언어: English · 简体中文 · 繁體中文 · Español · Português · Deutsch · Français · 日本語 · 한국어 · Русский · हिन्दी

Azure Disk Encryption 오류 해결: RUNTIME_E_KEYVAULT_SECRET_WRAP_WITH_KEK_FAILED

글:

 Azure Disk Encryption 을(를) 가상 머신(VM)에 대해 활성화하면 다음 오류가 발생할 수 있습니다.

JSON'code': 'VMExtensionProvisioningError',
'message': 'VM has reported a failure when processing extension 'AzureDiskEncryption' (publisher 'Microsoft.Azure.Security' and type 'AzureDiskEncryption'). Error message: '[2.5.0.3] Failed to enable Azure Disk Encryption on the VM with the following exception details:\n Microsoft.Cis.Security.BitLocker.BitlockerIaasVMExtension.BitlockerFailedToSendEncryptionSettingsException: The fault reason was: '0xc142506f  RUNTIME_E_KEYVAULT_SECRET_WRAP_WITH_KEK_FAILED  Key vault secret wrap with key encryption key failed.'.\r\n   at Microsoft.Cis.Security.BitLocker.BitlockerIaasVMExtension.WireProtocol.WireProtocolMessage.SendEncryptionSettingsToHost() in C:\\__w\\1\\s\\src\\BitLocker\\BitlockerIaasVMExtension\\WireProtocol\\WireProtocolMessage.cs:line 210\r\n   at Microsoft.Cis.Security.BitLocker.BitlockerIaasVMExtension.BitlockerExtension.SendEncryptionSettingsToHostV3(VmEncryptionSettings vmSettings) in C:\\__w\\1\\s\\src\\BitLocker\\BitlockerIaasVMExtension\\BitlockerExtension.cs:line 1092'. More information on troubleshooting is available at https://aka.ms/VMExtensionADEWindowsTroubleshoot.'

오류 분석

오류 메시지는 문제가 예외 RUNTIME_E_KEYVAULT_SECRET_WRAP_WITH_KEK_FAILED에서 비롯되었음을 나타냅니다. 즉, Key Vault 은(는) 암호화 키를 다음을 사용하여 래핑하는 작업 중에 실패했습니다. 키 암호화 키(KEK).

사용 중인 VM 운영 체제는 Windows 11 Pro이며, Azure Disk Encryption과의 알려진 호환성 문제가 있습니다. 이는 다음에 대한 지원이 부족하기 때문입니다. RSA 2048비트 키.

일반적인 원인

  1. RSA 키 길이: Windows 11 및 Windows Server 2022는 Azure Disk Encryption용 RSA 2048비트 키를 지원하지 않습니다.
  2. 누락된 종속성: 일부 Windows Server 구성에는 다음과 같은 추가 구성 요소가 필요합니다. bdehdcfg 또는 .NET Framework.

공식 문서

Microsoft는 Windows VM용 Azure Disk Encryption 사용 설정 문서에서 이러한 제한 사항을 인정하고, 특정 OS 버전에 더 긴 RSA 키 길이를 사용할 것을 권장하는 FAQ 섹션을 제공합니다.

이 오류를 해결하고 Azure Disk Encryption을 성공적으로 활성화하려면 아래에 자세히 설명된 두 가지 방법 중 하나를 따르세요.

솔루션 1: BitLocker 암호화 키(BEK) 사용

Azure Disk Encryption은 다음을 사용한 암호화를 지원합니다. BitLocker 암호화 키(BEK). 키 암호화 키(KEK) 대신 BEK를 사용하면 Key Vault의 래핑 문제를 우회할 수 있습니다.

  1. 암호화 설정 수정:
    • Azure Portal을 엽니다.
    • VM으로 이동하여 Disks을(를) 선택합니다.
    • KEK 대신 BEK를 사용하여 디스크 암호화를 구성합니다.
  2. 암호화 테스트:
    • 디스크 암호화를 활성화한 후 VM을 다시 시작합니다.
    • 암호화가 오류 없이 성공적으로 적용되었는지 확인합니다.

솔루션 2: RSA 키 길이 늘리기

Windows 11 및 Windows Server 2022는 2048비트보다 큰 RSA 키 길이가 필요합니다. Key Vault 키를 다음으로 RSA 3072 또는 RSA 4096 업데이트하세요.

  1. 새 RSA 키 만들기:
    • Azure Portal에서 Azure Key Vault 으로 이동합니다.
    •  Keys 을(를) 선택하고 Generate/Import을(를) 클릭합니다.
    •  RSA-HSM 을(를) 선택하고 키 크기가 3072 또는 4096 비트인 것을 선택합니다.
  2. 디스크 암호화 설정 업데이트:
    • 암호화 구성에서 새 RSA 키를 사용합니다.
    • 변경 사항을 적용하려면 VM을 다시 시작합니다.
  3. 암호화 확인:
    • 프로비전 상태를 확인하여 디스크 암호화 확장이 성공했는지 확인합니다.

주요 고려 사항

다른 Windows Server 버전의 경우 다음 종속성이 설치되어 있는지 확인하세요.

운영 체제요구 사항
Windows Server 2012 R2 Core bdehdcfg 구성 요소를 설치합니다.
Windows Server 2016 Core bdehdcfg 구성 요소를 설치합니다.
Windows Server 2008 R2 .NET Framework 4.5 을(를) Windows 업데이트(KB2901983)를 통해 설치합니다.

자세한 내용은 Azure Disk Encryption 필수 구성 요소문서를 참조하세요.

예제 코드 조각

다음은 Key Vault의 RSA 키 길이를 업데이트하는 Azure CLI 예입니다.

BASH# Create a new RSA key with 4096 bits in Azure Key Vault
az keyvault key create \
  --vault-name <YourKeyVaultName> \
  --name <YourKeyName> \
  --kty RSA \
  --size 4096

 <YourKeyVaultName> 과(와) <YourKeyName> 을(를) 실제 Key Vault 및 키 이름으로 바꾸세요.

참조

추가 문제 해결 및 지침은 다음 리소스를 참조하세요.

댓글 남기기