Sprache: English · 简体中文 · 繁體中文 · Español · Português · Deutsch · Français · 日本語 · 한국어 · Русский · हिन्दी

Beheben des Azure Disk Encryption-Fehlers: RUNTIME_E_KEYVAULT_SECRET_WRAP_WITH_KEK_FAILED

von

Beim Aktivieren von Azure Disk Encryption für Ihre virtuelle Maschine (VM) kann der folgende Fehler auftreten:

JSON'code': 'VMExtensionProvisioningError',
'message': 'VM has reported a failure when processing extension 'AzureDiskEncryption' (publisher 'Microsoft.Azure.Security' and type 'AzureDiskEncryption'). Error message: '[2.5.0.3] Failed to enable Azure Disk Encryption on the VM with the following exception details:\n Microsoft.Cis.Security.BitLocker.BitlockerIaasVMExtension.BitlockerFailedToSendEncryptionSettingsException: The fault reason was: '0xc142506f  RUNTIME_E_KEYVAULT_SECRET_WRAP_WITH_KEK_FAILED  Key vault secret wrap with key encryption key failed.'.\r\n   at Microsoft.Cis.Security.BitLocker.BitlockerIaasVMExtension.WireProtocol.WireProtocolMessage.SendEncryptionSettingsToHost() in C:\\__w\\1\\s\\src\\BitLocker\\BitlockerIaasVMExtension\\WireProtocol\\WireProtocolMessage.cs:line 210\r\n   at Microsoft.Cis.Security.BitLocker.BitlockerIaasVMExtension.BitlockerExtension.SendEncryptionSettingsToHostV3(VmEncryptionSettings vmSettings) in C:\\__w\\1\\s\\src\\BitLocker\\BitlockerIaasVMExtension\\BitlockerExtension.cs:line 1092'. More information on troubleshooting is available at https://aka.ms/VMExtensionADEWindowsTroubleshoot.'

Fehleranalyse

Die Fehlermeldung weist darauf hin, dass das Problem durch die Ausnahme RUNTIME_E_KEYVAULT_SECRET_WRAP_WITH_KEK_FAILED verursacht wird. Das bedeutet, dass Key Vault ist während des Vorgangs zum Umschließen des Verschlüsselungsschlüssels mit dem Schlüsselverschlüsselungsschlüssel (KEK).

Es ist wichtig zu beachten, dass das verwendete VM-Betriebssystem Windows 11 Pro ist, das bekannte Kompatibilitätsprobleme mit Azure Disk Encryption hat, da die Unterstützung für RSA-Schlüssel mit 2048 Bit fehlt.

Häufige Ursachen

  1. RSA-Schlüssellänge: Windows 11 und Windows Server 2022 unterstützen keine RSA-Schlüssel mit 2048 Bit für Azure Disk Encryption.
  2. Fehlende Abhängigkeiten: Bestimmte Windows Server-Konfigurationen erfordern zusätzliche Komponenten, wie zum Beispiel bdehdcfg oder .NET Framework.

Offizielle Dokumentation

Microsoft hat diese Einschränkung in dem Artikel Azure Disk Encryption für Windows-VMs aktivieren anerkannt und stellt einen FAQ-Abschnitt bereit, in dem die Verwendung größerer RSA-Schlüssellängen für bestimmte Betriebssystemversionen empfohlen wird.

Um den Fehler zu beheben und Azure Disk Encryption erfolgreich zu aktivieren, folgen Sie einem der beiden unten beschriebenen Ansätze:

Lösung 1: BitLocker-Verschlüsselungsschlüssel (BEK) verwenden

Azure Disk Encryption unterstützt die Verschlüsselung mit dem BitLocker-Verschlüsselungsschlüssel (BEK). Die Verwendung von BEK anstelle eines Schlüsselverschlüsselungsschlüssels (KEK) kann das Umschließungsproblem in Key Vault umgehen.

  1. Verschlüsselungseinstellungen ändern:
    • Öffnen Sie das Azure-Portal.
    • Navigieren Sie zu Ihrer VM und wählen Sie Disks.
    • Konfigurieren Sie die Datenträgerverschlüsselung mit BEK anstelle von KEK.
  2. Verschlüsselung testen:
    • Starten Sie die VM nach dem Aktivieren der Datenträgerverschlüsselung neu.
    • Überprüfen Sie, ob die Verschlüsselung erfolgreich und fehlerfrei angewendet wurde.

Lösung 2: RSA-Schlüssellänge erhöhen

Windows 11 und Windows Server 2022 erfordern eine RSA-Schlüssellänge von mehr als 2048 Bit. Aktualisieren Sie Ihre Key Vault-Schlüssel auf RSA 3072 oder RSA 4096 , um dieses Problem zu beheben.

  1. Einen neuen RSA-Schlüssel erstellen:
    • Gehen Sie zu Azure Key Vault im Azure-Portal.
    • Wählen Sie Keys und klicken Sie auf Generate/Import.
    • Wählen Sie RSA-HSM mit einer Schlüsselgröße von 3072 oder 4096 Bit.
  2. Datenträgerverschlüsselungseinstellungen aktualisieren:
    • Verwenden Sie den neuen RSA-Schlüssel in Ihrer Verschlüsselungskonfiguration.
    • Starten Sie die VM neu, um die Änderungen zu übernehmen.
  3. Verschlüsselung überprüfen:
    • Überprüfen Sie den Bereitstellungsstatus, um sicherzustellen, dass die Datenträgerverschlüsselungserweiterung erfolgreich ist.

Wichtige Hinweise

Stellen Sie bei anderen Windows Server-Versionen sicher, dass die folgenden Abhängigkeiten installiert sind:

BetriebssystemAnforderung
Windows Server 2012 R2 CoreInstallieren Sie die Komponente bdehdcfg .
Windows Server 2016 CoreInstallieren Sie die Komponente bdehdcfg .
Windows Server 2008 R2Installieren Sie .NET Framework 4.5 über Windows Update (KB2901983).

Siehe die Dokumentation zu Voraussetzungen für Azure Disk Encryption.

Beispiel-Codeausschnitt

Nachfolgend finden Sie ein Azure CLI-Beispiel zum Aktualisieren der RSA-Schlüssellänge für Key Vault:

BASH# Create a new RSA key with 4096 bits in Azure Key Vault
az keyvault key create \
  --vault-name <YourKeyVaultName> \
  --name <YourKeyName> \
  --kty RSA \
  --size 4096

Stellen Sie sicher, dass Sie <YourKeyVaultName> und <YourKeyName> durch die tatsächlichen Namen Ihres Key Vault und Ihres Schlüssels ersetzen.

Referenzen

Weitere Hilfe zur Fehlerbehebung und Anleitungen finden Sie in den folgenden Ressourcen:

Kommentar hinterlassen