المحتويات

المقدمة

المشكلة

الحل

معلومات ذات صلة

المقدمة

يصف هذا المستند بعض المشاكل الشائعة في نشر بوابات السحابة في Azure من vManage Cloud على RAMP.

المشكلة

عند تكوين Cisco SD-WAN Cloud OnRamp ل Microsoft Azure، يظهر حقل تحديد صورة البرنامج لأجهزة cEdge فارغا في إعدادات vManage العامة، مما يمنع نشر مثيلات cEdge في Azure Cloud.

الأعراض:

- يكون إصدار البرنامج من cEdge المجدول للتنفيذ في المستقبل على حقل سحابة Azure في vManage > Cloud OnRamp ل Multicloud > الإعدادات العامة للسحابة فارغا.

- يمكن أن تظهر سجلات Admin-tech الأولية خطأ Azure: "AuthorizationFailed" مع رسالة تشير إلى أن العميل يفتقر إلى التفويض لتنفيذ إجراء Microsoft.Network/NetworkVirtualApplianceSkus/Read.

- يمكن أن تظهر سجلات Admin-tech RetryError: HTTPSConnectionPool(...) تم تجاوز الحد الأقصى للمحاولات بعنوان url: ... (يتسبب في خطأ الاستجابة "عدد كبير جدا من استجابات الخطأ 502") عند محاولة vManage إسترداد وحدات حفظ المخزون (SKU) الخاصة بالجهاز الظاهري للشبكة (NVA) from management.azure.com.

يمكنك العثور على هذا السجل في المسار /var/log/nms/containers/cloudagent-v2/cloudagent.log ويبدي أن مستوى الامتياز غير صحيح في حساب Azure.

[2025-07-18T04:14:53UTC+0000:140226169132800:ERROR:ca-v2:azure_resource_helper.py:351] فشل الحصول على موارد ل {

"CloudType": Azure،

"معرف الحساب": "xxxxxxx-xxxx-xxxx-xxxxx-xxxxxxxx"،

"اسم الحساب": "<account_name>"،

"المنطقة": "Eastus2"،

"النوع": "NVA_SKUS"

}:خطأ Azure: فشل التخويل

المراسلة: لا يملك العميل 'yyyyyyyy-yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy' مع معرف الكائن 'yyyyyyyyyyyyyyyyyyyyyyyyyy' تخويلا لتنفيذ الإجراء <<<<< يؤكد أن الامتيازات ليست كافية

'Microsoft.Network/NetworkVirtualApplianceSkus/read' عبر النطاق '/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/providers/Microsoft.Network/networkVirtualApplianceSkus/ciscosdwan' أو النطاق غير صالح. إذا تم منح حق الوصول مؤخرا، يرجى تحديث بيانات الاعتماد الخاصة بك.

[2025-07-18T04:14:53UTC+0000:140226169132800:INFO:ca-v2:grpc_service.py:1011] إرجاع إستجابة GetAzureResourceInfo: {

"mcCTXT": {

"معرف المستأجر": "<strong name>"،

"ctxId": "zzzzzzzz-zzzz-zzzz-zzzz-zzzzzzzzzzzz"

},

"الحالة": {

"الرمز": "حسنا"

}

}

يمكن العثور على هذا السجل في نفس المسار /var/log/nms/containers/cloudagent-v2/cloudagent.log، حيث يظهر أنه تم تكوين العديد من مجموعات الموارد في Azure.

[2025-09-01T04:07:35UTC+0000:140226169132800:ERROR:ca-v2:azure_resource_helper.py:351] فشل الحصول على موارد ل {

"CloudType": Azure،

"معرف الحساب": "xxxxxxx-xxxx-xxxx-xxxxx-xxxxxxxx"،

"اسم الحساب": "<account_name>"،

"المنطقة": "Eastus2"،

"النوع": "NVA_SKUS"

}:حدث خطأ في الطلب.، RetryError: HttpscOnnectionPool(host='management.azure.com'، port=443): تم تجاوز الحد الأقصى لعمليات إعادة المحاولة بعنوان URL: /subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/providers/Microsoft.Network/networkVirtualApplianceSkus/ciscosdwan؟api-version=2020-05-01 (يتسبب في ResponseError('العديد من 502 إستجابة خطأ))

[2025-09-01T04:07:35UTC+0000:140226169132800:info:ca-v2:grpc_service.py:1011] إرجاع إستجابة GetAzureResourceInfo: {

"mcCTXT": {

"معرف المستأجر": "<strong name>"،

"ctxId": "zzzzzzzz-zzzz-zzzz-zzzz-zzzzzzzzzzzz"

},

"الحالة": {

"الرمز": "حسنا"

}

}

من vManage، هذا هو أحد السجلات المشتركة التي يتم عرضها عند نشر المهمة بعد تعيين الحساب في Azure بمستوى الامتياز؛ ومع ذلك، فإن نوع الحساب ليس من فئة المؤسسات.

[27-أغسطس-2025 19:46:46 بالتوقيت العالمي] إنشاء بوابة MultiCloud: <اسم الحساب>

[27-أغسطس-2025 19:46:47 بالتوقيت العالمي] مجموعة الموارد التي تم إحضارها بنجاح: <اسم الحساب> من السحابة

[27-أغسطس-2025 بالتوقيت العالمي 19:46:47] إنشاء حساب تخزين ضمن مجموعة الموارد: <account name> في السحابة

[27-أغسطس-2025 19:46:49 بالتوقيت العالمي] حساب التخزين ضمن مجموعة الموارد: فشل إنشاء <account name> في السحابة

[27-أغسطس-2025 19:46:49 بالتوقيت العالمي] تفاصيل إضافية: خطأ Azure: RequestDisallowedByPolicy

المراسلة: تم رفض المورد 'lcoix7mu7rcrswtdkyj0jsyw' بواسطة النهج. معرفات النهج: '[{"policyAssignment":{"name":"ASC الافتراضي (الاشتراك: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxx)"،"id":"/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/providers/Microsoft.Authorization/policyAssignments/SecurityCenterBuildIn"}،

"PolicyDefinition":{"name":"يجب عدم السماح بوصول الجمهور إلى حساب التخزين"،"id":"/providers/Microsoft.Authorization/policyDefinitions/yyyyyyy-yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy"،"version":"3.1.1"}، <<<< يشير إلى نوع الحساب في Azure غير صحيح، يجب أن يكون الاشتراك مؤسسة

"policySetDefinition":{"name":"Microsoft cloud security benchmark"،"id":"/providers/Microsoft.Authorization/policySetDefinitions/zzzzzz-zzzz-zzzz-zzzzzzzzzzzz"،"version":"57.53.0"}]'.

الهدف: lcoix7mu7rcrswtdkyj0jsyw

معلومات إضافية:

النوع: PolicyViolation

المعلومات: {

"تفاصيل التقييم": {

"التعبيرات المقيمة": [

{

"النتيجة": "صحيح"،

"ExpressionKind": "الحقل"،

"التعبير": "type"،

"المسار": "type"،

"ExpressionValue": "Microsoft.Storage/StorageAccounts"،

"targetValue": "Microsoft.Storage/StorageAccounts"،

"المشغل": "يساوي"

},

{

"النتيجة": "خطأ"،

"ExpressionKind": "الحقل"،

"التعبير": "id"،

"المسار": "id"،

"ExpressionValue": "/الاشتراكات/xxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxx/resourceGroups/<account name>/providers/Microsoft.Storage/storageAccounts/lcoix7mu7rcrswtdkyj0jsyw"،

"targetValue": "/ResourceGroups/ARO-"،

"المشغل": "يحتوي"

},

{

"النتيجة": "خطأ"،

"ExpressionKind": "الحقل"،

"التعبير": "Microsoft.Storage/StorageAccounts/allowBlobPublicAccess"،

"المسار": "properties.allowBlobPublicAccess"،

"targetValue": "خطأ"،

"المشغل": "يساوي"

}

]

},

"policyDefinitionId": "/providers/Microsoft.Authorization/policyDefinitions/yyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyyyyyyyyyyyyyyyyy"،

"policySetDefinitionId": "/providers/Microsoft.Authorization/policySetDefinitions/zzzzzzzz-zzzz-zzzz-zzzz-zzzzzzzzzzzz"،

"policyDefinitionReferenceId": "StorageDisallowPublicAccess"،

"policySetDefinitionName": "zzzzzzzz-zzzz-zzzz-zzzz-zzzzzzzzzzzz"،

"policySetDefinitionDisplayName": "Microsoft Cloud Security Benchmark"،

"PolicySetDefinitionVersion": "57.53.0"،

"PolicyDefinitionName": "yyyyyyyyy-yyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyyy"،

"PolicyDefinitionDisplayName": "يجب عدم السماح بوصول الجمهور إلى حساب التخزين"،

"PolicyDefinitionVersion": "3.1.1"،

"PolicyDefinitionEffect: "رفض"،

"PolicyAssignmentId": "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/providers/Microsoft.Authorization/PolicyAssignments/SecurityCenterIntegrated"،

"PolicyAssignmentName": "SecurityCenterBuildIn"،

"PolicyAssignmentDisplayName": "افتراضي ASC (الاشتراك: xxxxxxxx-xxxx-xxxx-xxxxx-xxxxxxxxx)،

"PolicyAssignmentScope": "/الاشتراكات/xxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxx"،

"PolicyAssignmentParameters": {

"DisallowPublicBlobAccessEffect": "رفض"

},

"PolicyExemptionIds": []،

"PolicyEnrollmentIds": []

}

[27-أغسطس-2025 19:46:49 بالتوقيت العالمي] تم إجراء تغييرات التراجع...

[27-أغسطس-2025: 19:46:49 بالتوقيت العالمي] اكتملت العودة إلى الوضع السابق

[27-أغسطس-2025 19:46:49 بالتوقيت العالمي] خطأ داخلي في إنشاء حساب التخزين أو إحضاره

الأسباب المحتملة:

1. امتيازات Azure غير كافية: حتى إذا تم ربط حساب Azure بنجاح وكان له حقوق المساهم، فإن الأذونات المحددة مطلوبة من قبل vManage. لقراءة وحدات الاحتفاظ بالمخزون (SKU) الخاصة بالجهاز الظاهري للشبكة، قد تكون هذه الوحدة مفقودة أو مكونة بشكل غير صحيح.

2. العديد من مجموعات موارد Azure: تحدد وثائق Cisco لتكامل Azure vWAN أنه مسموح بمجموعة موارد واحدة فقط لإعداد Cloud OnRamp. قد يؤدي وجود مجموعات موارد قديمة أو متكررة متعددة إلى عدد كبير جدا من استجابات الأخطاء يصل إلى 502 إستجابة، من Azure عندما يحاول vManage الاستعلام عن وحدات SKU المتوفرة.

الحل

1. التحقق من أذونات Azure:

- تأكد من أن تطبيق Azure أو الخدمة الأساسية المرتبطة ب vManage لديها الأذونات اللازمة لقراءة وحدات حفظ المخزون الخاصة بالجهاز الظاهري للشبكة. الإجراء المحدد هو Microsoft.Network/NetworkVirtualApplianceSkus/read.

- إذا تم منح الأذونات مؤخرا أو تعديلها، فقم بتحديث بيانات الاعتماد ضمن vManage أو Azure.

- يتم توثيق هذه الخطوات في Cisco Cloud OnRamp لدليل حل Azure Version2 متعدد السحابة في قسم التحقق من أذونات اشتراك Azure.

2. إدارة مجموعات موارد Azure:

- راجع اشتراك Azure الخاص بك لأي مجموعات موارد قديمة أو متكررة مرتبطة ب Cisco SD-WAN Cloud OnRamp.

- طبقا لوثائق Cisco، يتم السماح بمجموعة موارد واحدة فقط لتكامل Azure vWAN. حذف كافة مجموعات الموارد القديمة، لضمان بقاء المجموعة النشطة والضرورية فقط. تمت ملاحظة هذا الإجراء لحل الخطأ، يوجد عدد كبير جدا من استجابات الأخطاء يبلغ 502.

معلومات ذات صلة

- يوضح Cisco Catalyst SD-WAN Cloud OnRamp Configuration Guide، Cisco IOS XE Catalyst SD-WAN، الإصدار 17.x هذا المستند القيود، بما في ذلك متطلب مجموعة الموارد الأحادية لتكامل Azure vWAN.

- توسيع بنية Cisco SD-WAN في Azure باستخدام Cisco Cloud OnRamp ل Multi-Cloud: يمكن أن يوفر هذا الدليل المزيد من التفاصيل حول التحقق من اشتراك Azure وأذونات التكامل.

- مشكلة واجهة سطر الأوامر (CLI) ذات الصلة في Azure (للسياق على 502 خطأ): بينما لا يكون مستند Cisco مباشر، يوفر إصدار GitHub هذا نظرة ثاقبة إلى استجابات 502 خطأ مماثلة من Azure API، والتي يمكن أن تكون ذات صلة بسلوك Azure الأساسي.