Il pool di applicazioni non si avvia dopo un aggiornamento del sistema operativo o una migrazione del server

Dopo un aggiornamento in place del sistema operativo Windows Server, una migrazione del server, un'operazione di imaging o clonazione, o un ripristino su nuovo hardware, il sito web di Devolutions Server non è raggiungibile. In IIS, il pool di applicazioni di Devolutions Server non si avvia e il registro eventi di Windows o IIS segnala l'errore Failed to decrypt attribute password.

Questo non è un problema delle chiavi di crittografia di Devolutions Server

La formulazione menziona decrypt e password, quindi viene facilmente scambiata per una perdita delle chiavi di crittografia di Devolutions Server. Non lo è. Questo errore proviene da IIS, non da Devolutions Server. Windows mantiene i due elementi in posizioni separate.

Cosa	Posizione	Appartiene a
Chiavi di protezione della configurazione di IIS (iisConfigurationKey, iisWasKey)	C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys	IIS / Windows
Chiavi di crittografia di Devolutions Server (encryption.config)	C:\ProgramData\Microsoft\Crypto\Protect\S-1-5-18 (DPAPI)	Devolutions Server

IIS crittografa determinati attributi in applicationHost.config utilizzando i contenitori di chiavi RSA in MachineKeys. Quando tali contenitori diventano inaccessibili dopo una modifica della macchina, IIS non è più in grado di leggere gli attributi protetti e rifiuta di avviare il pool di applicazioni.

Non utilizzi Console – Strumenti – Importa o Ripristina per risolvere questo sintomo. Tali strumenti agiscono sulle chiavi di crittografia di Devolutions Server, un archivio diverso che non è la causa in questo caso.

Causa

Un aggiornamento in place del sistema operativo o una modifica della macchina può lasciare i contenitori di chiavi RSA di IIS in uno stato inaccessibile (autorizzazioni, proprietà o stato di provisioning), anche se il resto del sistema, incluse le chiavi di crittografia di Devolutions Server, è intatto. La soluzione di IIS consiste nel rigenerare le proprie chiavi di protezione della configurazione.

Prima di iniziare

Esegua un backup completo o uno snapshot della VM del server prima di modificare qualsiasi elemento in Crypto\MachineKeys.

Se il pool di applicazioni di Devolutions Server viene eseguito con un account Windows o di dominio personalizzato, tenga a disposizione la password di tale account. La rigenerazione delle chiavi non consente di recuperare la password precedentemente memorizzata, pertanto dovrà essere reinserita in IIS successivamente. I pool di applicazioni che utilizzano un'identità integrata (ad esempio, ApplicationPoolIdentity) non necessitano di password.

Risoluzione

Rigeneri le chiavi di protezione della configurazione di IIS, seguendo la procedura documentata da Microsoft per la rigenerazione delle chiavi di crittografia della macchina o della configurazione di IIS.

1. Apra un prompt dei comandi con privilegi elevati.
2. In C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys, rimuova i contenitori di chiavi IIS interessati (iisConfigurationKey e iisWasKey). Su una determinata macchina, questi appaiono come file i cui nomi iniziano con un prefisso hash specifico della macchina.
3. Reimposti la sezione di configurazione protetta di IIS:

   %windir%\system32\inetsrv\appcmd.exe reset config /section:configProtectedData

1. Riavvii IIS:

   iisreset

1. Se il pool utilizza un account personalizzato, reinserisca le relative credenziali in IIS Manager, in Pool di applicazioni – (pool di Devolutions Server) – Impostazioni avanzate – Modello di processo – Identità.

IIS rigenera nuove chiavi di protezione della configurazione al riavvio e il pool di applicazioni si avvia normalmente.

Dopo la correzione: verifichi i suoi dati

Acceda a Devolutions Server e apra una voce esistente, quindi visualizzi una password memorizzata (o apra una connessione salvata).

• Se funziona, le chiavi di crittografia non sono state interessate e il ripristino è completo.
• Se i segreti memorizzati risultano illeggibili, anche le chiavi di crittografia sono state interessate. Consulti Ripristinare un'istanza di Devolutions Server e Gestire le chiavi di crittografia. È necessario un file di chiavi esportate preesistente o un kit di ripristino.

Prevenire il problema in futuro

Prima di qualsiasi aggiornamento del sistema operativo, migrazione o modifica hardware di un host Devolutions Server:

• Esporti le chiavi di crittografia (Console – Strumenti – Esporta) e/o generi un kit di ripristino, e li conservi in modo sicuro al di fuori del server.
• Esegua il backup del database SQL e della cartella dell'applicazione web.