VMs do Azure Disk Encryption para Linux

Aplica-se a: ✔️ VMs do Linux ✔️ Conjuntos de dimensionamento flexíveis

O Azure Disk Encryption ajuda a proteger seus dados e a atender aos compromissos de conformidade e segurança da sua organização. Ele usa o recurso DM-Crypt do Linux para fornecer criptografia de volume para o sistema operacional e os discos de dados das VMs (máquinas virtuais) do Azure e é integrado ao Azure Key Vault para ajudar você a controlar e gerenciar as chaves de criptografia de disco e os segredos.

Azure Disk Encryption é resiliente à zona, da mesma maneira que as Máquinas Virtuais. Para saber mais, veja Os serviços do Azure que oferecem suporte às Zonas de Disponibilidade.

Se você usar o Microsoft Defender para Nuvem, receberá um alerta se tiver VMs não criptografadas. Esses alertas são mostrados como Alta Gravidade e a recomendação é criptografar essas VMs.

Você pode aprender os conceitos básicos do Azure Disk Encryption para Linux em apenas alguns minutos com o Início rápido: criar e criptografar uma VM do Linux com CLI do Azure ou o Início rápido: criar e criptografar uma VM do Linux com o Azure PowerShell.

Sistemas operacionais e VMs com suporte

VMs com suporte

As VMs do Linux estão disponíveis em uma série de tamanhos. Azure Disk Encryption tem suporte em VMs de Geração 1 e Geração 2. O Azure Disk Encryption também está disponível para VMs com armazenamento premium.

Veja Perguntas frequentes sobre tamanhos de VM do Azure sem disco temporário local.

O Azure Disk Encryption também não está disponível nas VMs básicas, série A nem nas máquinas virtuais que não atendem a esses requisitos mínimos de memória:

Requisitos de memória

Quando o processo de criptografia de disco do sistema operacional for concluído nas máquinas virtuais do Linux, a VM poderá ser configurada para executar com menos memória.

Para obter mais exceções, consulte Azure Disk Encryption: Restrições.

Sistemas operacionais compatíveis

O Azure Disk Encryption é compatível com um subconjunto de distribuições Linux endossadas pelo Azure que, na verdade, é um subconjunto de todas as distribuições possíveis do servidor Linux.

As distribuições do servidor Linux que não são endossadas pelo Azure não são compatíveis com o Azure Disk Encryption; daqueles que são endossados, somente as seguintes distribuições e versões são compatíveis com o Azure Disk Encryption:

* Para versões de imagem maiores ou iguais a maio de 2023.

Requisitos adicionais da VM

O Azure Disk Encryption requer que os módulos dm-crypt e vfat estejam presentes no sistema. Remover ou desabilitar o vfat da imagem padrão impedirá o sistema de ler o volume de chaves e obter a chave necessária para desbloquear os discos em reinicializações subsequentes. As etapas de proteção do sistema que removem o módulo vfat do sistema ou impõem a expansão dos pontos de montagem/pastas do sistema operacional em unidades de dados não são compatíveis com Azure Disk Encryption.

Antes de habilitar a criptografia, os discos de dados a serem criptografados precisam ser listados corretamente em /etc/fstab. Use a opção "nofail" ao criar entradas e escolha um nome de dispositivo de bloqueio persistente (já que os nomes de dispositivo no formato "/dev/sdX" podem não estar associados ao mesmo disco entre reinicializações, especialmente após a criptografia; para obter mais detalhes sobre esse comportamento, consulte: Solucionar problemas com alterações no nome de dispositivo da VM do Linux).

Verifique se as configurações de /etc/fstab estão definidas corretamente para a montagem. Para definir essas configurações, execute o comando mount - a ou reinicie a VM e disparar a remontagem dessa forma. Quando terminar, verifique a saída do comando lsblk para verificar se a unidade ainda está montada.

• Se o arquivo /etc/fstab não montar a unidade corretamente antes de habilitar a criptografia, o Azure Disk Encryption não será capaz de montá-la corretamente.
• O processo de criptografia de disco do Azure se moverá as informações de montagem fora /etc/fstab e em seu próprio arquivo de configuração como parte do processo de criptografia. Não se assuste para ver a entrada ausente do /etc/fstab após a criptografia de unidade de dados é concluída.
• Antes de iniciar a criptografia, interrompa todos os serviços e processos que podem estar gravando em discos de dados montados e desabilite-os para que não sejam reiniciados automaticamente após uma reinicialização. Eles poderiam manter os arquivos abertos nessas partições, impedindo o procedimento de criptografia de remontá-los, causando a falha da criptografia.
• Após a reinicialização, ela levará tempo para o processo de criptografia de disco do Azure montar os discos criptografados recentemente. Eles não estarão disponíveis imediatamente após uma reinicialização. O processo precisa de tempo para iniciar, desbloquear e, em seguida, montar as unidades criptografadas antes de estar disponível para ser acessado por outros processos. Esse processo pode levar mais de um minuto após a reinicialização, dependendo das características do sistema.

Aqui está um exemplo dos comandos usados para montar os discos de dados e criar as entradas /etc/fstab necessárias:

sudo UUID0="$(blkid -s UUID -o value /dev/sda1)"
sudo UUID1="$(blkid -s UUID -o value /dev/sda2)"
sudo mkdir /data0
sudo mkdir /data1
sudo echo "UUID=$UUID0 /data0 ext4 defaults,nofail 0 0" >>/etc/fstab
sudo echo "UUID=$UUID1 /data1 ext4 defaults,nofail 0 0" >>/etc/fstab
sudo mount -a

Requisitos de rede

Para habilitar o recurso de Azure Disk Encryption, as VMs do Linux devem atender aos seguintes requisitos de configuração do ponto de extremidade de rede:

• A VM do Linux deve ser capaz de se conectar a um ponto de extremidade do armazenamento do Azure que hospede o repositório de extensão do Azure e a uma conta de armazenamento do Azure que hospede os arquivos VHD.
• Se a política de segurança limita o acesso de VMs do Azure à Internet, você pode resolver o URI anterior e configurar uma regra específica para permitir a conectividade de saída para os IPs. Para obter mais informações, consulte Azure Key Vault por trás de um firewall.

Requisitos de armazenamento de chave de criptografia

O Azure Disk Encryption requer um Azure Key Vault para ajudar você a controlar e gerenciar os segredos e chaves de criptografia de disco. Seu cofre de chaves e as VMs devem residir na mesma região e assinatura do Azure.

Para saber detalhes, confira Criar e configurar um cofre de chaves para Azure Disk Encryption.

Terminologia

A tabela a seguir define alguns dos termos comuns usados na documentação de criptografia de disco do Azure:

Próximas etapas

• Início Rápido - criar e criptografar uma VM do Linux com a CLI do Azure
• Início Rápido - criar e criptografar uma VM do Linux com o Azure PowerShell
• Cenários de Azure Disk Encryption em VMs Linux
• Script da CLI dos pré-requisitos do Azure Disk Encryption
• Script do PowerShell dos pré-requisitos do Azure Disk Encryption
• Criando e configurando um cofre de chaves para Azure Disk Encryption