Безопасное сохранение парольной фразы агента MARS и управление ими в Azure Key Vault

Azure Backup с помощью агента служб восстановления (MARS) позволяет создавать резервные копии файлов и папок и данных состояния системы в хранилище служб восстановления Azure. Эти данные шифруются с помощью парольной фразы, предоставляемой во время установки и регистрации агента MARS. Эта парольная фраза необходима для извлечения и восстановления резервных данных и должна быть сохранена в безопасном внешнем расположении.

Important

Если эта парольная фраза потеряна, корпорация Майкрософт не сможет получить данные резервного копирования, хранящиеся в хранилище служб восстановления. Рекомендуется хранить эту парольную фразу в безопасном внешнем расположении, например Azure Key Vault.

Теперь вы можете безопасно сохранить парольную фразу шифрования в Azure Key Vault в качестве секрета. Для новых компьютеров можно сохранить парольную фразу из консоли MARS во время установки. Для существующих компьютеров сохраните парольную фразу, изменив ее. Чтобы включить сохранение в Azure Key Vault, предоставьте хранилищу служб восстановления разрешение на создание секрета в Key Vault.

Предпосылки

Прежде чем приступить к защите парольной фразы в Azure Key Vault, убедитесь, что выполнены следующие предварительные требования:

Создайте хранилище служб восстановления , если у вас его нет.
Создайте Key Vault в случае, если у вас нет этого хранилища. Цены на Azure Key Vault применимы при создании нового Хранилища ключей Azure для хранения парольной фразы. Для хранения всех парольных фраз следует использовать один Azure Key Vault.
Включите мягкое удаление и защиту от очистки в Key Vault после создания, чтобы предотвратить случайное или вредоносное удаление парольных фраз. Дополнительные сведения об управлении восстановлением Azure Key Vault с помощью обратимого удаления и защиты очистки.
Проверьте версию агента MARS; эта функция поддерживается только в общедоступных регионах Azure с агентом MARS версии 2.0.9262.0 или более поздней.

Настройка хранилища служб восстановления для хранения парольной фразы агента MARS в Azure Key Vault

Прежде чем сохранить парольную фразу в Azure Key Vault, настройте хранилище служб восстановления и Azure Key Vault.

Чтобы настроить хранилище, выполните следующие действия в заданной последовательности, чтобы достичь предполагаемых результатов. Каждое действие подробно рассматривается в следующих разделах:

Включена управляемая удостоверенность, назначенная системой для хранилища служб восстановления.
Чтобы сохранить парольную фразу в качестве секрета в Azure Key Vault, назначьте разрешения хранилищу служб восстановления.
Включите мягкое удаление и защиту от окончательного удаления в Azure Key Vault.

Note

После включения этой функции нельзя отключать управляемое удостоверение (даже временно). Отключение управляемого удостоверения может привести к непредсказуемому поведению.
Назначаемое пользователем управляемое удостоверение в настоящее время не поддерживается для сохранения парольной фразы в Azure Key Vault.

Включите системно назначаемую управляемую идентичность для хранилища служб восстановления

Выберите клиент:

Выполните следующие действия:

Перейдите кхранилищу служб восстановления>идентификатору.
Выберите вкладку Назначаемое системой.
Измените состояние на "Вкл.".
Нажмите Сохранить, чтобы активировать идентификатор для хранилища.

Создается идентификатор объекта, который является назначаемым системой управляемым удостоверением хранилища.

Чтобы включить управляемое удостоверение, выдаваемое системой, для хранилища служб восстановления, используйте командлет Update-AzRecoveryServicesVault.

Example

$vault=Get-AzRecoveryServicesVault -ResourceGroupName "testrg" -Name "testvault"
Update-AzRecoveryServicesVault -IdentityType SystemAssigned -ResourceGroupName TestRG -Name TestVault
$vault.Identity | fl

PrincipalId : xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
TenantId    : xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
Type        : SystemAssigned

Чтобы включить назначаемое системой управляемое удостоверение для хранилища служб восстановления, используйте команду az backup vault identity assign.

Example

az backup vault identity assign --system-assigned --resource-group MyResourceGroup --name MyVault

PrincipalId : xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
TenantId    : xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
Type        : SystemAssigned

Назначение разрешений для сохранения парольной фразы в Azure Key Vault

На основе модели разрешений Key Vault (разрешения на основе ролей или модели разрешений на основе политик доступа), настроенной для Key Vault, см. следующие разделы.

Включение разрешений с помощью модели разрешений доступа на основе ролей для Key Vault

Выберите клиент:

Чтобы дать разрешения, выполните следующие шаги.

Перейдите в Azure Key Vault, затем > и >, чтобы убедиться, что модель разрешений настроена как RBAC.
Выберите элемент управления доступом (IAM)>+Добавить , чтобы добавить назначение ролей.
Идентификатор хранилища служб восстановления требует разрешения на установку секрета для создания и добавления секретного ключа в качестве Секрета в Key Vault.

Вы можете выбрать встроенную роль, например, специалист по секретам Key Vault, который имеет разрешение (вместе с другими разрешениями, не требуемыми для этой функции), или создать пользовательскую роль только с разрешением установки секретов.

В разделе "Сведения" выберите "Просмотр" для просмотра разрешений, предоставленных ролью, и убедитесь, что разрешение Set для Секрет доступно.
Нажмите "Далее", чтобы перейти к выбору Участников для назначения.
Выберите управляемое удостоверение и нажмите кнопку "Выбрать участников". Выберите подписку целевого хранилища служб восстановления, выберите хранилище служб восстановления в управляемом удостоверении, назначаемом системой.

Выполните поиск и выберите имя хранилища служб восстановления.
Нажмите кнопку "Далее", просмотрите назначение и нажмите кнопку "Проверить и назначить".
Перейдите к контролю доступа (IAM) в Ключевом хранилище, выберите назначения ролей и убедитесь, что в списке указано хранилище служб восстановления.

Чтобы назначить разрешения, выполните следующий командлет:

#Find the application id for your recovery services vault
Get-AzADServicePrincipal -SearchString <principalName>
#Identify a role with Set permission on Secret, like Key Vault Secret Office
Get-AzRoleDefinition | Format-Table -Property Name, IsCustom, Id
#Assign role to Recovery Services Vault identity 
Get-AzRoleDefinition -Name <roleName>
#Assign by Service Principal ApplicationId
New-AzRoleAssignment -RoleDefinitionName 'Key Vault Secrets Officer' -ApplicationId {i.e 00001111-aaaa-2222-bbbb-3333cccc4444} -Scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}/providers/Microsoft.KeyVault/vaults/{key-vault-name}

Чтобы назначить разрешения, выполните следующую команду:

#Find the application id for your recovery services vault
az ad sp list --all --filter "displayname eq '<my recovery vault name>' and servicePrincipalType eq 'ManagedIdentity'"
#Identify a role with Set permission on Secret, like Key Vault Secret Office
az role definition list --query "[].{name:name, roleType:roleType, roleName:roleName}" --output tsv
az role definition list --name "{roleName}"
#Assign role to Recovery Services Vault identity 
az role assignment create --role "Key Vault Secrets Officer" --assignee "<application id>" {i.e "11112222-bbbb-3333-cccc-4444dddd5555"} --scope /subscriptions/{subscriptionid}/resourcegroups/{resource-group-name}/providers/Microsoft.KeyVault/vaults/{key-vault-name}

Включение разрешений с помощью модели разрешений политики доступа для Key Vault

Выберите клиент:

Выполните следующие действия:

Перейдите к политикам доступа к Azure Key Vault>доступа>, и затем нажмите + Создать.
В разделе "Разрешения секрета" выберите "Задать операцию".

Этот параметр задает разрешенные действия в секрете.
Перейдите к Выбор основного учетного элемента и найдите хранилище в поле поиска, используя его имя или управляемое удостоверение.

Выберите хранилище из результата поиска и нажмите кнопку "Выбрать".
Перейдите в раздел "Просмотр и создание", убедитесь, что функция "Настроить разрешения" доступна и учетная запись является правильным хранилищем служб восстановления, а затем нажмите Создать.

Чтобы получить идентификатор принципала хранилища Recovery Services, используйте командлет Get-AzADServicePrincipal. Затем используйте этот идентификатор в командлете Get-AzADServicePrincipal , чтобы задать политику доступа для хранилища ключей.

Example

$sp = Get-AzADServicePrincipal -DisplayName MyVault
$Set-AzKeyVaultAccessPolicy -VaultName myKeyVault -ObjectId $sp.Id -PermissionsToSecrets set

Чтобы получить основной идентификатор хранилища для служб восстановления, воспользуйтесь командой az ad sp list, а затем используйте этот идентификатор в команде az keyvault set-policy, чтобы установить политику доступа для хранилища ключей.

Example

az ad sp list --display-name MyVault
az keyvault set-policy --name myKeyVault --object-id <object-id> --secret-permissions set

Включите мягкое удаление и защиту от очистки в Azure Key Vault

Необходимо включить возможность мягкого удаления и защиту от окончательного удаления в Azure Key Vault, где хранится ваш ключ шифрования.

Выбор клиента*

Вы можете включить мягкое удаление и защиту от очистки в Azure Key Vault.

Кроме того, эти свойства можно задать при создании Key Vault. Дополнительные сведения об этих свойствах Key Vault.

Войдите в свою учетную запись Azure.
```
Login-AzAccount
```
Выберите подписку, содержащую хранилище.
```
Set-AzContext -SubscriptionId SubscriptionId
```

Включите мягкое удаление.

($resource = Get-AzResource -ResourceId (Get-AzKeyVault -VaultName "AzureKeyVaultName").ResourceId).Properties | Add-Member -MemberType "NoteProperty" -Name "enableSoftDelete" -Value "true"
Set-AzResource -resourceid $resource.ResourceId -Properties $resource.Properties

Включите защиту очистки.

($resource = Get-AzResource -ResourceId (Get-AzKeyVault -VaultName "AzureKeyVaultName").ResourceId).Properties | Add-Member -MemberType "NoteProperty" -Name "enablePurgeProtection" -Value "true"
Set-AzResource -resourceid $resource.ResourceId -Properties $resource.Properties

Войдите в учетную запись Azure.
```
az login
```
Выберите подписку, содержащую ваше хранилище данных.
```
az account set --subscription "Subscription1"
```

Включение обратимого удаления

az keyvault update --subscription {SUBSCRIPTION ID} -g {RESOURCE GROUP} -n {VAULT NAME} --enable-soft-delete true

Включение защиты очистки

az keyvault update --subscription {SUBSCRIPTION ID} -g {RESOURCE GROUP} -n {VAULT NAME} --enable-purge-protection true

Сохранение парольной фразы агента MARS в Azure Key Vault для новой установки MARS

Прежде чем продолжить установку агента MARS, убедитесь, что хранилище служб восстановления настроено для хранения парольной фразы в Azure Key Vault и успешно:

Вы создали хранилище служб восстановления.
Включена управляемая идентичность, назначаемая системой, для хранилища служб восстановления.
Назначены разрешения для хранилища служб восстановления для создания секрета в Key Vault.
Включены мягкое удаление и защита от безвозвратного удаления для вашего Key Vault.
Чтобы установить агент MARS на компьютере, скачайте установщик MARS на портале Azure и используйте мастер установки.
После предоставления учетных данных хранилища служб восстановления во время регистрации в параметре шифрования выберите параметр, чтобы сохранить парольную фразу в Azure Key Vault.
Введите парольную фразу или выберите "Создать парольную фразу".
На портале Azure откройте Key Vault, скопируйте URI Key Vault.
Вставьте URI Key Vault в консоль MARS, затем выберите Регистрация.

Если возникла ошибка, ознакомьтесь с разделом по устранению неполадок , чтобы получить дополнительные сведения.
После успешной регистрации параметр копирования идентификатора в секрет создается, а парольная фраза не сохраняется в файле локально.

Если изменить парольную фразу в будущем для этого агента MARS, будет добавлена новая версия секрета с последней парольной фразой.

Этот процесс можно автоматизировать с помощью нового параметра KeyVaultUri в Set-OBMachineSetting commandскрипте установки.

Сохранение парольной фразы агента MARS в Azure Key Vault для существующей установки MARS

Если у вас есть существующая установка агента MARS и хотите сохранить парольную фразу в Azure Key Vault, обновите агент до версии 2.0.9262.0 или более поздней и выполните операцию смены парольной фразы.

После обновления агента MARS убедитесь, что хранилище служб резервного копирования настроено для хранения парольной фразы в Azure Key Vault и вы успешно:

Вы создали хранилище служб восстановления.
Включена управляемая идентичность, назначаемая системой, для хранилища служб восстановления.
Назначены разрешения для хранилища служб восстановления для создания секрета в Key Vault.
Включена обратимая защита удаления и очистки для Key Vault

Чтобы сохранить парольную фразу в Key Vault, выполните следующие действия.

Откройте консоль агента MARS.

Вы увидите баннер с просьбой выбрать ссылку, чтобы сохранить парольную фразу в Azure Key Vault.

В качестве альтернативы выберите "Изменить свойства">"Изменить кодовую фразу", чтобы продолжить.
В диалоговом окне "Изменение свойств" появится параметр сохранения парольной фразы в Key Vault, указав универсальный код ресурса (URI) Key Vault .

Note

Если компьютер уже настроен для сохранения парольной фразы в Key Vault, URI Key Vault будет автоматически заполнен в текстовом поле.
Откройте портал Azure, откройте Key Vault и скопируйте URI Key Vault.
Вставьте универсальный код ресурса (URI) Key Vault в консоль MARS и нажмите кнопку "ОК".

Если возникла ошибка, ознакомьтесь с разделом по устранению неполадок , чтобы получить дополнительные сведения.
После успешной операции изменения парольной фразы можно скопировать идентификатор в секрет , и парольная фраза не сохраняется в файле локально.

Если вы в будущем измените парольную фразу для этого агента MARS, будет добавлена новая версия секрета с новейшей парольной фразой.

Этот шаг можно автоматизировать с помощью нового параметра KeyVaultUri в командлете Set-OBMachineSetting .

Получение парольной фразы агента MARS из Azure Key Vault для компьютера

Если ваш компьютер становится недоступен и необходимо восстановить данные из резервных копий из хранилища служб восстановления с помощью восстановления в альтернативное место, вам потребуется парольная фраза машины.

Парольная фраза сохраняется в Azure Key Vault в качестве секрета. Один секрет создается на компьютере, а новая версия добавляется в секрет при изменении парольной фразы компьютера. Секрет называется AzBackup-machine fully qualified name-vault name.

Чтобы найти парольную фразу компьютера, выполните следующие действия.

На портале Azure откройте Key Vault, используемое для сохранения парольной фразы для компьютера.

Мы рекомендуем использовать одно хранилище ключей для сохранения всех парольных фраз.
Выберите секреты и выполните поиск секрета с именем AzBackup-<machine name>-<vaultname>.
Выберите секрет, откройте последнюю версию и скопируйте значение секрета.

Это парольная фраза компьютера, которая будет использоваться во время восстановления.

Если у вас есть большое количество секретов в Key Vault, используйте интерфейс командной строки (CLI) Key Vault для их перечисления и поиска.

az keyvault secret list --vault-name 'myvaultname’ | jq '.[] | select(.name|test("AzBackup-<myvmname>"))'

Решение распространенных проблем сохранения секретной фразы в Azure Key Vault

В этом разделе перечислены распространенные ошибки при сохранении парольной фразы в Azure Key Vault.

Идентификация системы не настроена — 391224

Причина. Эта ошибка возникает, если в хранилище служб восстановления не настроено управляемое удостоверение, назначаемое системой.

Рекомендуемое действие. Убедитесь, что управляемое удостоверение, назначаемое системой, правильно настроено для хранилища служб восстановления в соответствии с предварительными условиями.

Разрешения не настроены — 391225

Причина. Хранилище служб восстановления имеет управляемое удостоверение, назначаемое системой, но у него нет разрешения на создание секрета в целевом хранилище ключей.

Рекомендуемое действие:

Убедитесь, что используемые учетные данные хранилища соответствуют заданному хранилищу служб восстановления.
Убедитесь, что URI хранилища ключей соответствует предназначенному хранилищу ключей.
Убедитесь, что имя хранилища служб восстановления указано в Key Vault —> политиках доступа —> приложения, с разрешениями на секреты установлено.

Если он не указан, настройте разрешение еще раз.

Неправильный URI Хранилища ключей Azure — 100272

Причина. Введенный универсальный код ресурса (URI) Key Vault не имеет правильного формата.

Рекомендуемое действие. Убедитесь, что вы ввели URI Key Vault, скопированный на портале Azure. Например: https://myvault.vault.azure.net/.

UserErrorSecretExistsSoftDeleted (391282)

Причина: секрет в ожидаемом формате уже существует в Key Vault, но он находится в состоянии мягкого удаления. Если секрет не восстановлен, MARS не может сохранить парольную фразу для этого компьютера в предоставленном Key Vault.

Рекомендуемое действие: Проверьте, существует ли секрет в хранилище с именем AzBackup-<machine name>-<vaultname>, и находится ли он в состоянии "мягкого удаления". Восстановите мягко удаленный секрет, чтобы сохранить парольную фразу в нём.

UserErrorKeyVaultSoftDeleted (391283)

Причина: Хранилище ключей, предоставленное MARS, находится в состоянии мягкого удаления.

Рекомендуемое действие: восстановите Хранилище ключей или предоставьте новое хранилище ключей.

Регистрация не завершена

Причина: вы не выполнили регистрацию MARS, зарегистрируя парольную фразу. Таким образом, вы не сможете настраивать резервные копии, пока не зарегистрируетесь.

Рекомендуемое действие: выберите предупреждение и завершите регистрацию.

Обратная связь

Были ли сведения на этой странице полезными?

Last updated on 2025-10-10

Поделиться через

Безопасное сохранение парольной фразы агента MARS и управление ими в Azure Key Vault

Предпосылки

Настройка хранилища служб восстановления для хранения парольной фразы агента MARS в Azure Key Vault

Включите системно назначаемую управляемую идентичность для хранилища служб восстановления

Назначение разрешений для сохранения парольной фразы в Azure Key Vault

Включение разрешений с помощью модели разрешений доступа на основе ролей для Key Vault

Включение разрешений с помощью модели разрешений политики доступа для Key Vault

Включите мягкое удаление и защиту от очистки в Azure Key Vault

Сохранение парольной фразы агента MARS в Azure Key Vault для новой установки MARS

Сохранение парольной фразы агента MARS в Azure Key Vault для существующей установки MARS

Получение парольной фразы агента MARS из Azure Key Vault для компьютера

Решение распространенных проблем сохранения секретной фразы в Azure Key Vault

Идентификация системы не настроена — 391224

Разрешения не настроены — 391225

Неправильный URI Хранилища ключей Azure — 100272

UserErrorSecretExistsSoftDeleted (391282)

UserErrorKeyVaultSoftDeleted (391283)

Регистрация не завершена

Обратная связь

Дополнительные ресурсы