Povolení kompletního šifrování s využitím šifrování na hostiteli – Azure Portal
Platí pro: ✔️ Virtuální počítače s Windows s Linuxem ✔️
Když povolíte šifrování na hostiteli, data uložená na hostiteli virtuálního počítače se šifrují v klidovém stavu a toky zašifrované do služby Storage. Koncepční informace o šifrování na hostiteli a dalších typech šifrování spravovaných disků najdete v tématu: Šifrování na hostiteli – Kompletní šifrování dat virtuálního počítače.
Dočasné disky a dočasné disky s operačním systémem jsou neaktivní zašifrované pomocí klíčů spravovaných zákazníkem nebo spravovaných platformou v závislosti na tom, co vyberete jako typ šifrování disku pro disk s operačním systémem. Neaktivní uložené mezipaměti operačního systému a datového disku se šifrují pomocí klíčů spravovaných zákazníkem nebo spravovaných platformou v závislosti na tom, co vyberete jako typ šifrování disku. Pokud je například disk šifrovaný pomocí klíčů spravovaných zákazníkem, pak se mezipaměť disku zašifruje pomocí klíčů spravovaných zákazníkem a pokud je disk šifrovaný pomocí klíčů spravovaných platformou, mezipaměť disku se zašifruje pomocí klíčů spravovaných platformou.
Omezení
- Podporováno pro disky Ultra s velikostí 4k sektorů a SSD úrovně Premium v2.
- Podporuje se pouze na 512e sektorech velikost disků Ultra a SSD úrovně Premium v2, pokud byly vytvořeny po 13. 5. 2023.
- U disků vytvořených před tímto datem vytvořte snímek disku a vytvořte nový disk pomocí snímku.
- Na virtuálních počítačích nebo ve škálovacích sadách virtuálních počítačů, které v současné době nebo kdy měly povolenou službu Azure Disk Encryption, není možné povolit.
- Azure Disk Encryption nejde povolit na discích s povoleným šifrováním na hostiteli.
- Šifrování je možné povolit ve stávajících škálovacích sadách virtuálních počítačů. Po povolení šifrování se ale automaticky zašifrují jenom nové virtuální počítače vytvořené po povolení šifrování.
- Aby bylo možné šifrovat stávající virtuální počítače, musí být uvolněné a přerozdělené.
Podporované velikosti virtuálních počítačů
Starší velikosti virtuálních počítačů se nepodporují. Seznam podporovaných velikostí virtuálních počítačů najdete pomocí modulu Azure PowerShellu nebo Azure CLI.
Požadavky
Před použitím šifrování na hostiteli pro virtuální počítač nebo škálovací sadu virtuálních počítačů musíte tuto funkci pro své předplatné povolit. Pomocí následujících kroků povolte funkci pro vaše předplatné:
Azure Portal: Vyberte ikonu Cloud Shellu na webu Azure Portal:
Spuštěním následujícího příkazu zaregistrujte funkci pro vaše předplatné.
Register-AzProviderFeature -FeatureName "EncryptionAtHost" -ProviderNamespace "Microsoft.Compute"Před vyzkoušením této funkce ověřte, že stav registrace je Zaregistrovaný (registrace může trvat několik minut).
Get-AzProviderFeature -FeatureName "EncryptionAtHost" -ProviderNamespace "Microsoft.Compute"
Nasazení virtuálního počítače s klíči spravovanými platformou
Přihlaste se k portálu Azure.
Vyhledejte virtuální počítače a vyberte + Vytvořit a vytvořte virtuální počítač.
Vyberte odpovídající oblast a podporovanou velikost virtuálního počítače.
Vyplňte další hodnoty v podokně Basic podle potřeby a pokračujte v podokně Disky .
V podokně Disky vyberte Šifrování v hostiteli.
Proveďte zbývající výběry podle potřeby.
Pro zbytek procesu nasazení virtuálního počítače proveďte výběry, které odpovídají vašemu prostředí, a dokončete nasazení.
Teď jste nasadili virtuální počítač s povoleným šifrováním na hostiteli a mezipaměť disku se šifruje pomocí klíčů spravovaných platformou.
Nasazení virtuálního počítače s klíči spravovanými zákazníkem
Alternativně můžete použít klíče spravované zákazníkem k šifrování mezipaměti disků.
Vytvoření služby Azure Key Vault a sady šifrování disků
Jakmile je tato funkce povolená, musíte nastavit Službu Azure Key Vault a sadu šifrování disků, pokud jste to ještě neudělali.
Nastavení klíčů spravovaných zákazníkem pro vaše disky vyžaduje, abyste vytvořili prostředky v určitém pořadí, pokud to děláte poprvé. Nejprve budete muset vytvořit a nastavit Azure Key Vault.
Nastavení služby Azure Key Vault
Přihlaste se k portálu Azure.
Vyhledejte a vyberte trezory klíčů.
Důležité
Aby bylo nasazení úspěšné, musí být vaše sada šifrování disků, virtuální počítač, disky a snímky ve stejné oblasti a předplatné. Služby Azure Key Vault se můžou používat z jiného předplatného, ale musí být ve stejné oblasti a tenantovi jako vaše sada šifrování disků.
Vyberte +Vytvořit a vytvořte novou službu Key Vault.
Vytvoříte novou skupinu prostředků.
Zadejte název trezoru klíčů, vyberte oblast a vyberte cenovou úroveň.
Poznámka:
Při vytváření instance služby Key Vault musíte povolit ochranu obnovitelného odstranění a vymazání. Obnovitelné odstranění zajišťuje, že služba Key Vault uchovává odstraněný klíč pro danou dobu uchovávání (výchozí nastavení 90 dnů). Ochrana před vymazáním zajistí, že odstraněný klíč nebude možné trvale odstranit, dokud doba uchovávání nepřesběne. Tato nastavení chrání před ztrátou dat z důvodu náhodného odstranění. Tato nastavení jsou povinná při použití služby Key Vault pro šifrování spravovaných disků.
Vyberte Zkontrolovat a vytvořit, ověřte své volby a pak vyberte Vytvořit.
Jakmile trezor klíčů dokončí nasazení, vyberte ho.
V části Objekty vyberte klíče.
Vyberte Generovat/importovat.
U obou typů klíčů ponechte nastavenou hodnotu RSA a velikost klíče RSA nastavenou na hodnotu 2048.
Vyplňte zbývající výběry podle potřeby a pak vyberte Vytvořit.
Přidání role Azure RBAC
Teď, když jste vytvořili trezor klíčů Azure a klíč, musíte přidat roli Azure RBAC, abyste mohli použít trezor klíčů Azure se sadou šifrování disků.
- Vyberte Řízení přístupu (IAM) a přidejte roli.
- Přidejte role správce, vlastníka nebo přispěvatele služby Key Vault.
Nastavení sady šifrování disku
Vyhledejte sady šifrování disků a vyberte ji.
V podokně Sady šifrování disků vyberte +Vytvořit.
Vyberte skupinu prostředků, pojmenujte sadu šifrování a vyberte stejnou oblast jako trezor klíčů.
Jako typ šifrování vyberte Šifrování neaktivních uložených uložených dat pomocí klíče spravovaného zákazníkem.
Poznámka:
Jakmile vytvoříte sadu šifrování disku s určitým typem šifrování, nedá se změnit. Pokud chcete použít jiný typ šifrování, musíte vytvořit novou sadu šifrování disku.
Ujistěte se, že je vybraná možnost Vybrat trezor klíčů Azure a klíč .
Vyberte trezor klíčů a klíč, který jste vytvořili dříve, a verzi.
Pokud chcete povolit automatickou obměnu klíčů spravovaných zákazníkem, vyberte Automatické obměně klíčů.
Vyberte Zkontrolovat a vytvořit a pak Vytvořit.
Po nasazení přejděte na sadu šifrování disku a vyberte zobrazenou výstrahu.
Tím udělíte vašemu trezoru klíčů oprávnění k sadě šifrování disku.
Nasazení virtuálního počítače
Teď, když máte nastavenou službu Azure Key Vault a sadu šifrování disků, můžete nasadit virtuální počítač a používá šifrování na hostiteli.
Přihlaste se k portálu Azure.
Vyhledejte virtuální počítače a vyberte + Přidat a vytvořte virtuální počítač.
Vytvořte nový virtuální počítač, vyberte odpovídající oblast a podporovanou velikost virtuálního počítače.
Vyplňte další hodnoty v podokně Basic podle potřeby a pak přejděte do podokna Disky .
V podokně Disky vyberte Šifrování v hostiteli.
Vyberte správu klíčů a vyberte jeden z klíčů spravovaných zákazníkem.
Proveďte zbývající výběry podle potřeby.
Pro zbytek procesu nasazení virtuálního počítače proveďte výběry, které odpovídají vašemu prostředí, a dokončete nasazení.
Teď jste nasadili virtuální počítač s šifrováním na hostiteli, který je povolený pomocí klíčů spravovaných zákazníkem.
Zakázání šifrování na základě hostitele
Nejprve uvolněte virtuální počítač. Šifrování na hostiteli nejde zakázat, pokud se virtuální počítač nevyřadí.
Na virtuálním počítači vyberte Disky a pak vyberte Další nastavení.
Vyberte Možnost Ne pro šifrování u hostitele a pak vyberte Uložit.