Langue: English · 简体中文 · 繁體中文 · Español · Português · Deutsch · Français · 日本語 · 한국어 · Русский · हिन्दी

Dépanner l'erreur Azure Disk Encryption : RUNTIME_E_KEYVAULT_SECRET_WRAP_WITH_KEK_FAILED

par

Lors de l'activation de Azure Disk Encryption pour votre machine virtuelle (VM), vous pouvez rencontrer l'erreur suivante :

JSON'code': 'VMExtensionProvisioningError',
'message': 'VM has reported a failure when processing extension 'AzureDiskEncryption' (publisher 'Microsoft.Azure.Security' and type 'AzureDiskEncryption'). Error message: '[2.5.0.3] Failed to enable Azure Disk Encryption on the VM with the following exception details:\n Microsoft.Cis.Security.BitLocker.BitlockerIaasVMExtension.BitlockerFailedToSendEncryptionSettingsException: The fault reason was: '0xc142506f  RUNTIME_E_KEYVAULT_SECRET_WRAP_WITH_KEK_FAILED  Key vault secret wrap with key encryption key failed.'.\r\n   at Microsoft.Cis.Security.BitLocker.BitlockerIaasVMExtension.WireProtocol.WireProtocolMessage.SendEncryptionSettingsToHost() in C:\\__w\\1\\s\\src\\BitLocker\\BitlockerIaasVMExtension\\WireProtocol\\WireProtocolMessage.cs:line 210\r\n   at Microsoft.Cis.Security.BitLocker.BitlockerIaasVMExtension.BitlockerExtension.SendEncryptionSettingsToHostV3(VmEncryptionSettings vmSettings) in C:\\__w\\1\\s\\src\\BitLocker\\BitlockerIaasVMExtension\\BitlockerExtension.cs:line 1092'. More information on troubleshooting is available at https://aka.ms/VMExtensionADEWindowsTroubleshoot.'

Analyse de l'erreur

Le message d'erreur indique que le problème provient de l'exception RUNTIME_E_KEYVAULT_SECRET_WRAP_WITH_KEK_FAILED. Cela signifie que Key Vault a échoué lors de l'opération d'encapsulation de la clé de chiffrement à l'aide de la clé de chiffrement de clé (KEK).

Il est important de noter que le système d'exploitation de la VM utilisé est Windows 11 Pro, qui présente des problèmes de compatibilité connus avec Azure Disk Encryption en raison de l'absence de prise en charge de clés RSA de 2048 bits.

Causes courantes

  1. Longueur de la clé RSA: Windows 11 et Windows Server 2022 ne prennent pas en charge les clés RSA de 2048 bits pour Azure Disk Encryption.
  2. Dépendances manquantes: Certaines configurations de Windows Server nécessitent des composants supplémentaires, comme bdehdcfg ou .NET Framework.

Documentation officielle

Microsoft a reconnu cette limitation dans l'article Activer Azure Disk Encryption pour les machines virtuelles Windows et propose une section FAQ qui recommande d'utiliser des longueurs de clé RSA supérieures pour certaines versions du système d'exploitation.

Pour résoudre l'erreur et activer correctement Azure Disk Encryption, suivez l'une des deux approches détaillées ci-dessous :

Solution 1 : utiliser la clé de chiffrement BitLocker (BEK)

Azure Disk Encryption prend en charge le chiffrement à l'aide de la clé de chiffrement BitLocker (BEK). L'utilisation de BEK au lieu d'une clé de chiffrement de clé (KEK) peut contourner le problème d'encapsulation dans Key Vault.

  1. Modifier les paramètres de chiffrement:
    • Ouvrez le portail Azure.
    • Accédez à votre VM et sélectionnez Disks.
    • Configurez le chiffrement de disque avec BEK au lieu de KEK.
  2. Tester le chiffrement:
    • Redémarrez la VM après avoir activé le chiffrement de disque.
    • Vérifiez que le chiffrement a bien été appliqué, sans erreur.

Solution 2 : augmenter la longueur de la clé RSA

Windows 11 et Windows Server 2022 nécessitent une longueur de clé RSA supérieure à 2048 bits. Mettez à jour vos clés Key Vault vers RSA 3072 ou RSA 4096 pour résoudre ce problème.

  1. Créer une nouvelle clé RSA:
    • Accédez à Azure Key Vault dans le portail Azure.
    • Sélectionnez Keys et cliquez sur Generate/Import.
    • Choisissez RSA-HSM avec une taille de clé de 3072 ou 4096 bits.
  2. Mettre à jour les paramètres de chiffrement de disque:
    • Utilisez la nouvelle clé RSA dans votre configuration de chiffrement.
    • Redémarrez la VM pour appliquer les modifications.
  3. Vérifier le chiffrement:
    • Vérifiez l'état d'approvisionnement pour vous assurer que l'extension de chiffrement de disque aboutit.

Considérations clés

Pour les autres versions de Windows Server, assurez-vous que les dépendances suivantes sont installées :

Système d'exploitationExigence
Windows Server 2012 R2 CoreInstallez le composant bdehdcfg .
Windows Server 2016 CoreInstallez le composant bdehdcfg .
Windows Server 2008 R2Installez .NET Framework 4.5 par le biais de Windows Update (KB2901983).

Consultez la documentation sur prérequis d'Azure Disk Encryption.

Exemple d'extrait de code

Vous trouverez ci-dessous un exemple Azure CLI pour mettre à jour la longueur de la clé RSA de Key Vault :

BASH# Create a new RSA key with 4096 bits in Azure Key Vault
az keyvault key create \
  --vault-name <YourKeyVaultName> \
  --name <YourKeyName> \
  --kty RSA \
  --size 4096

Veillez à remplacer <YourKeyVaultName> et <YourKeyName> par les noms réels de votre Key Vault et de votre clé.

Références

Pour un dépannage et des conseils supplémentaires, explorez les ressources suivantes :

Laisser un commentaire