「Azure アクセス トークンを取得できませんでした」というエラーがプラグイン ログに表示されるfirewallAzure ではセカンダリに移行しないfirewallフェイルオーバー後
Symptom
2つのときVMファイアウォールは、高可用性アクティブ/パッシブ構成で構成されていますHAセカンダリー用IP移動しても、セカンダリ IP はアクティブ デバイスからパッシブ デバイスに移動しません。HA状態の変更が正常に行われる
Environment
- 二VM同じファイアウォールPAN-OSバージョン、プラグインのバージョン、およびすべてのライセンス
- 問題はいずれかで発生しますPAN-OSバージョン
- 両方のファイアウォールがアクティブ/パッシブである必要がありますHA構成
Cause
適切であることを確認する必要がありますIAMロールが適切なサービス プリンシパルに割り当てられていることApp登録は Azure 内の適切なサブスクリプションに対して行われ、適切なサブスクリプションに割り当てられますNIC. この種の問題が発生すると、次のようなエラーが vm_plugin.log に表示されます。
2022-12-05 02:43:13.144 -0800 vm_ha_state_transINFO : : リソース マネージャ エンドポイントからの応答の取得に失敗しました
2022-12-05 02:43:13.145 -0800 vm_ha_state_transINFO : : Azure アクセス トークンの取得に失敗しました
2022-12-05 02:43:17.343 -0800 vm_ha_state_transINFO : : vm_mode: 6
2022-12-05 02:43:17.538 -0800 vm_ha_state_transINFO : : プラットフォームとして識別 AZR
2022-12-05 02:43:17.739 -0800 vm_ha_state_transINFO : : vm_get_ht_perf_opt が呼び出されました
2022-12-05 02:43:17.766 -0800 vm_ha_state_transINFO : : システム数: 4
2022-12-05 02:43:17.767 -0800 vm_ha_state_transINFO : :AZR cloud_setting が呼び出されました
2022-12-05 02:43:17.947 -0800 vm_ha_state_transINFO : :AZR vm_ha_trans が呼び出されました
2022-12-05 02:43:17.947 -0800 vm_ha_state_transINFO : : resource_mgr_endpoint の成功
2022-12-05 02:43:18.019 -0800 vm_ha_state_transINFO : : pycurl_request でキャッチされた例外: (77、「証明書検証場所の設定エラー:\n CAfile: /opt/pancfg/mgmt/plugins/appdata/cacert.pem\n CApath: none」)、エラー コード: 0
2022-12-05 02:43:18.019 -0800 vm_ha_state_transINFO : :AZR set_endpoint_URL が見つかりませんでしたURL応答から、エラー:「NoneType」オブジェクトに属性「__getitem__」がありません
Resolution
- Azure で正しいサービス プリンシパルに対してロールの割り当てが適切に行われていることを確認し、App登録は適切に行う必要があります
- 顧客は少なくとも「寄稿者」ロールを付与する必要があります
- ロールの割り当ては、適切なサブスクリプションに対して行う必要があり、適切なサブスクリプションに割り当てる必要がありますNIC. https://learn.microsoft.com/en-us/azure/active-directory/develop/howto-create-service-principal-portal
- Azure に参加するTAC必要に応じて、Azure 側でロールの割り当てを確認する