Azure Key Vault 返回 403 和 "This TCP connection does not allow access to {host}"

Question

当我尝试使用专用链接(或者可能不是、不确定)访问我的 Key Vault 时，该服务返回 403(Forbidden)并显示以下消息:

This TCP connection does not allow access to {host}.

这是什么原因造成的？

Answer 1

这可能是由以下原因引起的:

您的 Key Vault 的 DNS 记录指向错误的 IP 地址

这是最常见的原因。以下步骤有助于诊断:

1. 转到出现错误的虚拟机或客户端。
2. 运行nslookup <key-vault-name>.vault.azure.net或用于解析 IP 地址的适当命令(host <key-vault-name>.vault.azure.net 对于大多数 Linux)。
3. 记下 IP 地址。
4. 使用 Azure 门户，打开 Key Vault 资源并选择网络> 专用端点连接。
5. 点击专用端点列下的链接。这将打开专用端点资源。
6. 点击网络接口(interface)字段中的链接。这将打开 NIC 资源。
7. 检查私有(private) IP 地址字段。这必须与您在 nslookup 中获得的一致。或host步骤 2 中的命令。如果不匹配，则必须进行修复。详细说明请参见validate-the-dns-resolution Azure 文档的主题。

您的客户端或您正在使用的某些代理在 host 处发送了错误的值对 Key Vault 的请求中的 header

当您访问 Key Vault 时，HTTP host header 必须始终与 Key Vault 主机名匹配。这是绝大多数客户端的默认行为，但某些客户端允许自定义。另外，如果您使用代理，代理可能会更改此值。

1. 转到 Azure 门户中的 Key Vault 资源，然后在概述选项卡中检查Vault URI属性的值。
2. 从该属性中提取主机名。例如，如果保管库 URI 为 https://contoso.vault.azure.net/ ，则 host 的值 header 必须是 contoso.vault.azure.net .
3. 检查您的客户端或代理设置。检查 HTTP 处理程序、代理处理程序、名称解析处理程序等。确保 host发送到 Key Vault 服务的 header 与您在第 2 步中捕获的 header 相匹配。
4. 还要确保您的客户端确实将主机名解析为 Key Vault 的 IP 地址(请参阅上一节)。

您的专用端点未处于“已批准”状态，或者已批准但未成功配置

这种情况并不常见，但当您从服务端点迁移到私有(private)端点并且迁移未完成时可能会发生。以下步骤有助于诊断:

1. 转到 Azure 门户中的 Key Vault 资源，然后选择网络> 专用端点连接。
2. 检查连接是否已获批准且配置状态是否成功。如果情况并非如此，请通过批准或重新创建专用端点资源来修复。
3. 如果连接获得批准且配置成功，请点击专用端点列下方的链接。这将打开专用端点资源。
4. 检查属性配置状态和连接状态。它们必须分别显示成功和已批准。如果不这样做，您必须批准或重新创建专用端点资源。
5. 如果 Key Vault 资源和专用端点资源中报告的值均获得批准并成功，您必须仔细检查其他可能的原因。