从 Key Vault 将证书添加到 Azure VM

Question

我正在使用此链接上的步骤将应用服务证书配置到 Azure 虚拟机 - https://blogs.msdn.microsoft.com/appserviceteam/2017/10/26/configure-app-service-certificate-to-azure-virtual-machine/

我已经完成了第 1 步到第 6 步。我在尝试将证书从密钥保管库添加到 VM 时遇到了问题。我使用了链接中的步骤：https://docs.microsoft.com/en-us/azure/virtual-machines/windows/tutorial-secure-web-server

我在 azure 门户的云 shell 上使用了以下脚本。

$certUrl = (Get-AzureKeyVaultSecret -VaultName "xxxKeyVault" -Name "xxxcert").Id;

$vm=Get-AzureRmVM -ResourceGroupName "xxx_Group" -Name "XXX"

$vaultId=(Get-AzureRmKeyVault -VaultName "xxxKeyVault").ResourceId

$certStore = "MyCert";

$vm = Add-AzureRmVMSecret -VM $vm -SourceVaultId $vaultId -CertificateStore $certStore -CertificateUrl $certURL

Update-AzureRmVM -ResourceGroupName "xxx_Group" -VM $vm>

但是到最后一个脚本，我得到了错误

Update-AzureRmVM：列表 vaultCertificates 包含 (https://xxxkeyvault.vault.azure.net/secrets/xxxxxx/xxxxxx, mycert) 的重复实例，这是不允许的。 错误代码：无效参数 错误消息：列表 vaultCertificates 包含 (https://xxxkeyvault.vault.azure.net/secrets/xxxxxx/xxxxxx, mycert) 的重复实例，这是不允许的。 错误目标：Va​​ultCertificates 状态码：400 原因短语：错误请求 操作ID：51078b39-72a0-4a6f-be02-e0fff12dff8b 在行：1 字符：1 + 更新-AzureRmVM -ResourceGroupName "xxxx_Group" -VM $vm + ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~~~~~~ + CategoryInfo : CloseError: (:) [Update-AzVM], ComputeCloudException + FullyQualifiedErrorId : Microsoft.Azure.Commands.Compute.UpdateAzureVMCommand

我错过了什么吗？ 我的虚拟机一个窗口。

更新 我已经验证我在 Vm 上拥有多个相同的证书。请问，我到底要删除哪一个？

"secrets": [
        {
          "sourceVault": {
            "id": "/subscriptions/xxxx/resourceGroups/xxxx/providers/Microsoft.KeyVault/vaults/xxxKeyVault"
          },
          "vaultCertificates": [
            {
              "certificateUrl": "https://xxxkeyvault.vault.azure.net/secrets/xxxx/xxxx",
              "certificateStore": "My"
            },
            {
              "certificateUrl": "https://xxxxkeyvault.vault.azure.net/secrets/xxxxx/xxxxx",
              "certificateStore": "My"
            },
            {
              "certificateUrl": "https://xxxxkeyvault.vault.azure.net/secrets/xxxxxx/xxxxxxx",
              "certificateStore": "My"
            },
            {
              "certificateUrl": "https://xxxxkeyvault.vault.azure.net/secrets/xxxxxxx/xxxxxxxx",
              "certificateStore": "MyCert"
            }
          ]
        },
         {
      "sourceVault": {},
      "vaultCertificates": {}
    }
  ],

Answer 1

你需要做的是：

1. 打开 resources.azure.com
2. 导航到您的虚拟机
3. 点击编辑，从osProfile中移除证书，点击补丁
4. 重新运行您的脚本

Azure 的问题 - 它不知道（或关心）你的虚拟机是否真的有你要安装的证书，它抱怨的是虚拟机定义已经有这个证书，所以它不能添加它。

Answer 2

向 Azure VM 添加证书时，应首先确定 VM 的操作系统类型。使用您遵循的文档Secure a web server on a Windows virtual machine in Azure with SSL certificates stored in Key Vault 中的描述：

这些 SSL 证书可以存储在 Azure Key Vault 中，并允许 将证书安全部署到 Windows 虚拟机 (VM) 在 Azure 中。

似乎只适用于 Windows VM，我也做了测试。所以如果你想给 Linux VM 添加证书，你可以看看Secure a web server on a Linux virtual machine in Azure with SSL certificates stored in Key Vault。

另外，错误还显示：

Update-AzureRmVM：列出 vaultCertificates 包含重复的实例 (https://xxxkeyvault.vault.azure.net/secrets/xxxxxx/xxxxxx, mycert)，这是不允许的。

我建议您最好检查一下虚拟机是否已经拥有相同的证书。在我这边，如果你两次添加相同的证书，第二次会出现这样的错误：

希望这会对你有所帮助。