Aracılığıyla paylaş

Azure Stack Hub'da uzantı konağına hazırlanma

  • Makale

Uzantı konağı, gerekli TCP/IP bağlantı noktalarının sayısını azaltarak Azure Stack Hub'ın güvenliğini sağlar. Bu makalede, 1808 güncelleştirmesinin ardından bir Azure Stack Hub güncelleştirme paketi aracılığıyla otomatik olarak etkinleştirilen uzantı konağı için Azure Stack Hub'ın hazırlanmasına bakılır. Bu makale Azure Stack Hub güncelleştirmeleri 1808, 1809 ve 1811 için geçerlidir.

Sertifika gereksinimleri

Uzantı konağı, her portal uzantısı için benzersiz konak girdilerini garanti etmek için iki yeni etki alanı ad alanı uygular. Yeni etki alanı ad alanları, güvenli iletişim sağlamak için iki ek joker sertifika gerektirir.

Tabloda yeni ad alanları ve ilişkili sertifikalar gösterilir:

Dağıtım Klasörü Gerekli sertifika konusu ve konu alternatif adları (SAN) Kapsam (bölge başına) Alt etki alanı ad alanı
uzantı kona Yönetici *.adminhosting.<bölge.><fqdn> (Joker Karakter SSL Sertifikaları) uzantı kona Yönetici adminhosting.<bölge.><Fqdn>
Genel uzantı konağı *.Barındırma.<bölge.><fqdn> (Joker Karakter SSL Sertifikaları) Genel uzantı konağı Barındırma.<bölge.><Fqdn>

Ayrıntılı sertifika gereksinimleri için bkz. Azure Stack Hub ortak anahtar altyapısı sertifika gereksinimleri.

Sertifika imzalama isteği oluşturma

Azure Stack Hub Hazır Olma Denetleyicisi aracı, iki yeni ve gerekli SSL sertifikası için bir sertifika imzalama isteği oluşturmanıza olanak tanır. Azure Stack Hub sertifikaları imzalama isteği oluşturma makalesindeki adımları izleyin.

Not

SSL sertifikalarınızı nasıl istediğinize bağlı olarak bu adımı atlayabilirsiniz.

Yeni sertifikaları doğrulama

  1. Donanım yaşam döngüsü konağı veya Azure Stack Hub yönetim iş istasyonu üzerinde yükseltilmiş izinle PowerShell'i açın.

  2. Azure Stack Hub Hazırlık Denetleyicisi aracını yüklemek için aşağıdaki cmdlet'i çalıştırın:

    Install-Module -Name Microsoft.AzureStack.ReadinessChecker

  3. Gerekli klasör yapısını oluşturmak için aşağıdaki betiği çalıştırın:

    New-Item C:\Certificates -ItemType Directory

$directories = 'ACSBlob','ACSQueue','ACSTable','Admin Portal','ARM Admin','ARM Public','KeyVault','KeyVaultInternal','Public Portal', 'Admin extension host', 'Public extension host'

$destination = 'c:\certificates'

$directories | % { New-Item -Path (Join-Path $destination $PSITEM) -ItemType Directory -Force}

    Not

    Microsoft Entra Kimliği Federasyon Hizmetleri (AD FS) ile dağıtım yaparsanız, betikteki $directories aşağıdaki dizinlerin eklenmesi gerekir: ADFS, Graph.

  4. Şu anda Azure Stack Hub'da kullanmakta olduğunuz mevcut sertifikaları uygun dizinlere yerleştirin. Örneğin, Yönetici ARM sertifikasını klasörüne Arm Admin yerleştirin. Ardından yeni oluşturulan barındırma sertifikalarını ve Public extension host dizinlerine Admin extension host yerleştirin.

  5. Sertifika denetimini başlatmak için aşağıdaki cmdlet'i çalıştırın:

    $pfxPassword = Read-Host -Prompt "Enter PFX Password" -AsSecureString 

Start-AzsReadinessChecker -CertificatePath c:\certificates -pfxPassword $pfxPassword -RegionName east -FQDN azurestack.contoso.com -IdentitySystem AAD

  6. Çıktıyı denetleyin ve tüm sertifikaların tüm testleri geçip geçmediğini denetleyin.

Uzantı konak sertifikalarını içeri aktarma

Sonraki adımlar için Azure Stack Hub ayrıcalıklı uç noktasına bağlanabilen bir bilgisayar kullanın. Bu bilgisayardan yeni sertifika dosyalarına erişiminiz olduğundan emin olun.

  1. Sonraki adımlar için Azure Stack Hub ayrıcalıklı uç noktasına bağlanabilen bir bilgisayar kullanın. Yeni sertifika dosyalarına bu bilgisayardan erişdiğinizden emin olun.

  2. Sonraki betik bloklarını yürütmek için PowerShell ISE'yi açın.

  3. Yönetici barındırma uç noktası için sertifikayı içeri aktarın.

    
$CertPassword = read-host -AsSecureString -prompt "Certificate Password"

$CloudAdminCred = Get-Credential -UserName <Privileged endpoint credentials> -Message "Enter the cloud domain credentials to access the privileged endpoint."

[Byte[]]$AdminHostingCertContent = [Byte[]](Get-Content c:\certificate\myadminhostingcertificate.pfx -Encoding Byte)

Invoke-Command -ComputerName <PrivilegedEndpoint computer name> `
-Credential $CloudAdminCred `
-ConfigurationName "PrivilegedEndpoint" `
-ArgumentList @($AdminHostingCertContent, $CertPassword) `
-ScriptBlock {
        param($AdminHostingCertContent, $CertPassword)
        Import-AdminHostingServiceCert $AdminHostingCertContent $certPassword
}

  4. Barındırma uç noktası için sertifikayı içeri aktarın.

    $CertPassword = read-host -AsSecureString -prompt "Certificate Password"

$CloudAdminCred = Get-Credential -UserName <Privileged endpoint credentials> -Message "Enter the cloud domain credentials to access the privileged endpoint."

[Byte[]]$HostingCertContent = [Byte[]](Get-Content c:\certificate\myhostingcertificate.pfx  -Encoding Byte)

Invoke-Command -ComputerName <PrivilegedEndpoint computer name> `
-Credential $CloudAdminCred `
-ConfigurationName "PrivilegedEndpoint" `
-ArgumentList @($HostingCertContent, $CertPassword) `
-ScriptBlock {
        param($HostingCertContent, $CertPassword)
        Import-UserHostingServiceCert $HostingCertContent $certPassword
}

DNS yapılandırmasını güncelleştirme

Not

DNS Tümleştirmesi için DNS Bölgesi temsilcisi kullandıysanız bu adım gerekli değildir. Tek tek konak A kayıtları Azure Stack Hub uç noktalarını yayımlayacak şekilde yapılandırılmışsa iki konak A kaydı daha oluşturmanız gerekir:

IP Konak adı Tür
<IP> *. Yönetici barındırma.<Bölge..>.<FQDN> A
<IP> *. Barındırma.<Bölge..>.<FQDN> A

Ayrılmış IP'ler Get-AzureStackStampInformation cmdlet'i çalıştırılarak ayrıcalıklı uç nokta kullanılarak alınabilir.

Bağlantı noktaları ve protokoller

Azure Stack Hub veri merkezi tümleştirmesi - Yayımlama uç noktaları makalesi, uzantı ana bilgisayar dağıtımından önce Azure Stack Hub'ı yayımlamak için gelen iletişim gerektiren bağlantı noktalarını ve protokolleri kapsar.

Yeni uç noktaları yayımlama

Güvenlik duvarınız aracılığıyla yayımlanması gereken iki yeni uç nokta vardır. Genel VIP havuzundan ayrılan IP'ler, Azure Stack Hub ortamınızın ayrıcalıklı uç noktasından çalıştırılması gereken aşağıdaki kod kullanılarak alınabilir.

# Create a PEP Session
winrm s winrm/config/client '@{TrustedHosts= "<IpOfERCSMachine>"}'
$PEPCreds = Get-Credential
$PEPSession = New-PSSession -ComputerName <IpOfERCSMachine> -Credential $PEPCreds -ConfigurationName "PrivilegedEndpoint" -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)

# Obtain DNS Servers and extension host information from Azure Stack Hub Stamp Information and find the IPs for the Host Extension Endpoints
$StampInformation = Invoke-Command $PEPSession {Get-AzureStackStampInformation} | Select-Object -Property ExternalDNSIPAddress01, ExternalDNSIPAddress02, @{n="TenantHosting";e={($_.TenantExternalEndpoints.TenantHosting) -replace "https://*.","testdnsentry"-replace "/"}},  @{n="AdminHosting";e={($_.AdminExternalEndpoints.AdminHosting)-replace "https://*.","testdnsentry"-replace "/"}},@{n="TenantHostingDNS";e={($_.TenantExternalEndpoints.TenantHosting) -replace "https://",""-replace "/"}},  @{n="AdminHostingDNS";e={($_.AdminExternalEndpoints.AdminHosting)-replace "https://",""-replace "/"}}
If (Resolve-DnsName -Server $StampInformation.ExternalDNSIPAddress01 -Name $StampInformation.TenantHosting -ErrorAction SilentlyContinue) {
    Write-Host "Can access AZS DNS" -ForegroundColor Green
    $AdminIP = (Resolve-DnsName -Server $StampInformation.ExternalDNSIPAddress02 -Name $StampInformation.AdminHosting).IPAddress
    Write-Host "The IP for the Admin Extension Host is: $($StampInformation.AdminHostingDNS) - is: $($AdminIP)" -ForegroundColor Yellow
    Write-Host "The Record to be added in the DNS zone: Type A, Name: $($StampInformation.AdminHostingDNS), Value: $($AdminIP)" -ForegroundColor Green
    $TenantIP = (Resolve-DnsName -Server $StampInformation.ExternalDNSIPAddress01 -Name $StampInformation.TenantHosting).IPAddress
    Write-Host "The IP address for the Tenant Extension Host is $($StampInformation.TenantHostingDNS) - is: $($TenantIP)" -ForegroundColor Yellow
    Write-Host "The Record to be added in the DNS zone: Type A, Name: $($StampInformation.TenantHostingDNS), Value: $($TenantIP)" -ForegroundColor Green
}
Else {
    Write-Host "Cannot access AZS DNS" -ForegroundColor Yellow
    $AdminIP = (Resolve-DnsName -Name $StampInformation.AdminHosting).IPAddress
    Write-Host "The IP for the Admin Extension Host is: $($StampInformation.AdminHostingDNS) - is: $($AdminIP)" -ForegroundColor Yellow
    Write-Host "The Record to be added in the DNS zone: Type A, Name: $($StampInformation.AdminHostingDNS), Value: $($AdminIP)" -ForegroundColor Green
    $TenantIP = (Resolve-DnsName -Name $StampInformation.TenantHosting).IPAddress
    Write-Host "The IP address for the Tenant Extension Host is $($StampInformation.TenantHostingDNS) - is: $($TenantIP)" -ForegroundColor Yellow
    Write-Host "The Record to be added in the DNS zone: Type A, Name: $($StampInformation.TenantHostingDNS), Value: $($TenantIP)" -ForegroundColor Green
}
Remove-PSSession -Session $PEPSession

Örnek Çıkış

Can access AZS DNS
The IP for the Admin Extension Host is: *.adminhosting.\<region>.\<fqdn> - is: xxx.xxx.xxx.xxx
The Record to be added in the DNS zone: Type A, Name: *.adminhosting.\<region>.\<fqdn>, Value: xxx.xxx.xxx.xxx
The IP address for the Tenant Extension Host is *.hosting.\<region>.\<fqdn> - is: xxx.xxx.xxx.xxx
The Record to be added in the DNS zone: Type A, Name: *.hosting.\<region>.\<fqdn>, Value: xxx.xxx.xxx.xxx

Not

Uzantı ana bilgisayarını etkinleştirmeden önce bu değişikliği yapın. Bu, Azure Stack Hub portallarının sürekli erişilebilir olmasını sağlar.

Uç nokta (VIP) Protokol Bağlantı noktaları
Yönetici Barındırma HTTPS 443
Barındırma HTTPS 443

Mevcut yayımlama Kurallarını güncelleştirme (Uzantı konağı etkinleştirme sonrası)

Not

1808 Azure Stack Hub Güncelleştirme Paketi henüz uzantı ana bilgisayarını etkinleştirmemektedir . Gerekli sertifikaları içeri aktararak uzantı konağına hazırlanmanızı sağlar. Uzantı konağı 1808 güncelleştirmesinin ardından bir Azure Stack Hub güncelleştirme paketi aracılığıyla otomatik olarak etkinleştirilmeden önce hiçbir bağlantı noktasını kapatmayın.

Mevcut güvenlik duvarı kurallarınızda aşağıdaki mevcut uç nokta bağlantı noktalarının kapatılması gerekir.

Not

Doğrulama başarılı olduktan sonra bu bağlantı noktalarının kapatılması önerilir.

Uç nokta (VIP) Protokol Bağlantı noktaları
Portal (yönetici) HTTPS 12495
12499
12646
12647
12648
12649
12650
13001
13003
13010
13011
13012
13020
13021
13026
30015
Portal (kullanıcı) HTTPS 12495
12649
13001
13010
13011
13012
13020
13021
30015
13003
Azure Resource Manager (yönetici) HTTPS 30024
Azure Resource Manager (kullanıcı) HTTPS 30024

Sonraki adımlar