Azure KeyVaultAccessForbidden - 「展開できません」

Question

Azureでサービスファブリッククラスタを作成するための一連のスクリプトとテンプレートを作成しています。キーボルトと自己署名証明書を作成し、それをボールトに正常にアップロードするスクリプトがあります。別のスクリプトがクラスタを作成しますが、証明書がVMにリンクされている時点でエラーが発生しています。 New-AzureRmResourceGroupDeploymentコマンドからのエラーがある： -

{ 
    "status": "Failed", 
    "error": { 
    "code": "ResourceDeploymentFailure", 
    "message": "The resource operation completed with terminal provisioning state 'Failed'.", 
    "details": [ 
    { 
     "code": "KeyVaultAccessForbidden", 
     "message": "Key Vault https://VAULT-NAME.vault.azure.net/secrets/clusterCert/SECRET-ID either has not been enabled for deployment or the vault id provided, /subscriptions/SUBSCRIPTION-ID/resourceGroups/jg-sf/providers/Microsoft.KeyVault/vaults/VAULTNAME, does not match the Key Vault's true resource id." 
    } 
    ] 
} 

}

VAULT-NAME、サブスクリプションIDと秘密IDはすべて正しいです。鍵ボールトは、次のスクリーンショットに示されているように、パラメータ"enabledForTemplateDeployment": trueで作成されています。 https://github.com/goochjs/azure-testbed - 私のスクリプトとテンプレートがGitHubの中で見ることができます

。

問題を診断するにはどうすればよいですか？

ありがとう、

Jeremy。

Answer 1

どのように鍵ボールトを作成しますか？次のスクリプトを使用して鍵ボールトを作成し、CertificateURLを取得します。

New-AzureRmKeyVault -VaultName $KeyVaultName -ResourceGroupName $ResourceGroup -Location $Location -sku standard -EnabledForDeployment 

#Creates a new selfsigned cert and exports a pfx cert to a directory on disk 
$NewCert = New-SelfSignedCertificate -CertStoreLocation Cert:\CurrentUser\My -DnsName $CertDNSName 
Export-PfxCertificate -FilePath $CertFileFullPath -Password $SecurePassword -Cert $NewCert 
Import-PfxCertificate -FilePath $CertFileFullPath -Password $SecurePassword -CertStoreLocation Cert:\LocalMachine\My 

#Reads the content of the certificate and converts it into a json format 
$Bytes = [System.IO.File]::ReadAllBytes($CertFileFullPath) 
$Base64 = [System.Convert]::ToBase64String($Bytes) 

$JSONBlob = @{ 
    data = $Base64 
    dataType = 'pfx' 
    password = $Password 
} | ConvertTo-Json 

$ContentBytes = [System.Text.Encoding]::UTF8.GetBytes($JSONBlob) 
$Content = [System.Convert]::ToBase64String($ContentBytes) 

#Converts the json content a secure string 
$SecretValue = ConvertTo-SecureString -String $Content -AsPlainText -Force 

#Creates a new secret in Azure Key Vault 
$NewSecret = Set-AzureKeyVaultSecret -VaultName $KeyVaultName -Name $KeyVaultSecretName -SecretValue $SecretValue -Verbose 

#Writes out the information you need for creating a secure cluster 
Write-Host 
Write-Host "Resource Id: "$(Get-AzureRmKeyVault -VaultName $KeyVaultName).ResourceId 
Write-Host "Secret URL : "$NewSecret.Id 
Write-Host "Thumbprint : "$NewCert.Thumbprint 

この詳細については、blogを参照してください。

Resource Idの形式を確認することをおすすめします。正しい形式は/subscriptions/***************/resourceGroups/westus-mykeyvault/providers/Microsoft.KeyVault/vaults/shuisfsvaultです。 Azure PortalでSFクラスタを作成することができます。

まだ動作しない場合は、キーボルトを確認することをお勧めします。十分な権限を与えていますか？

注：テストでは、ユーザーにすべての権限を与えることができます。