Hotfix do Azure Stack Hub 1.2002.65.171

Resumo

Como parte de uma revisão de segurança, determinamos que uma chave privada mantida pela Microsoft, usada para dar suporte ao desbloqueio do ponto de extremidade privilegiado do Azure Stack Hub para o build do Azure Stack Hub 2002, não foi protegida corretamente. Uma investigação adicional não encontrou evidências de uso indevido da chave privada. Sem muita cautela, a Microsoft está fornecendo esse hotfix para girar a chave pública usada para essa sequência de desbloqueio de suporte de ponto de extremidade privilegiado.  

Para usar essa chave privada, as seguintes condições devem ser atendidas:

1. Você deve ter credenciais de administrador de nuvem para o Dispositivo do Azure Stack Hub.

2. Você deve ter conectividade de rede com os endereços IP do ponto de extremidade privilegiado do Azure Stack Hub. Observe que esses endereços IP estão na rede de infraestrutura isolada. Em uma implantação padrão, esses endereços não aproveitariam endereços IP roteáveis pela Internet, tornando os pontos de extremidade acessíveis somente de sua rede interna/de gerenciamento.

3. Você deve usar a chave privada para processar o token de suporte de resposta de desafio e usá-lo para desbloquear o ponto de extremidade privilegiado. Isso é semelhante a um cenário de suporte envolvido diretamente com a Microsoft, conforme descrito no artigo do Azure Stack Hub usando o ponto de extremidade privilegiado no Azure Stack Hub.

Esse hotfix gira a chave pública usada para desbloquear o ponto de extremidade privilegiado do Azure Stack Hub para o Azure Stack Hub 2002 e inclui todos os hotfixes anteriores de 2002. É altamente recomendável instalar esse hotfix assim que possível. 

Correções acumuladas de versões anteriores do hotfix

• Confiabilidade de rede SDN aprimorada nos nós físicos.

• Corrigido um problema em que uma sub-rede virtual não estava sendo limpa se o túnel fosse movido para uma VM gw diferente e, em seguida, o VGW fosse excluído.

• Correção de um problema que poderia causar falha no registro e na rotação de segredo interno.

• Configurações específicas de memória adicionadas às configurações de despejo de memória.

• Correção do problema de invalidação do identificador SMB disparado pelo evento de erro 59 do ESENT no TableServer.

• Corrigido um problema que afeta a confiabilidade do download de atualizações subsequentes.

• Confiabilidade aprimorada da instalação do pacote NuGet após falha inesperada.

• Correção de um problema em que a validação do menu suspenso de assinatura falha quando o usuário só tem permissão de gravação de RG.

• Corrigido um problema em que a página de download de blob tinha um problema ao baixar itens grandes.

• Correção de um problema no qual a configuração do período de retenção para contas de armazenamento excluídas é revertida.

• Estabilidade aprimorada do Controlador de Rede.

• Maior retenção de log do Controlador de Rede para auxiliar no diagnóstico.

• Corrigido um problema em que os downloads do marketplace podiam falhar devido a um erro de validação de certificado.

• Inclua o certificado de identidade do provedor de implantação na rotação de segredo interno.

• Correção do WMI de armazenamento do Windows para manter a chamada responsiva, para melhorar a confiabilidade das operações de gerenciamento de armazenamento.

• Adicionado o monitor de status do TPM para hosts físicos.

• VMs sql reiniciadas para atenuar possíveis problemas com o acesso ao banco de dados que afeta o acesso ao portal.

• Confiabilidade aprimorada do serviço de tabela e blob de armazenamento.

• Corrigido um problema em que a criação do VMSS com o SKU Standard_DS2_v2 por meio da interface do usuário sempre falha.

• Melhorias na atualização de configuração.

• Correção do vazamento do enumerador KVS no DiskRP para melhorar a confiabilidade das operações de disco.

• Reabilitou a capacidade de gerar despejos de memória do host e disparar falhas de NMI para travamentos.

• Vulnerabilidade de servidor DNS resolvida descrita em CVE-2020-1350.

• Alterações que abordaram a instabilidade do cluster.

• Confiabilidade aprimorada da criação de ponto de extremidade JEA.

• Correção de bug para desbloquear a criação simultânea de VM em tamanhos de lote de 20 ou superior.

• Melhorou a confiabilidade e a estabilidade do portal, adicionando uma capacidade de monitoramento para reiniciar o serviço de hospedagem se ele tiver algum tempo de inatividade.

• Solucionamos um problema em que alguns alertas não eram pausados durante a atualização.

• Diagnóstico aprimorado em relação a falhas em recursos DSC.

• Mensagem de erro aprimorada gerada por uma falha inesperada no script de implantação bare-metal.

• Adição de resiliência durante operações de reparo de nó físico.

• Correção de um defeito de código que às vezes fazia com que o aplicativo HRP SF ficasse não íntegro. Também foi corrigido um defeito de código que impedia que os alertas sejam suspensos durante a atualização.

• Adição de resiliência ao código de criação de imagem quando o caminho de destino não está presente inesperadamente.

• A interface de limpeza de disco foi adicionada para VMs ERCS e garante que ela seja executada antes de tentar instalar o novo conteúdo nessas VMs.

• Verificação de quorum aprimorada para reparo de nó do Service Fabric no caminho de correção automática.

• Lógica aprimorada para colocar os nós de cluster online novamente em casos raros em que a intervenção externa os coloca em um estado inesperado.

• Resiliência aprimorada do código do mecanismo para garantir que erros de digitação no uso de maiúsculas e minúsculas do nome do computador não causem um estado inesperado na configuração do ECE quando ações manuais são usadas para adicionar e remover nós.

• Adicionada uma verificação de integridade para detectar operações de reparo de VM ou nó físico que foram deixadas em um estado parcialmente concluído de sessões de suporte anteriores.

• Registro em log de diagnóstico aprimorado para instalação de conteúdo de pacotes NuGet durante a orquestração de atualizações.

• Corrigida a falha de rotação de segredo interno para clientes que usam o AAD como sistema de identidade e bloqueiam a conectividade com a Internet de saída do ERCS.

• Aumentou o tempo limite padrão de Test-AzureStack para AzsScenarios para 45 minutos.

• Confiabilidade de atualização do HealthAgent aprimorada.

• Corrigido um problema em que o reparo de VM de VMs ERCS não estava sendo disparado durante ações de correção.

• Tornou a atualização de host resiliente a problemas causados por uma falha silenciosa ao limpar arquivos de VM de infraestrutura obsoletos.

• Foi adicionada uma correção preventiva para erros de análise certutil ao usar senhas geradas aleatoriamente.

• Adicionada uma série de verificações de integridade antes da atualização do mecanismo, para que as operações de administrador com falha possam continuar em execução com sua versão original do código de orquestração.

• Correção de falha de backup do ACS quando o backup ACSSettingsService foi concluído primeiro.

• Nível de comportamento do farm do Azure Stack AD FS atualizado para v4. Os Azure Stack Hubs implantados com 1908 ou posterior já estão na v4.

• Confiabilidade aprimorada do processo de atualização do host.

• Corrigido um problema de renovação de certificado que poderia ter causado falha na rotação de segredo interno.

• Corrigido o novo alerta de sincronização de servidor de horário para corrigir um problema em que ele detecta incorretamente um problema de sincronização de tempo quando a fonte de horário foi especificada com o sinalizador 0x8 tempo.

• Corrigido um erro de restrição de validação que ocorreu ao usar a nova interface de coleta automática de logs e ele detectou

• https://login.windows.net/ como um ponto de extremidade Azure AD inválido.

• Corrigido um problema que impedia o uso do backup automático do SQL por meio do SQLIaaSExtension.

• Corrigimos os alertas usados em Test-AzureStack ao validar os certificados do controlador de rede.

• Nível de comportamento do farm do Azure Stack AD FS atualizado para v4. Os Azure Stack Hubs implantados com 1908 ou posterior já estão na v4.

• Confiabilidade aprimorada do processo de atualização do host.

• Corrigido um problema de renovação de certificado que poderia ter causado falha na rotação de segredo interno.

• Gatilhos de alerta reduzidos para evitar coleções de log proativas desnecessárias.

• Confiabilidade aprimorada da atualização de armazenamento eliminando o tempo limite de chamada WMI do Serviço de Integridade do Windows.

Informações sobre o hotfix

Para aplicar esse hotfix, você deve ter a versão 1.2002.0.35 ou posterior.

Importante Conforme descrito nas notas de versão da atualização de 2002, verifique se você se refere à lista de verificação de atividade de atualização na execução do Test-AzureStack (com parâmetros especificados) e resolva todos os problemas operacionais encontrados, incluindo todos os avisos e falhas. Além disso, examine os alertas ativos e resolva qualquer um que exija ação.

Informações sobre arquivos

Baixe os arquivos a seguir. Em seguida, siga as instruções na página Aplicar atualizações no Azure Stack no site do Microsoft Learn para aplicar essa atualização ao Azure Stack.

Baixe o arquivo zip agora.

Baixe o arquivo xml de hotfix agora.

Mais informações

Recursos de atualização do Azure Stack Hub

Visão geral do gerenciamento de atualizações no Azure Stack

Aplicar atualizações no Azure Stack

Monitorar atualizações no Azure Stack usando o ponto de extremidade privilegiado