言語: English · 简体中文 · 繁體中文 · Español · Português · Deutsch · Français · 日本語 · 한국어 · Русский · हिन्दी

Azure Disk Encryption エラーのトラブルシューティング：RUNTIME_E_KEYVAULT_SECRET_WRAP_WITH_KEK_FAILED

著者：

 Azure Disk Encryption 仮想マシン (VM) 向けに有効にすると、次のエラーが発生する可能性があります。

JSON'code': 'VMExtensionProvisioningError',
'message': 'VM has reported a failure when processing extension 'AzureDiskEncryption' (publisher 'Microsoft.Azure.Security' and type 'AzureDiskEncryption'). Error message: '[2.5.0.3] Failed to enable Azure Disk Encryption on the VM with the following exception details:\n Microsoft.Cis.Security.BitLocker.BitlockerIaasVMExtension.BitlockerFailedToSendEncryptionSettingsException: The fault reason was: '0xc142506f  RUNTIME_E_KEYVAULT_SECRET_WRAP_WITH_KEK_FAILED  Key vault secret wrap with key encryption key failed.'.\r\n   at Microsoft.Cis.Security.BitLocker.BitlockerIaasVMExtension.WireProtocol.WireProtocolMessage.SendEncryptionSettingsToHost() in C:\\__w\\1\\s\\src\\BitLocker\\BitlockerIaasVMExtension\\WireProtocol\\WireProtocolMessage.cs:line 210\r\n   at Microsoft.Cis.Security.BitLocker.BitlockerIaasVMExtension.BitlockerExtension.SendEncryptionSettingsToHostV3(VmEncryptionSettings vmSettings) in C:\\__w\\1\\s\\src\\BitLocker\\BitlockerIaasVMExtension\\BitlockerExtension.cs:line 1092'. More information on troubleshooting is available at https://aka.ms/VMExtensionADEWindowsTroubleshoot.'

エラーの分析

エラーメッセージは、問題が例外 RUNTIME_E_KEYVAULT_SECRET_WRAP_WITH_KEK_FAILEDに起因することを示しています。つまり、 Key Vault は、暗号化キーを次のものでラップする操作中に失敗しました。 キー暗号化キー (KEK)。

使用されている VM のオペレーティングシステムは Windows 11 Proであり、Azure Disk Encryption との互換性の問題が知られています。これは、次のサポートがないためです。 RSA 2048 ビットキー。

一般的な原因

  1. RSA キーの長さ：Windows 11 と Windows Server 2022 は、Azure Disk Encryption 用の RSA 2048 ビットキーをサポートしていません。
  2. 不足している依存関係：一部の Windows Server 構成では、次のような追加コンポーネントが必要です。 bdehdcfg または .NET Framework。

公式ドキュメント

Microsoft は、この制限について、記事 Windows VM での Azure Disk Encryption の有効化 で認めており、特定の OS バージョンではより長い RSA キー長を使用することを推奨する FAQ セクションを提供しています。

このエラーを解決し、Azure Disk Encryption を正常に有効にするには、以下で詳しく説明する 2 つの方法のいずれかに従ってください。

解決方法 1：BitLocker 暗号化キー (BEK) を使用する

Azure Disk Encryption は、次のものを使った暗号化をサポートしています。 BitLocker 暗号化キー (BEK)。キー暗号化キー (KEK) の代わりに BEK を使用することで、Key Vault でのラップの問題を回避できます。

  1. 暗号化設定の変更：
    • Azure Portal を開きます。
    • VM に移動して Disksを選択します。
    • KEK ではなく BEK を使ってディスク暗号化を構成します。
  2. 暗号化のテスト：
    • ディスク暗号化を有効にした後、VM を再起動します。
    • 暗号化がエラーなく正常に適用されたことを確認します。

解決方法 2：RSA キーの長さを増やす

Windows 11 と Windows Server 2022 では、2048 ビットを超える RSA キー長が必要です。Key Vault のキーを次のいずれか RSA 3072 または RSA 4096 に更新してください。

  1. 新しい RSA キーの作成：
    • Azure Portal で Azure Key Vault に移動します。
    •  Keys を選択し、 Generate/Importをクリックします。
    •  RSA-HSM を選択し、キーサイズ 3072 または 4096 ビットのものを選択します。
  2. ディスク暗号化設定の更新：
    • 暗号化構成で新しい RSA キーを使用します。
    • 変更を適用するために VM を再起動します。
  3. 暗号化の確認：
    • プロビジョニング状態を確認し、ディスク暗号化拡張機能が成功することを確認します。

重要な考慮事項

他の Windows Server バージョンでは、次の依存関係がインストールされていることを確認してください。

オペレーティングシステム要件
Windows Server 2012 R2 Core bdehdcfg コンポーネントをインストールします。
Windows Server 2016 Core bdehdcfg コンポーネントをインストールします。
Windows Server 2008 R2 .NET Framework 4.5 を Windows Update (KB2901983) 経由でインストールします。

詳細については、 Azure Disk Encryption の前提条件を参照してください。

コードスニペットの例

Key Vault の RSA キー長を更新する Azure CLI の例を次に示します。

BASH# Create a new RSA key with 4096 bits in Azure Key Vault
az keyvault key create \
  --vault-name <YourKeyVaultName> \
  --name <YourKeyName> \
  --kty RSA \
  --size 4096

 <YourKeyVaultName> と <YourKeyName> は、実際の Key Vault 名とキー名に置き換えてください。

参考資料

さらにトラブルシューティングやガイダンスが必要な場合は、次のリソースを参照してください。

コメントを残す