Azure Disk Encryption för virtuella Linux-datorer

Gäller för: ✔️ Flexibla skalningsuppsättningar för virtuella Linux-datorer ✔️

Azure Disk Encryption hjälper till att skydda dina data så att din verksamhet uppfyller både interna och externa krav och åtaganden. Den använder DM-Crypt-funktionen i Linux för att tillhandahålla volymkryptering för operativsystemet och datadiskarna på virtuella Azure-datorer (VM) och är integrerad med Azure Key Vault för att hjälpa dig att styra och hantera diskkrypteringsnycklar och hemligheter.

Azure Disk Encryption är zonmotståndskraftigt, på samma sätt som virtuella datorer. Mer information finns i Azure Services som stöder Tillgänglighetszoner.

Om du använder Microsoft Defender för molnet aviseras du om du har virtuella datorer som inte är krypterade. Aviseringarna visas som hög allvarlighetsgrad och rekommendationen är att kryptera dessa virtuella datorer.

Du kan lära dig grunderna i Azure Disk Encryption för Linux på bara några minuter med snabbstarten Skapa och kryptera en virtuell Linux-dator med Azure CLI eller snabbstarten Skapa och kryptera en virtuell Linux-dator med Azure PowerShell.

Virtuella datorer och operativsystem som stöds

Virtuella datorer som stöds

Virtuella Linux-datorer är tillgängliga i olika storlekar. Azure Disk Encryption stöds på virtuella datorer av generation 1 och generation 2. Azure Disk Encryption är också tillgängligt för virtuella datorer med premiumlagring.

Se Storlekar på virtuella Azure-datorer utan lokal tillfällig disk.

Azure Disk Encryption är inte heller tillgängligt på grundläggande virtuella datorer i A-serien eller på virtuella datorer som inte uppfyller dessa minimikrav för minne:

Minneskrav

När operativsystemets diskkrypteringsprocess är klar på virtuella Linux-datorer kan den virtuella datorn konfigureras att köras med mindre minne.

Fler undantag finns i Azure Disk Encryption: Restrictions (Azure Disk Encryption: Restrictions).

Operativsystem som stöds

Azure Disk Encryption stöds på en delmängd av De Azure-godkända Linux-distributionerna, som i sig är en delmängd av alla möjliga Distributioner av Linux-servrar.

Linux-serverdistributioner som inte stöds av Azure stöder inte Azure Disk Encryption. av de som har godkänts stöder endast följande distributioner och versioner Azure Disk Encryption:

* För avbildningsversioner som är större än eller lika med maj 2023.

Ytterligare vm-krav

Azure Disk Encryption kräver att modulerna dm-crypt och vfat finns i systemet. Om du tar bort eller inaktiverar vfat från standardavbildningen hindras systemet från att läsa nyckelvolymen och hämta den nyckel som behövs för att låsa upp diskarna vid efterföljande omstarter. Systemhärdningssteg som tar bort vfat-modulen från systemet eller framtvingar att expandera os-monteringspunkter/-mappar på dataenheter är inte kompatibla med Azure Disk Encryption.

Innan kryptering aktiveras måste de datadiskar som ska krypteras anges korrekt i /etc/fstab. Använd alternativet "nofail" när du skapar poster och välj ett beständiga blockenhetsnamn (eftersom enhetsnamn i formatet "/dev/sdX" kanske inte är associerade med samma disk över omstarter, särskilt efter kryptering. Mer information om det här beteendet finns i: Felsöka ändringar av enhetsnamn för virtuella Linux-datorer).

Kontrollera att inställningarna för /etc/fstab är korrekt konfigurerade för montering. Om du vill konfigurera de här inställningarna kör du kommandot mount -a eller starta om den virtuella datorn och utlöser återmonteringen på det sättet. När det är klart kontrollerar du utdata från lsblk-kommandot för att kontrollera att enheten fortfarande är monterad.

• Om /etc/fstab-filen inte monterar enheten korrekt innan kryptering aktiveras kommer Azure Disk Encryption inte att kunna montera den korrekt.
• Azure Disk Encryption-processen flyttar monteringsinformationen från /etc/fstab och till en egen konfigurationsfil som en del av krypteringsprocessen. Oroa dig inte för att se att posten saknas i /etc/fstab när dataenhetskryptering har slutförts.
• Innan du påbörjar krypteringen måste du stoppa alla tjänster och processer som kan skrivas till monterade datadiskar och inaktivera dem, så att de inte startas om automatiskt efter en omstart. Dessa kan hålla filerna öppna på dessa partitioner, vilket förhindrar krypteringsproceduren att återmontera dem, vilket orsakar fel i krypteringen.
• Efter omstarten tar det tid för Azure Disk Encryption-processen att montera de nyligen krypterade diskarna. De blir inte omedelbart tillgängliga efter en omstart. Processen behöver tid för att starta, låsa upp och sedan montera de krypterade enheterna innan de är tillgängliga för andra processer att komma åt. Den här processen kan ta mer än en minut efter omstarten beroende på systemets egenskaper.

Här är ett exempel på de kommandon som används för att montera datadiskarna och skapa nödvändiga /etc/fstab-poster:

sudo UUID0="$(blkid -s UUID -o value /dev/sda1)"
sudo UUID1="$(blkid -s UUID -o value /dev/sda2)"
sudo mkdir /data0
sudo mkdir /data1
sudo echo "UUID=$UUID0 /data0 ext4 defaults,nofail 0 0" >>/etc/fstab
sudo echo "UUID=$UUID1 /data1 ext4 defaults,nofail 0 0" >>/etc/fstab
sudo mount -a

Nätverkskrav

För att aktivera azure diskkrypteringsfunktionen måste de virtuella Linux-datorerna uppfylla följande konfigurationskrav för nätverksslutpunkten:

• Den virtuella Linux-datorn måste kunna ansluta till en Azure Storage-slutpunkt som är värd för Lagringsplatsen för Azure-tillägget och ett Azure-lagringskonto som är värd för VHD-filerna.
• Om din säkerhetsprincip begränsar åtkomsten från virtuella Azure-datorer till Internet kan du lösa föregående URI och konfigurera en specifik regel för att tillåta utgående anslutning till IP-adresserna. Mer information finns i Azure Key Vault bakom en brandvägg.

Lagringskrav för krypteringsnycklar

Azure Disk Encryption kräver ett Azure Key Vault för att styra och hantera diskkrypteringsnycklar och hemligheter. Dina nyckelvalv och virtuella datorer måste finnas i samma Azure-region och prenumeration.

Mer information finns i Skapa och konfigurera ett nyckelvalv för Azure Disk Encryption.

Terminologi

I följande tabell definieras några vanliga termer som används i dokumentationen för Azure-diskkryptering:

Nästa steg

• Snabbstart – Skapa och kryptera en virtuell Linux-dator med Azure CLI
• Snabbstart – Skapa och kryptera en virtuell Linux-dator med Azure PowerShell
• Azure Disk Encryption-scenarier på virtuella Linux-datorer
• Cli-skript för förhandskrav för Azure Disk Encryption
• PowerShell-skript för förhandskrav för Azure Disk Encryption
• Skapa och konfigurera ett nyckelvalv för Azure Disk Encryption