启用Azure Disk Encryption时遇RUNTIME_E_KEYVAULT_SECRET_WRAP_WITH_KEK_FAILED错误求助

错误0xc142506f RUNTIME_E_KEYVAULT_SECRET_WRAP_WITH_KEK_FAILED的核心是密钥加密密钥（KEK）包装Key Vault秘钥操作失败，可按以下方向排查：

• 验证KEK状态与类型

  • 确认Key Vault中的KEK处于启用状态，禁用或过期的KEK会直接导致包装失败。
  • 检查KEK类型：必须为RSA（含RSA-HSM）类型，Azure Disk Encryption不支持椭圆曲线（EC）密钥。

• 补全Key Vault权限

  • 为虚拟机的托管标识（系统分配/用户分配）添加Key Vault Crypto Wrap Key和Key Vault Crypto Unwrap Key权限，且权限范围需覆盖密钥资源（而非仅秘钥）。
  • 确认权限已生效：Key Vault的访问策略变更可能有1-2分钟延迟，等待后再重试加密操作。

• 排查JIT访问的间接影响

  • 检查虚拟机NSG的出站规则，确保允许访问AzureKeyVault服务标签，避免出站流量被JIT关联的NSG规则拦截。
  • 若使用自定义DNS，验证虚拟机能否正常解析Key Vault的FQDN，DNS解析失败会导致无法连接Key Vault执行KEK操作。

• 重新发起加密请求

  • 清理残留的无效加密配置，使用Azure CLI或PowerShell重新执行加密命令，确保KEK的URL和版本参数准确：

    az vm encryption enable --resource-group <你的资源组名> --name <虚拟机名> --disk-encryption-keyvault <Key Vault名> --key-encryption-key <KEK的完整URL> --key-encryption-keyvault <Key Vault名>
    

  • 重试前重启虚拟机，清除系统缓存的无效加密状态。

• 确认区域一致性

  • 确保Key Vault与虚拟机处于同一Azure区域，跨区域的KEK操作可能存在兼容性限制或网络延迟问题。

内容的提问来源于stack exchange，提问作者ozo