Problembehandlung bei Widerrufszenarien für Ihr mit kundenseitig verwalteten Schlüsseln konfiguriertes Azure Cosmos DB-Konto

In Ihrem Azure Cosmos DB-Konto gespeicherte Daten werden automatisch und nahtlos mit Schlüsseln verschlüsselt, die der Kunde als zweite Verschlüsselungsebene verwaltet. Wenn das Azure Cosmos DB-Konto nicht mehr wie in den Azure Cosmos DB-Kontoeinstellungen festgelegt auf den Azure Key Vault-Schlüssel zugreifen kann (siehe KeyVaultKeyUri), wird das Konto in den Zustand „Widerrufen“ versetzt. In diesem Zustand sind die einzigen zulässigen Vorgänge Kontoaktualisierungen, die die aktuell zugewiesene Standardidentität aktualisieren, oder das Löschen des Kontos. Vorgänge auf Datenebene wie das Lesen oder Schreiben von Dokumenten sind eingeschränkt.

In diesem Leitfaden zur Problembehandlung erfahren Sie, wie Sie den Zugriff bei den häufigsten Fehlern mit kundenseitig verwalteten Schlüsseln wiederherstellen. Überprüfen Sie jeweils die erhaltene Fehlermeldung, wenn ein eingeschränkter Vorgang ausgeführt wird, oder lesen Sie die Informationen zur customerManagedKeyStatus-Eigenschaft in Ihrem Azure Cosmos DB-Konto.

Standardidentität ist nicht autorisiert, auf den Azure Key Vault-Schlüssel zuzugreifen

Fehlerursache

Der Fehler wird angezeigt, wenn die Standardidentität für das Azure Cosmos DB-Konto nicht mehr autorisiert ist, einen Aufruf zum Abrufen, Umschließen oder Aufheben der Umschließung an den Schlüsseltresor auszuführen, oder wenn Ihr Schlüssel deaktiviert wurde oder abgelaufen ist.

Troubleshooting

Vergewissern Sie sich, dass Ihr Schlüssel weder deaktiviert wurde noch abgelaufen ist. Im Gegenteil, stellen Sie bei Verwendung von Zugriffsrichtlinien sicher, dass die Berechtigungen für Abrufen, Verschlüsseln und Entschlüsseln in Ihrem Schlüsseltresor der Identität zugewiesen sind, die als Standardidentität für das jeweilige Azure Cosmos DB-Konto festgelegt ist.

Falls Sie RBAC verwenden, überprüfen Sie, ob der Standardidentität die Rolle "Key Vault Kryptographie-Dienst Verschlüsselungsbenutzer" zugewiesen ist.

Eine weitere Option besteht darin, eine neue Identität mit der erwarteten Berechtigung zu erstellen und über den Azure Cosmos DB-Kontoaktualisierungsvorgang als neue Standardidentität festzulegen.

Nach der Zuweisung der Berechtigungen müssen Sie u. U. eine Stunde warten, bis sich das Konto nicht mehr im Zustand „Widerrufen“ befindet. Wenden Sie sich an den Kundendienst, wenn das Problem nach mehr als zwei Stunden nicht behoben ist.

Microsoft Entra: Fehler bei Tokenerwerb

Fehlerursache

Dieser Fehler wird angezeigt, wenn Azure Cosmos DB das Zugriffstoken für die Standardidentität von Microsoft Entra nicht abrufen kann. Das Token wird für die Kommunikation mit Azure Key Vault zum Packen oder Entpacken des Datenverschlüsselungsschlüssels verwendet.

Troubleshooting

Stellen Sie sicher, dass die dem Azure Cosmos DB-Konto zugewiesene Standardidentität die Identität einer vorhandenen Azure-Ressource mit allen entsprechenden Berechtigungen für den Zugriff auf Azure Key Vault ist.

Eine mögliche Problembehandlung wäre beispielsweise, eine neue Identität mit der erwarteten Berechtigung zu erstellen und über den Azure Cosmos DB-Kontoaktualisierungsvorgang als neue Standardidentität festzulegen.

Nach dem Aktualisieren der Standardidentität des Kontos müssen Sie u. U. eine Stunde warten, bis sich das Konto nicht mehr im Zustand „Widerrufen“ befindet. Wenden Sie sich an den Kundendienst, wenn das Problem nach mehr als zwei Stunden nicht behoben ist.

Azure Key Vault-Ressource nicht gefunden

Fehlerursache

Dieser Fehler wird angezeigt, wenn Azure-Key Vault oder der angegebene Schlüssel nicht gefunden werden.

Troubleshooting

Überprüfen Sie, ob der Azure Key Vault oder der angegebene Schlüssel vorhanden ist, und stellen Sie sie wieder her, wenn sie versehentlich gelöscht wurden, und warten Sie dann eine Stunde. Wenden Sie sich an den Kundendienst, wenn das Problem nach mehr als 2 Stunden nicht behoben ist.

Azure-Schlüssel deaktiviert oder abgelaufen

Fehlerursache

Dieser Fehler wird angezeigt, wenn der Azure Key Vault-Schlüssel abgelaufen oder gelöscht wurde.

Troubleshooting

Wenn Ihr Schlüssel deaktiviert wurde, aktivieren Sie ihn. Wenn er abgelaufen ist, heben Sie das Ablaufdatum auf, und sobald das Konto nicht mehr widerrufen wird, können Sie den Schlüssel rotieren, da Azure Cosmos DB die Schlüsselversion aktualisiert, sobald das Konto online ist.

Ungültige Azure Cosmos DB-Standardidentität

Fehlerursache

Das Azure Cosmos DB-Konto wechselt in den Zustand „Widerrufen“, wenn dafür keiner der folgenden Identitätstypen als Standardidentität festgelegt ist:

• FirstPartyIdentity
• SystemAssignedIdentity
• UserAssignedIdentity
• DelegatedSystemAssignedIdentity
• DelegatedUserAssignedIdentity

Troubleshooting

Stellen Sie sicher, dass Ihre Standardidentität die Identität einer gültigen Azure-Ressource ist und über alle erwarteten Berechtigungen für den Zugriff auf Azure Key Vault verfügt. Nach der Zuweisung der Berechtigungen müssen Sie u. U. eine Stunde warten, bis sich das Konto nicht mehr im Zustand „Widerrufen“ befindet. Wenden Sie sich an den Kundendienst, wenn das Problem nach mehr als zwei Stunden nicht behoben ist.

Falsche Syntax für die Key Vault-URI-Eigenschaft erkannt

Fehlerursache

Dieser Fehler wird angezeigt, wenn die interne Überprüfung erkennt, dass die Key Vault-URI-Eigenschaft für das Azure Cosmos DB-Konto anders als erwartet ist.

Troubleshooting

Sie müssen die KeyVaultkeyUri-Eigenschaft Ihres Kontos auf einen gültigen Key Vault-Schlüssel-URI aktualisieren. Ein Beispiel für einen gültigen Azure Key Vault-Schlüssel-URI wäre: "https://ContosoKeyVault.vault.azure.net/keys". Es ist wichtig zu erwähnen, dass die Version des Schlüssels nicht eingeschlossen werden muss.

Nach der Aktualisierung der Eigenschaft KeyVaultKeyUri müssen Sie möglicherweise bis zu einer Stunde warten, bis sich das Konto nicht mehr im Widerrufszustand befindet. Wenden Sie sich an den Kundendienst, wenn das Problem nach mehr als zwei Stunden nicht behoben ist.

Fehler bei der internen Entpackprozedur

Fehlerursache

Die Fehlermeldung wird angezeigt, wenn der Azure Cosmos DB-Dienst den Schlüssel nicht ordnungsgemäß entpacken kann.

Troubleshooting

Falls entweder der Key Vault oder der kundenseitig verwaltete Schlüssel kürzlich gelöscht wurde, stellen Sie die Ressource wieder her, und warten Sie eine Stunde. Wenden Sie sich an den Kundendienst, wenn das Problem nach mehr als 2 Stunden nicht behoben ist.

Key Vault-DNS kann nicht aufgelöst werden

Fehlerursache

Die Fehlermeldung wird angezeigt, wenn der Key Vault-DNS-Name nicht aufgelöst werden kann. Der Fehler kann darauf hindeuten, dass es ein größeres Problem im Azure Key Vault-Dienst gibt, das den Zugriff von Cosmos DB auf Ihren Schlüssel blockiert.

Troubleshooting

Wenn der Key Vault kürzlich gelöscht wurde, müssen Sie ihn wiederherstellen. Sie müssen andernfalls u. U. bis zu zwei Stunden warten, bis das Konto wieder verfügbar ist. Wenden Sie sich an den Kundendienst, wenn keine dieser Lösungen die Sperrung des Kontos aufheben sollte.