Crittografia dischi di Azure per macchine virtuali Linux

Si applica a: ✔️ macchine virtuali di Linux ✔️ set di scalabilità flessibili

Crittografia dischi di Azure consente di proteggere e salvaguardare i dati per soddisfare gli impegni di sicurezza e conformità dell'organizzazione. Usa la funzionalità DM-Crypt di Linux per offrire la crittografia del volume per il disco del sistema operativo e i dischi dati delle macchine virtuali (VM) di Azure ed è integrato con Azure Key Vault per facilitare il controllo e la gestione delle chiavi e dei segreti di crittografia dei dischi.

Crittografia dischi di Azure opera con resilienza della zona, allo stesso modo delle macchine virtuali. Per altri dettagli, vedere servizi Azure che supportano la funzionalità Zone di disponibilità.

Se si usa Microsoft Defender per il cloud, si viene avvisati se sono presenti macchine virtuali non crittografate. Gli avvisi vengono visualizzati con un livello di gravità elevato e la raccomandazione di crittografare tali macchine virtuali.

È possibile apprendere in pochi minuti le nozioni di base di Crittografia dischi di Azure per Linux con Avvio rapido: Creare e crittografare una macchina virtuale Linux con l'interfaccia della riga di comando di Azure o Avvio rapido: Creare e crittografare una macchina virtuale Linux con Azure PowerShell.

Macchine virtuali e sistemi operativi supportati

Macchine virtuali supportate

Le macchine virtuali Linux sono disponibili in una gamma di dimensioni. Crittografia dischi di Azure è supportato nelle macchine virtuali di Generazione 1 e 2. Crittografia dischi di Azure è disponibile anche per le macchine virtuali con Archiviazione Premium.

Vedere Dimensioni delle macchine virtuali di Azure senza disco temporaneo locale.

Crittografia dischi di Azure non è disponibile neanche nelle macchine virtuali serie A di tipo Basic o in quelle che non soddisfano questi requisiti di memoria minimi:

Requisiti di memoria

Una volta completato il processo di crittografia del disco del sistema operativo nelle macchine virtuali Linux, la macchina virtuale può essere configurata per l'esecuzione con meno memoria.

Per altre eccezioni, vedere Crittografia dischi di Azure: limitazioni.

Sistemi operativi supportati

Crittografia dischi di Azure è supportato in un sottoinsieme di distribuzioni di Linux approvate in Azure che è a sua volta un sottoinsieme di tutte le distribuzioni di server Linux possibili.

Le distribuzioni di server Linux non approvate da Azure non supportano Crittografia dischi di Azure. Tra quelle approvate, solo le distribuzioni e versioni seguenti supportano Crittografia dischi di Azure:

* Per le versioni dell'immagine maggiori o uguali a maggio 2023.

Requisiti aggiuntivi delle macchine virtuali

Crittografia dischi di Azure richiede la presenza nel sistema dei moduli dm-crypt e vfat. La rimozione o la disabilitazione di vfat dall'immagine predefinita impedirà al sistema di leggere la chiave del volume e ottenere quella necessaria per sbloccare i dischi ai successivi riavvii. I passaggi di protezione avanzata del sistema che rimuovono il modulo vfat dal sistema o applicano l'espansione dei punti di montaggio/cartelle del sistema operativo nelle unità dati non sono compatibili con Crittografia dischi di Azure.

Prima di abilitare la crittografia, i dischi dati da crittografare devono essere elencati correttamente in /etc/fstab. Durante la creazione delle voci usare l'opzione "nofail" e scegliere un nome di dispositivo a blocchi permanente (i nomi di dispositivo nel formato "/dev/sdX" potrebbero infatti non essere associati allo stesso disco nei vari riavvii, in particolare dopo la crittografia. Per altre informazioni su questo comportamento, vedere: Risolvi i problemi relativi alla modifica del nome dispositivo nella macchina virtuale Linux).

Verificare che le impostazioni /etc/fstab siano configurate correttamente per il montaggio. Per configurare queste impostazioni, eseguire il comando mount -a o riavviare la macchina virtuale e attivare il rimontaggio in questo modo. Al termine, controllare l'output del comando lsblk per verificare che l'unità desiderata sia ancora montata.

• Se il file /etc/fstab non monta l'unità in modo corretto prima di abilitare la crittografia; Crittografia dischi di Azure non sarà in grado di montarla correttamente.
• Il processo di Crittografia dischi di Azure sposterà le informazioni di montaggio da /etc/fstab e le inserirà in un proprio file di configurazione come parte del processo di crittografia. Non allarmarsi per la mancanza della voce da /etc/fstab dopo il completamento della crittografia dell'unità dati.
• Prima di avviare la crittografia, assicurarsi di arrestare tutti i servizi e i processi che potrebbero scrivere nei dischi dati montati e disabilitarli, in modo che non vengano riavviati automaticamente dopo un riavvio. Questi potrebbero infatti tenere aperti i file presenti in queste partizioni impedendo alla procedura di crittografia di rimontarle, determinando così un errore di crittografia.
• Dopo il riavvio, il processo di Crittografia dischi di Azure avrà bisogno di tempo per montare i dischi appena crittografati. Non saranno disponibili immediatamente dopo un riavvio. Il processo richiede tempo per iniziare, sbloccare e quindi montare le unità crittografate prima che siano disponibili per l'accesso da parte di altri processi. Questo processo potrebbe richiedere più di un minuto dopo il riavvio, a seconda delle caratteristiche di sistema.

Di seguito è riportato un esempio dei comandi usati per montare i dischi dati e creare le voci /etc/fstab necessarie:

sudo UUID0="$(blkid -s UUID -o value /dev/sda1)"
sudo UUID1="$(blkid -s UUID -o value /dev/sda2)"
sudo mkdir /data0
sudo mkdir /data1
sudo echo "UUID=$UUID0 /data0 ext4 defaults,nofail 0 0" >>/etc/fstab
sudo echo "UUID=$UUID1 /data1 ext4 defaults,nofail 0 0" >>/etc/fstab
sudo mount -a

Requisiti di rete

Per abilitare la funzionalità Crittografia dischi di Azure, le macchine virtuali Linux devono soddisfare i requisiti di configurazione degli endpoint di rete seguenti:

• La macchina virtuale Linux deve potersi connettere a un endpoint di archiviazione di Azure che ospita il repository delle estensioni di Azure e a un account di archiviazione di Azure che ospita i file del disco rigido virtuale.
• Se i criteri di sicurezza limitano l'accesso delle macchine virtuali di Azure a Internet, è possibile risolvere l'URI precedente e configurare una regola specifica per consentire la connettività in uscita agli IP. Per altre informazioni, vedere Azure Key Vault protetto da firewall.

Requisiti di archiviazione delle chiavi di crittografia

Crittografia dischi di Azure richiede Azure Key Vault per controllare e gestire segreti e chiavi di crittografia dei dischi. L'insieme di credenziali delle chiavi e le macchine virtuali devono trovarsi nella stessa area e sottoscrizione di Azure.

Per altre informazioni, vedere Creazione e configurazione di un insieme di credenziali delle chiavi per Crittografia dischi di Azure.

Terminologia

La tabella seguente definisce alcuni dei termini comuni usati nella documentazione di Crittografia dischi di Azure:

Passaggi successivi

• Avvio rapido: Creare e crittografare una macchina virtuale Linux con l'interfaccia della riga di comando di Azure
• Guida introduttiva: Creare e crittografare una macchina virtuale Linux con Azure PowerShell
• Scenari di Crittografia dischi di Azure nelle macchine virtuali Linux
• Script dell'interfaccia della riga di comando dei prerequisiti di Crittografia dischi di Azure
• Script di PowerShell per i prerequisiti di Crittografia dischi di Azure
• Creazione e configurazione di un insieme di credenziali delle chiavi per la crittografia dischi di Azure