Delen via

Veelvoorkomende problemen met PKI-certificaten van Azure Stack Hub oplossen

  • Artikel

De informatie in dit artikel helpt u bij het begrijpen en oplossen van veelvoorkomende problemen met PKI-certificaten van Azure Stack Hub. U kunt problemen detecteren wanneer u het hulpprogramma Gereedheidscontrole van Azure Stack Hub gebruikt om PKI-certificaten van Azure Stack Hub te valideren. Het hulpprogramma controleert of de certificaten voldoen aan de PKI-vereisten van een Azure Stack Hub-implementatie en het rouleren van geheimen van Azure Stack Hub en registreert de resultaten vervolgens in een report.json-bestand.

HTTP CRL - waarschuwing

Probleem : het certificaat bevat geen HTTP CRL in CDP-extensie.

Oplossing : dit is een niet-blokkerend probleem. Azure Stack vereist HTTP CRL voor intrekkingscontrole volgens de vereisten voor PKI-certificaat (Public Key Infrastructure) van Azure Stack Hub. Er is geen HTTP-CRL gedetecteerd op het certificaat. Om ervoor te zorgen dat de certificaatintrekkingscontrole werkt, moet de certificeringsinstantie een certificaat met een HTTP-CRL in de CDP-extensie uitgeven.

HTTP CRL - mislukt

Probleem : kan geen verbinding maken met HTTP CRL in CDP-extensie.

Oplossing : dit is een blokkeringsprobleem. Azure Stack vereist connectiviteit met een HTTP-CRL voor intrekkingscontrole volgens Het publiceren van Poorten en URL's van Azure Stack Hub (uitgaand).

PFX-versleuteling

Probleem : PFX-versleuteling is niet TripleDES-SHA1.

Oplossing : PFX-bestanden exporteren met TripleDES-SHA1-versleuteling . Dit is de standaardversleuteling voor alle Windows 10-clients bij het exporteren vanuit de certificaatmodule of bij het gebruik van Export-PFXCertificate.

PFX lezen

Waarschuwing : met een wachtwoord worden alleen de persoonlijke gegevens in het certificaat beveiligd.

Oplossing : PFX-bestanden exporteren met de optionele instelling voor Certificaatprivacy inschakelen.

Probleem: PFX-bestand is ongeldig.

Oplossing : exporteer het certificaat opnieuw met behulp van de stappen in PKI-certificaten van Azure Stack Hub voorbereiden voor implementatie.

Handtekening-algoritme

Probleem: handtekeningalgoritme is SHA1.

Oplossing : gebruik de stappen in Aanvraag voor ondertekening van Azure Stack Hub-certificaten om de aanvraag voor certificaatondertekening (CSR) opnieuw te genereren met het handtekeningalgoritme sha256. Dien de CSR vervolgens opnieuw in bij de certificeringsinstantie om het certificaat opnieuw uit te geven.

Persoonlijke sleutel

Probleem: de persoonlijke sleutel ontbreekt of bevat het kenmerk lokale computer niet.

Oplossing : exporteer het certificaat opnieuw vanaf de computer die de CSR heeft gegenereerd met behulp van de stappen in PKI-certificaten van Azure Stack Hub voorbereiden voor implementatie. Deze stappen omvatten het exporteren vanuit het certificaatarchief van de lokale computer.

Certificaatketen

Probleem : de certificaatketen is niet voltooid.

Oplossing : certificaten moeten een volledige certificaatketen bevatten. Exporteer het certificaat opnieuw met behulp van de stappen in PKI-certificaten van Azure Stack Hub voorbereiden voor implementatie en selecteer indien mogelijk de optie Alle certificaten in het certificeringspad opnemen.

DNS-namen

Probleem: de DNSNameList op het certificaat bevat geen azure Stack Hub-service-eindpuntnaam of een geldige jokertekenovereenkomst. Jokertekens zijn alleen geldig voor de meest linkse naamruimte van de DNS-naam. is bijvoorbeeld *.region.domain.com alleen geldig voor , niet *.table.region.domain.com.portal.region.domain.com

Oplossing : gebruik de stappen in Het genereren van aanvragen voor het ondertekenen van Azure Stack Hub-certificaten om de CSR opnieuw te genereren met de juiste DNS-namen ter ondersteuning van Azure Stack Hub-eindpunten. Dien de CSR opnieuw in bij een certificeringsinstantie. Volg vervolgens de stappen in PKI-certificaten van Azure Stack Hub voorbereiden voor implementatie om het certificaat te exporteren van de computer die de CSR heeft gegenereerd.

Sleutelgebruik

Probleem : sleutelgebruik ontbreekt digitale handtekening of sleutelcodering, of verbeterd sleutelgebruik ontbreekt serververificatie of clientverificatie.

Oplossing : gebruik de stappen in Het genereren van aanvragen voor het ondertekenen van Azure Stack Hub-certificaten om de CSR opnieuw te genereren met de juiste kenmerken voor sleutelgebruik. Verzend de CSR opnieuw bij de certificeringsinstantie en controleer of een certificaatsjabloon het sleutelgebruik in de aanvraag niet overschrijft.

Sleutelgrootte

Probleem: sleutelgrootte is kleiner dan 2048.

Oplossing : gebruik de stappen in Het genereren van aanvragen voor het ondertekenen van Azure Stack Hub-certificaten om de CSR opnieuw te genereren met de juiste sleutellengte (2048) en dien de CSR vervolgens opnieuw in bij de certificeringsinstantie.

Ketenvolgorde

Probleem: de volgorde van de certificaatketen is onjuist.

Oplossing : exporteer het certificaat opnieuw met behulp van de stappen in Azure Stack Hub PKI-certificaten voorbereiden voor implementatie en selecteer indien mogelijk de optie Alle certificaten in het certificeringspad opnemen. Zorg ervoor dat alleen het leaf-certificaat is geselecteerd voor export.

Andere certificaten

Probleem : het PFX-pakket bevat certificaten die niet het leaf-certificaat zijn of geen deel uitmaken van de certificaatketen.

Oplossing : exporteer het certificaat opnieuw met behulp van de stappen in Azure Stack Hub PKI-certificaten voorbereiden voor implementatie en selecteer indien mogelijk de optie Alle certificaten in het certificeringspad opnemen. Zorg ervoor dat alleen het leaf-certificaat is geselecteerd voor export.

Veelvoorkomende verpakkingsproblemen oplossen

Het hulpprogramma AzsReadinessChecker bevat een helper-cmdlet met de naam Repair-AzsPfxCertificate, waarmee u een PFX-bestand kunt importeren en exporteren om veelvoorkomende problemen met pakketten op te lossen, waaronder:

  • PFX-versleuteling is niet TripleDES-SHA1.
  • De persoonlijke sleutel ontbreekt het kenmerk van de lokale machine.
  • De certificaatketen is onvolledig of onjuist. De lokale computer moet de certificaatketen bevatten als het PFX-pakket dat niet doet.
  • Andere certificaten

Repair-AzsPfxCertificate kan niet helpen als u een nieuwe CSR moet genereren en een certificaat opnieuw moet geven.

Vereisten

De volgende vereisten moeten aanwezig zijn op de computer waarop het hulpprogramma wordt uitgevoerd:

Een bestaand PFX-bestand importeren en exporteren

  1. Open een PowerShell-prompt met verhoogde bevoegdheid op een computer die aan de vereisten voldoet en voer vervolgens de volgende opdracht uit om de Gereedheidscontrole van Azure Stack Hub te installeren:

    Install-Module Microsoft.AzureStack.ReadinessChecker -Force -AllowPrerelease

  2. Voer vanaf de PowerShell-prompt de volgende cmdlet uit om het PFX-wachtwoord in te stellen. Voer het wachtwoord in wanneer u hierom wordt gevraagd:

    $password = Read-Host -Prompt "Enter password" -AsSecureString

  3. Voer vanaf de PowerShell-prompt de volgende opdracht uit om een nieuw PFX-bestand te exporteren:

    • Geef -PfxPathvoor het pad op naar het PFX-bestand waarmee u werkt. In het volgende voorbeeld is .\certificates\ssl.pfxhet pad .
    • Geef -ExportPFXPathvoor de locatie en naam op van het PFX-bestand dat moet worden geëxporteerd. In het volgende voorbeeld is .\certificates\ssl_new.pfxhet pad :
    Repair-AzsPfxCertificate -PfxPassword $password -PfxPath .\certificates\ssl.pfx -ExportPFXPath .\certificates\ssl_new.pfx

  4. Nadat het hulpprogramma is voltooid, controleert u de uitvoer op succes:

    Repair-AzsPfxCertificate v1.1809.1005.1 started.
Starting Azure Stack Hub Certificate Import/Export
Importing PFX .\certificates\ssl.pfx into Local Machine Store
Exporting certificate to .\certificates\ssl_new.pfx
Export complete. Removing certificate from the local machine store.
Removal complete.
Log location (contains PII): C:\Users\username\AppData\Local\Temp\AzsReadinessChecker\AzsReadinessChecker.log
Repair-AzsPfxCertificate Completed

Volgende stappen