マイクロソフト、「Azure AD」の障害原因を報告

Azure ADでは、通常のセキュリティ業務の一環として、使用されなくなった鍵を自動的に削除しているが、この数週間は、複雑なクラウド間移行をサポートするために、ある鍵に「保持」のマークが付与されていた。Microsoftによれば、これによって特定のバグが顕在化し、「保持」されていた鍵が削除されてしまった。その結果、Azure ADによってこの署名鍵に関するメタデータが世界に向けて公開された。このメタデータが障害が発生した時間である米国東部標準時午後3時に変更されると、Azure ADがこの新しいメタデータを受け取り始め、削除された鍵で署名されていたトークンやアサーションを信頼しなくなった。 Microsoftのエンジニアは、東部標準時午後5時頃にシステムをロールバックしたが、アプリケーションがロールバックされたメタデータを受け取り、正しいメタデータを使い始めるようになるまでには時間がかかる

[ebibibi]

また証明書周りですか…。証明書周りは冗長化もできず障害点になりがちですね…。

[diet55]

> この障害によって、「Office」「Teams」「Dynamics 365」「Xbox Live」などをはじめとする、認証をAzure ADに依存しているMicrosoft（略）アプリケーションが利用できなくなった。同社は、この約14時間にわたって続いた障害によって

[JULY]

PKI は人類に早すぎたんだ...。強力な仕組みだけど、運用上のトラップに引っかかると、めちゃくちゃ大変だよなぁ。

[avalon1982]

“「Azureの状態の履歴」ページに3月16日に公開された今回のインシデントの予備分析結果によれば、「Azure ADが、OpenIDなどのIDに関する標準プロトコルを使った暗号署名操作をサポートするために使用している鍵のローテーシ