found key details from local and ready to use. - 122",
    "states":{
        "imdsRuleId":"/SUBSCRIPTIONS/{subscription_id}/RESOURCEGROUPS/{resource_group}/PROVIDERS/MICROSOFT.COMPUTE/GALLERIES/GALLERYXX/INVMACCESSCONTROLPROFILES/WINDOWSIMDS/VERSIONS/{data_version}",
        "secureChannelState":"WireServer Enforce - IMDS Enforce",
        "keyIncarnationId":"10",
        "keyGuid":"e3882f98-da8d-4410-8394-06c23462781c",
        "wireServerRuleId":"/SUBSCRIPTIONS/{subscription_id}/RESOURCEGROUPS/{resource_group}/PROVIDERS/MICROSOFT.COMPUTE/GALLERIES/GALLERYXX/INVMACCESSCONTROLPROFILES/WINDOWSWIRESERVER/VERSIONS/{data_version}"
        }
    }

Observação

Estes pedidos são idempotentes. No entanto, se várias solicitações forem feitas com vários keyIncarnationId valores, não há garantia sobre o número e a ordem dos keyIncarnationId valores que você observa. O estado final reflete a solicitação que usou o maior valor.

Redefinir a chave de uma escala de máquinas virtuais

Os dados essenciais são exclusivos em cada instância num conjunto de máquinas virtuais escaláveis. A chave deve ser redefinida para cada instância.

Você pode redefinir uma chave somente para a instância de VM de um conjunto de escala específico. Não é possível redefinir uma chave para todas as instâncias do conjunto de escala em uma única API.

Consulte as instruções anteriores para redefinir a chave de uma VM e substitua pela ID de recurso da instância do seu conjunto de escala. Por exemplo:

https://management.azure.com/subscriptions/{subscription_id}/resourceGroups/{resource_group_name}/providers/Microsoft.Compute/virtualMachineScaleSets/{vmScaleSet_name}/virtualMachines/{instance_id}?api-version=2024-03-01

  • Last updated on