Azure Disk Encryption para VMs do Linux

Aplica-se a: ✔️ Linux VMs ✔️ Conjuntos de escala flexível

A Azure Disk Encryption ajuda a proteger e a salvaguardar os seus dados para cumprir as obrigações de conformidade e segurança da sua organização. Ele usa o recurso DM-Crypt do Linux para fornecer criptografia de volume para o sistema operacional e discos de dados de máquinas virtuais (VMs) do Azure e é integrado ao Cofre de Chaves do Azure para ajudá-lo a controlar e gerenciar as chaves e segredos de criptografia de disco.

O Azure Disk Encryption é resiliente à zona, da mesma forma que as Máquinas Virtuais. Para obter detalhes, consulte Serviços do Azure que dão suporte a zonas de disponibilidade.

Se você usa o Microsoft Defender for Cloud, será alertado se tiver VMs não criptografadas. Os alertas são exibidos como Alta Severidade e a recomendação é criptografar essas VMs.

Você pode aprender os fundamentos do Azure Disk Encryption para Linux em apenas alguns minutos com o início rápido Criar e criptografar uma VM Linux com a CLI do Azure ou Criar e criptografar uma VM Linux com o Azure PowerShell.

VMs e sistemas operacionais suportados

VMs suportadas

As VMs Linux estão disponíveis em uma variedade de tamanhos. O Azure Disk Encryption tem suporte em VMs de Geração 1 e 2. O Azure Disk Encryption também está disponível para VMs com armazenamento premium.

Consulte Tamanhos de VM do Azure sem disco temporário local.

O Azure Disk Encryption também não está disponível em VMs básicas, da série A ou em máquinas virtuais que não atendam a esses requisitos mínimos de memória:

Requisitos de memória

Quando o processo de criptografia de disco do sistema operacional estiver concluído em máquinas virtuais Linux, a VM poderá ser configurada para ser executada com menos memória.

Para obter mais exceções, consulte Azure Disk Encryption: Restrictions.

Sistemas operativos suportados

O Azure Disk Encryption tem suporte em um subconjunto das distribuições Linux endossadas pelo Azure, que é, em si, um subconjunto de todas as distribuições possíveis do servidor Linux.

As distribuições de servidor Linux que não são endossadas pelo Azure não oferecem suporte à Criptografia de Disco do Azure; das que são endossadas, apenas as seguintes distribuições e versões dão suporte à Criptografia de Disco do Azure:

* Para versões de imagem maiores ou iguais a maio de 2023.

Requisitos adicionais da VM

O Azure Disk Encryption requer que os módulos dm-crypt e vfat estejam presentes no sistema. Remover ou desativar o vfat da imagem padrão impedirá que o sistema leia o volume da chave e obtenha a chave necessária para desbloquear os discos em reinicializações subsequentes. As etapas de proteção do sistema que removem o módulo vfat do sistema ou impõem a expansão dos pontos de montagem/pastas do sistema operacional em unidades de dados não são compatíveis com a Criptografia de Disco do Azure.

Antes de habilitar a criptografia, os discos de dados a serem criptografados devem estar listados corretamente em /etc/fstab. Use a opção "nofail" ao criar entradas e escolha um nome de dispositivo de bloco persistente (como nomes de dispositivo no formato "/dev/sdX" podem não estar associados ao mesmo disco em reinicializações, particularmente após a criptografia; para obter mais detalhes sobre esse comportamento, consulte: Solucionar problemas de alterações de nome de dispositivo de VM Linux).

Verifique se as configurações de /etc/fstab estão configuradas corretamente para montagem. Para definir essas configurações, execute o comando mount -a ou reinicie a VM e acione a remontagem dessa forma. Quando isso estiver concluído, verifique a saída do comando lsblk para verificar se a unidade ainda está montada.

• Se o arquivo /etc/fstab não montar a unidade corretamente antes de habilitar a criptografia, o Azure Disk Encryption não poderá montá-la corretamente.
• O processo de Criptografia de Disco do Azure moverá as informações de montagem para fora do /etc/fstab e para seu próprio arquivo de configuração como parte do processo de criptografia. Não se assuste ao ver a entrada ausente do /etc/fstab após a conclusão da criptografia da unidade de dados.
• Antes de iniciar a encriptação, certifique-se de que interrompe todos os serviços e processos que possam estar a escrever em discos de dados montados e desative-os, para que não sejam reiniciados automaticamente após uma reinicialização. Estes ficheiros podem manter os ficheiros abertos nessas partições, impedindo que o procedimento de encriptação os remonte, causando falha da encriptação.
• Após a reinicialização, levará tempo para que o processo de Criptografia de Disco do Azure monte os discos recém-criptografados. Eles não estarão imediatamente disponíveis após uma reinicialização. O processo precisa de tempo para iniciar, desbloquear e, em seguida, montar as unidades criptografadas antes de estar disponível para outros processos acessarem. Este processo pode levar mais de um minuto após a reinicialização, dependendo das características do sistema.

Aqui está um exemplo dos comandos usados para montar os discos de dados e criar as entradas /etc/fstab necessárias:

sudo UUID0="$(blkid -s UUID -o value /dev/sda1)"
sudo UUID1="$(blkid -s UUID -o value /dev/sda2)"
sudo mkdir /data0
sudo mkdir /data1
sudo echo "UUID=$UUID0 /data0 ext4 defaults,nofail 0 0" >>/etc/fstab
sudo echo "UUID=$UUID1 /data1 ext4 defaults,nofail 0 0" >>/etc/fstab
sudo mount -a

Requisitos de rede

Para habilitar o recurso Azure Disk Encryption, as VMs Linux devem atender aos seguintes requisitos de configuração de ponto de extremidade de rede:

• A VM do Linux deve ser capaz de se conectar a um ponto de extremidade de armazenamento do Azure que hospeda o repositório de extensão do Azure e uma conta de armazenamento do Azure que hospeda os arquivos VHD.
• Se sua política de segurança limitar o acesso das VMs do Azure à Internet, você poderá resolver o URI anterior e configurar uma regra específica para permitir a conectividade de saída com os IPs. Para obter mais informações, consulte Azure Key Vault behind a firewall.

Requisitos do armazenamento de chaves de encriptação

O Azure Disk Encryption requer um Cofre de Chaves do Azure para controlar e gerenciar chaves e segredos de criptografia de disco. Seu cofre de chaves e VMs devem residir na mesma região e assinatura do Azure.

Para obter detalhes, consulte Criando e configurando um cofre de chaves para a Criptografia de Disco do Azure.

Terminologia

A tabela a seguir define alguns dos termos comuns usados na documentação de criptografia de disco do Azure:

Próximos passos

• Guia de início rápido - Criar e criptografar uma VM Linux com a CLI do Azure
• Guia de início rápido - Criar e criptografar uma VM Linux com o Azure PowerShell
• Cenários do Azure Disk Encryption em VMs com Linux
• Script de pré-requisitos da CLI do Azure Disk Encryption
• Script PowerShell de pré-requisitos do Azure Disk Encryption
• Criar e configurar um cofre de chaves para o Azure Disk Encryption