Azure Disk Encryption(ADE)扩展在Windows Server 2016 VM上部署失败求助

错误详情 #

虚拟机处理扩展'AzureDiskEncryption'时报告失败。错误信息：[2.2.0.45] 无法在VM上启用Azure磁盘加密，异常详情如下：
Microsoft.Cis.Security.BitLocker.BitlockerIaasVMExtension.BitlockerFailedToSendEncryptionSettingsException: 无法在磁盘加密响应中找到更多详情
在 Microsoft.Cis.Security.BitLocker.BitlockerIaasVMExtension.WireProtocol.WireProtocolMessage.SendEncryptionSettingsToHost() 位置 C:__w\1\s\src\BitLocker\BitlockerIaasVMExtension\WireProtocol\WireProtocolMessage.cs:行号 210
在 Microsoft.Cis.Security.BitLocker.BitlockerIaasVMExtension.BitlockerExtension.SendEncryptionSettingsToHostV3(VmEncryptionSettings vmSettings) 位置 C:__w\1\s\src\BitLocker\BitlockerIaasVMExtension\BitlockerExtension.cs:行号

缺失配置排查项 #

• 密钥保管库权限验证
  确保密钥保管库已授予Azure磁盘加密服务主体必要权限：

  • 分配Microsoft.KeyVault/vaults/keys/encrypt/action、Microsoft.KeyVault/vaults/keys/decrypt/action、Microsoft.KeyVault/vaults/keys/wrapKey/action、Microsoft.KeyVault/vaults/keys/unwrapKey/action权限给订阅对应的ADE服务主体（可通过PowerShell命令Get-AzADServicePrincipal -ApplicationId "3fa0f102-71a6-408c-89cc-31d227158774"获取该主体）
  • 确认密钥保管库的访问策略中已包含上述权限，且目标加密密钥（及指定版本）处于启用状态

• VM必备组件检查
  Windows Server 2016需满足以下依赖：

  • 安装.NET Framework 4.7.2或更高版本（ADE扩展依赖该框架完成通信）
  • 运行最新版Azure VM代理（版本2.7.41491.961及以上，可通过Get-Service WindowsAzureGuestAgent命令验证服务运行状态）

• 加密配置参数校验

  • 确认启用加密时指定的密钥保管库URL、密钥名称、密钥版本（若指定）完全正确，无拼写或格式错误
  • 检查VM是否已启用系统分配托管身份；若使用用户分配身份，需确认身份已关联VM且拥有密钥保管库的对应权限

• 网络连通性排查

  • 确保VM能访问Azure Key Vault端点：若使用公网端点，需确认VM所在子网的NSG未阻止443端口出站流量；若使用私有端点，需验证DNS解析正常
  • 测试VM与Azure实例元数据服务（IMDS）的连通性：在VM内执行Invoke-RestMethod -Uri http://169.254.169.254/metadata/instance?api-version=2021-02-01 -Headers @{"Metadata"="true"}，确认能正常返回元数据

• 扩展日志深度分析
  登录VM查看ADE扩展日志定位具体原因：

  • 日志路径：C:\WindowsAzure\Logs\Plugins\Microsoft.Azure.Security.AzureDiskEncryptionForWindows\2.2.0.45
  • 重点检查BitLockerExtension.log和WireProtocol.log，查找加密请求发送失败的具体触发因素（如身份验证失败、密钥不存在等）

内容的提问来源于stack exchange，提问作者G_S