Azure CLI 2.71.0版本中创建标准安全类型VM的问题分析与解决方案

在Azure CLI 2.71.0版本中，用户在使用az vm create命令创建虚拟机时遇到了一个关键问题：当尝试指定--security-type="Standard"参数时，系统会返回错误提示"securityProfile.securityType参数值无效"。这个问题影响了大量用户的自动化部署流程，特别是那些依赖标准安全类型创建虚拟机的场景。

问题背景

Azure CLI是微软提供的命令行工具，用于管理Azure资源。在2.71.0版本中，微软引入了对Trusted Launch安全功能的默认支持，这是一项增强虚拟机安全性的重要功能。然而，这一变更意外影响了需要显式使用标准安全类型的场景。

问题表现

用户在运行类似以下命令时遇到错误：

az vm create --name="test-vm" --image="MicrosoftWindowsServer:WindowsServer:2022-datacenter-azure-edition:latest" --security-type="Standard"

错误信息显示：

The value of parameter securityProfile.securityType is invalid.

根本原因

这个问题源于Azure平台的一项安全增强措施。微软为了推广更安全的Trusted Launch技术，在后台实现上做了调整，要求用户必须显式注册一个功能标志才能继续使用标准安全类型。这不是一个bug，而是一项有意的设计变更，目的是确保用户有意识地选择不使用Trusted Launch提供的安全增强功能。

解决方案

临时解决方案

在等待官方修复期间，用户可以采用以下两种临时解决方案：

1. 降级Azure CLI版本： 将Azure CLI降级到2.70.0版本可以绕过这个问题。在Linux系统上可以使用以下命令：

   sudo apt-get remove -y azure-cli
   curl -sL https://packages.microsoft.com/keys/microsoft.asc | gpg --dearmor | sudo tee /etc/apt/trusted.gpg.d/microsoft.gpg > /dev/null
   echo "deb [arch=amd64] https://packages.microsoft.com/repos/azure-cli/ $(lsb_release -cs) main" | sudo tee /etc/apt/sources.list.d/azure-cli.list
   sudo apt-get update
   sudo apt-get install -y azure-cli=2.70.0-1~jammy
   

2. 注册功能标志： 在订阅级别注册"UseStandardSecurityType"功能标志：

   az feature register --name UseStandardSecurityType --namespace Microsoft.Compute
   

   注册后可以通过以下命令检查状态：

   az feature show --name UseStandardSecurityType --namespace Microsoft.Compute
   

   当状态显示为"Registered"时，即可正常使用标准安全类型。

永久解决方案

微软在Azure CLI 2.72.0版本中修复了这个问题。升级到最新版本后，用户需要注意以下几点：

1. 只有在以下情况才需要显式指定--security-type=Standard：

   • 使用第2代虚拟机
   • 使用平台镜像或市场镜像
   • 需要绕过Trusted Launch安全功能

2. 以下场景不需要指定安全类型参数：

   • 使用第1代虚拟机
   • 使用Azure计算库镜像
   • 使用托管镜像
   • 虚拟机规格不支持Trusted Launch

最佳实践建议

1. 评估安全需求：在决定使用标准安全类型前，应评估Trusted Launch提供的安全增强功能是否确实不需要。

2. 版本管理：在生产环境中，考虑固定Azure CLI版本以避免意外变更影响自动化流程。

3. 自动化脚本更新：如果必须使用标准安全类型，建议在自动化脚本中加入功能标志注册步骤。

4. 监控变更：关注Azure CLI的发布说明，特别是与计算服务相关的变更。

总结

这个问题展示了云服务演进过程中安全增强措施可能带来的兼容性挑战。微软通过功能标志机制提供了一种平衡方案，既推动了更安全的技术采用，又为有特殊需求的用户保留了灵活性。对于Azure用户来说，理解平台的安全演进方向并相应调整自己的部署策略，是确保业务连续性的关键。