對Microsoft Azure中的雲OnRamp問題進行故障排除

下載選項

  • PDF     (430.0 KB)
    在多種裝置上使用 Adobe Reader 檢視
  • ePub     (142.4 KB)
    在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上的各種應用程式中檢視
  • Mobi (Kindle)     (122.0 KB)
    在 Kindle 裝置或多部裝置的 Kindle 應用程式上檢視
已更新: 2025 年 10 月 6 日
文件 ID:225146

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。

    簡介

    本文檔介紹從vManage Cloud on Ramp在Azure中部署雲網關時的一些常見問題。

    問題

    為Microsoft Azure配置Cisco SD-WAN雲OnRamp時，cEdge裝置的「軟體映像」選擇欄位在「vManage全域性設定」中顯示為空，從而阻止在Azure雲中部署cEdge例項。

    症狀：

    • vManage > Cloud OnRamp For Multicloud > Cloud Global Settings中vManage > Cloud OnRamp For Multicloud > Cloud Global Settings中計畫在Azure雲上實施的軟體版本為空。

    • 初始管理技術日誌可以顯示Azure錯誤：「AuthorizationFailed」，並出現一條消息，指示客戶端缺少執行Microsoft.Network/networkVirtualApplianceSku/read操作的授權。
    • 管理技術日誌可以顯示RetryError:HTTPSConnectionPool(...)使用url超出最大重試次數：...(由vManage嘗試檢索Network Virtual Appliance(NVA)SKU時出現的響應錯誤「太多502個錯誤響應」導致from management.azure.com。

    Software Image Field Appears Empty in vManage Global Settings

    你可以在/var/log/nms/containers/cloudagent-v2/cloudagent.log 路徑中找到此日誌，它顯示Azure帳戶中的許可權級別不正確。

    [2025-07-18T04:14:53UTC+0000:140226169132800:ERROR:ca-v2:azure_resource_helper.py:351]無法獲取{
    "cloudType":"AZURE",
    "accountId":"xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
    "帳戶名":"<account_name>",
    "區域":"eastus2",
    "型別":"NVA_SKUS"
    }:Azure錯誤：授權失敗
    消息：對象ID為「yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyyyy」的客戶端「yyyyyy-yyyy-yyyy-yyyyyyyyyy」沒有執行操作的授權<<<它確認許可權不足

    通過「/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/providers/Microsoft.Network/networkVirtualApplianceSkus/ciscosdwan」作用域「Microsoft.Network/networkVirtualApplianceSkus/read」或作用域無效。如果最近授予了訪問許可權，請刷新您的憑據。
    [2025-07-18T04:14:53UTC+0000:140226169132800:INFO:ca-v2:grpc_service.py:1011]返回GetAzureResourceInfo響應：{
    "McCtxt":{
    "租戶Id":"<tenan name>",
    "ctxId":"zzzzzz-zzzz-zzzzz-zzzzzzzz"
    },
    "狀態":{
    "代碼":"確定"

      }

    }

    此日誌可以在同一路徑/var/log/nms/containers/cloudagent-v2/cloudagent.log中找到，表明已在Azure中配置了多個資源組。

    [2025-09-01T04:07:35UTC+0000:140226169132800:ERROR:ca-v2:azure_resource_helper.py:351]無法獲取{

      "cloudType":"AZURE",

      "accountId":"xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",

      "帳戶名":"<account_name>",

      "區域":"eastus2",

      "型別":"NVA_SKUS"

    }：請求時出錯。,RetryError:HTTPSConnectionPool(host='management.azure.com', port=443):使用url超出最大重試次數：/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/providers/Microsoft.Network/networkVirtualApplianceSkus/ciscosdwan?api-version=2020-05-01(由ResponseError（「502錯誤響應過多」）引起)

    [2025-09-01T04:07:35UTC+0000:140226169132800:INFO:ca-v2:grpc_service.py:1011]返回GetAzureResourceInfo響應：{

      "McCtxt":{

        "租戶Id":"<tenan name>",

        "ctxId":"zzzzzz-zzzz-zzzzz-zzzzzzzz"

      },

      "狀態":{

        "代碼":"確定"

      }

    }

    在vManage中，這是在為Azure中的帳戶分配許可權級別之後部署任務時顯示的常見日誌之一；但是，帳戶型別不是「企業」。 

    [2025年8月27日19:46:46 UTC]建立多雲網關：<帳戶名稱>

    [2025年8月27日19:46:47 UTC]已成功獲取資源組：來自雲的<account name>

    [2025年8月27日19:46:47 UTC]在資源組下建立儲存帳戶：雲中的<account name>

    [2025年8月27日19:46:49 UTC]資源組下的儲存帳戶：無法在雲中建立<account name>

    [2025年8月27日19:46:49 UTC]其他詳細資訊：Azure錯誤：RequestDisallowedByPolicy

    消息：策略不允許資源「lcoix7mu7rcrswtdkyj0jsyw」。策略識別符號：'[{"policyAssignment":{"name":"ASC預設值(訂閱：xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx)","id":"/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/providers/Microsoft.Authorization/policyAssignments/SecurityCenterBuiltIn"},

    "policyDefinition":{"name":"Storage account public access should be disallowed","id":"/providers/Microsoft.Authorization/policyDefinitions/yyyyyy-yyyy-yyyy-yyyyyyyyyy","version":"3.1.1"}, <<<它引用Azure中的帳戶型別不正確，訂閱必須為Enterprise

    "policySetDefinition":{"name":"Microsoft cloud security benchmark","id":"/providers/Microsoft.Authorization/policySetDefinitions/zzzzzzz-zzzz-zzzzz-zzzzzzzzz","version":"57.53.0"}}]'。

    目標：lcoix7mu7rcrswtdkyj0jsyw

    Additional Information:

                  Type:PolicyViolation

                  資訊：{

                      "評估詳細資訊":{

                          "evaluatedExpressions":[

                              {

                                  "結果":"真",

                                  "expressionKind":"欄位",

                                  "表達式":"型別",

                                  "路徑":"型別",

                                  "expressionValue":"Microsoft.Storage/storageAccount",

                                  "目標值":"Microsoft.Storage/storageAccount",

                                  "操作員":「等於」

                              },

                              {

                                  "結果":"假",

                                  "expressionKind":"欄位",

                                  "表達式":"id",

                                  "路徑":"id",

                                  "expressionValue":"/subscriptions/xxxxxxxx-xxxx-xxxx-xxxxxxxxxx/resourceGroups/<account name>/providers/Microsoft.Storage/storageAccounts/lcoix7mu7rcrswtdkyj0jsyw",

                                  "目標值":"/resourceGroups/aro-",

                                  "操作員":"包含"

                              },

                              {

                                  "結果":"假",

                                  "expressionKind":"欄位",

                                  "表達式":"Microsoft.Storage/storageAccounts/allowBlobPublicAccess",

                                  "路徑":"properties.allowBlobPublicAccess",

                                  "目標值":"假",

                                  "操作員":「等於」

                              }

                          ]

                      },

                      "policyDefinitionId":"/providers/Microsoft.Authorization/policyDefinitions/yyyyyy-yyyy-yyyy-yyyyyyyyyyyy",

                      "policySetDefinitionId":"/providers/Microsoft.Authorization/policySetDefinitions/zzzzzz-zzzz-zzzz-zzzz-zzzzzzzzz",

                      "policyDefinitionReferenceId":"StorageDisallowPublicAccess",

                      "policySetDefinitionName":"zzzzzz-zzzz-zzzzz-zzzzzzzz",

                      "policySetDefinitionDisplayName":"Microsoft雲安全基準",

                      "policySetDefinitionVersion":"57.53.0",

                      "policyDefinitionName":"yyyyyyyy-yyyy-yyyy-yyyy-yyyyyyyyyy",

                      "policyDefinitionDisplayName":"應禁止儲存帳戶公共訪問",

                      "policyDefinitionVersion":"3.1.1",

                      "policyDefinitionEffect":"拒絕",

                      "policyAssignmentId":"/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/providers/Microsoft.Authorization/policyAssignments/SecurityCenterBuiltIn",

                      "policyAssignmentName":"SecurityCenterBuiltIn",

                      "policyAssignmentDisplayName":"ASC預設(訂閱：xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx)」，

                      "policyAssignmentScope":"/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",

                      "policyAssignmentParameters":{

                          "disallowPublicBlobAccessEffect":"拒絕"

                      },

                      "policyExemptionIds":[],

                      "policyEnrollmentIds":[]

                  }

    [2025年8月27日19:46:49 UTC]正在回滾所做的更改……

    [2025年8月27日19:46:49 UTC]回滾完成

    [2025年8月27日19:46:49 UTC]建立或提取儲存帳戶時出現內部錯誤

    潛在原因：

    1. Azure許可權不足：即使Azure帳戶已成功連結並具有參與者許可權，vManage仍需要特定許可權。要讀取Network Virtual Appliance SKU，可能會丟失或配置不正確。

    2.多個Azure資源組：Azure vWAN整合的思科文檔指定僅允許一個資源組用於雲OnRamp設定。當vManage嘗試查詢可用的SKU時，有多個舊資源組或冗餘資源組會導致Azure發出太多的502錯誤響應。

    解決方案

    1.驗證Azure許可權：

      • 確保連結到vManage的Azure應用程式或服務主體具有讀取Network Virtual Appliance SKU的必要許可權。特定操作為Microsoft.Network/networkVirtualApplianceSku/read。
      • 如果最近授予或修改了許可權，請在vManage或Azure中刷新憑據。
      • 這些步驟在Cisco Cloud onRamp for Multi-Cloud Azure Version2 Solution Guide的檢查Azure訂閱許可權一節中進行了介紹。

    2.管理Azure資源組：

      • 檢視你的Azure訂閱，瞭解與Cisco SD-WAN雲OnRamp相關的任何舊資源組或冗餘資源組。
      • 根據思科文檔，僅允許一個資源組用於Azure vWAN整合。刪除所有舊資源組，確保僅保留活動資源組和必要的資源組。已觀察到此操作以解決錯誤，502錯誤響應太多。

    相關資訊

    修訂記錄

    修訂 發佈日期 意見
    1.0
    06-Oct-2025
    初始版本
    TAC Authored

    由思科工程師貢獻

    • 路易斯·安赫爾·弗里亞斯·拉米雷斯
      技術諮詢工程師

    這份文件是否有所幫助？

    Feedback意見

    讓思科協助您

    本文件適用於這些產品