Repôr uma tecla bloqueada

Se uma máquina virtual (VM) perder sua cópia da chave travada, um disco será migrado para uma nova VM. Se ocorrer qualquer outra incompatibilidade de chaves, a VM não poderá acessar o WireServer ou o Serviço de Metadados de Instância do Azure. A redefinição da chave traz a VM de volta a um estado saudável se a chave for perdida ou não corresponder entre o host e o convidado.

Observação

O proprietário da VM deve solicitar a redefinição da chave. Os serviços de metadados não conseguem distinguir entre um invasor ou o Agente Proxy Convidado solicitando uma redefinição quando a chave é perdida, portanto, as redefinições não podem ser emitidas de dentro da VM.

Redefinir a chave de uma VM

A plataforma sempre garante que o keyIncarnationId valor no modelo de VM corresponda à chave real no armazenamento. Incrementar esse valor aciona uma redefinição de chave. Para obter mais informações, consulte Configuração de recursos MSP.

PATCH https://management.azure.com/subscriptions/{subscription_id}/resourceGroups/{resource_group_name}/providers/Microsoft.Compute/virtualMachines/{virtualMachine_Name}?api-version=2024-03-01
{
  "properties": {
    "securityProfile": {
      "proxyAgentSettings": {
        "keyIncarnationId": 10
      }
    }
  }
}

Confirme a redefinição

Verifique o AzureProxyAgentExtension valor da exibição da instância da VM para confirmar se a nova chave foi gerada. Seu novo keyIncarnationId valor aparece depois que a alteração se propaga de ponta a ponta.

"keyLatchStatus":{
    "status":"RUNNING",
    "message":"Found key details from local and ready to use. - 122",
    "states":{
        "imdsRuleId":"/SUBSCRIPTIONS/{subscription_id}/RESOURCEGROUPS/{resource_group}/PROVIDERS/MICROSOFT.COMPUTE/GALLERIES/GALLERYXX/INVMACCESSCONTROLPROFILES/WINDOWSIMDS/VERSIONS/{data_version}",
        "secureChannelState":"WireServer Enforce - IMDS Enforce",
        "keyIncarnationId":"10",
        "keyGuid":"e3882f98-da8d-4410-8394-06c23462781c",
        "wireServerRuleId":"/SUBSCRIPTIONS/{subscription_id}/RESOURCEGROUPS/{resource_group}/PROVIDERS/MICROSOFT.COMPUTE/GALLERIES/GALLERYXX/INVMACCESSCONTROLPROFILES/WINDOWSWIRESERVER/VERSIONS/{data_version}"
        }
    }

Observação

Estes pedidos são idempotentes. No entanto, se várias solicitações forem feitas com vários keyIncarnationId valores, não há garantia sobre o número e a ordem dos keyIncarnationId valores que você observa. O estado final reflete a solicitação que usou o maior valor.

Redefinir a chave de uma escala de máquinas virtuais

Os dados essenciais são exclusivos em cada instância num conjunto de máquinas virtuais escaláveis. A chave deve ser redefinida para cada instância.

Você pode redefinir uma chave somente para a instância de VM de um conjunto de escala específico. Não é possível redefinir uma chave para todas as instâncias do conjunto de escala em uma única API.

Consulte as instruções anteriores para redefinir a chave de uma VM e substitua pela ID de recurso da instância do seu conjunto de escala. Por exemplo:

https://management.azure.com/subscriptions/{subscription_id}/resourceGroups/{resource_group_name}/providers/Microsoft.Compute/virtualMachineScaleSets/{vmScaleSet_name}/virtualMachines/{instance_id}?api-version=2024-03-01

  • Last updated on