Leitfaden zur Azure Disk Encryption-Problembehandlung

Gilt für: ✔️ Windows-VMs ✔️ Flexible Skalierungsgruppen

Dieser Leitfaden richtet sich an IT-Experten, Informationssicherheitsanalysten und Cloudadministratoren, die Azure Disk Encryption verwenden. Verwenden Sie diesen Artikel, um Probleme mit der Datenträgerverschlüsselung zu beheben.

Bevor Sie diese Schritte ausführen, stellen Sie sicher, dass die virtuellen Computer, die Sie verschlüsseln möchten, zu den unterstützten VM-Größen und Betriebssystemen gehören und dass Sie alle Voraussetzungen erfüllen:

• Netzwerkanforderungen
• Gruppenrichtlinienanforderungen
• Speicheranforderungen für Verschlüsselungsschlüssel

Problembehandlung bei „Fehler beim Senden von DiskEncryptionData“

Wenn beim Verschlüsseln einer VM die Fehlermeldung „Fehler beim Senden von DiskEncryptionData“ auftritt, hat dies in der Regel eine der folgenden Ursachen:

• Der Key Vault ist in einer anderen Region oder einem anderen Abonnement als der virtuelle Computer vorhanden.
• Erweiterte Zugriffsrichtlinien im Key Vault sind nicht so festgelegt, dass azure Disk Encryption zugelassen wird.
• Der Schlüsselverschlüsselungsschlüssel ist im Key Vault deaktiviert oder gelöscht.
• Ein Tippfehler ist in der Ressourcen-ID oder URL für den Schlüsseltresor oder den Schlüsselverschlüsselungsschlüssel (KEK) vorhanden.
• Sonderzeichen werden in den Namen der VM, Datenträger oder Schlüssel verwendet. Beispiel: "_VMName" oder "élite".
• Das Verschlüsselungsszenario wird nicht unterstützt.
• Netzwerkprobleme verhindern, dass der virtuelle Computer oder Host auf die erforderlichen Ressourcen zugreift

Vorschläge zum Beheben des Problems

• Stellen Sie sicher, dass der Schlüsseltresor in derselben Region und im selben Abonnement wie die virtuelle Maschine vorhanden ist.
• Legen Sie erweiterte Zugriffsrichtlinien für den Schlüsseltresor richtig fest.
• Wenn Sie einen KEK verwenden, stellen Sie sicher, dass der Schlüssel vorhanden ist und in Key Vault aktiviert ist.
• Überprüfen Sie, ob der VM-Name, die Datenträger und schlüssel den Benennungseinschränkungen für Schlüsseltresorressourcen folgen.
• Prüfen Sie den Key Vault-Namen oder den KEK-Namen in PowerShell- oder CLI-Befehlen auf Tippfehler.

• Stellen Sie sicher, dass Sie keine Einschränkungen verletzen.
• Stellen Sie sicher, dass Sie die Netzwerkanforderungen erfüllen, und versuchen Sie es dann erneut.

Azure Disk Encryption-Problembehandlung hinter einer Firewall

Wenn die Konnektivität durch eine Firewall-, Proxyanforderungs- oder Netzwerksicherheitsgruppe (NSG)-Einstellungen eingeschränkt wird, kann die Erweiterung möglicherweise die erforderlichen Aufgaben nicht ausführen. Diese Unterbrechung kann zu Statusmeldungen wie "Erweiterungsstatus auf dem virtuellen Computer nicht verfügbar" führen. In typischen Szenarien wird die Verschlüsselung nicht abgeschlossen. Die folgenden Abschnitte weisen einige häufige Firewallprobleme auf, die untersucht werden sollen.

Netzwerksicherheitsgruppen

Alle Netzwerksicherheitsgruppeneinstellungen müssen dennoch zulassen, dass der Endpunkt die dokumentierten Netzwerkkonfigurationsvoraussetzungen für die Datenträgerverschlüsselung erfüllt.

Azure Key Vault hinter einer Firewall

Wenn die Verschlüsselung mit Microsoft Entra-Anmeldeinformationen aktiviert wird, muss die Ziel-VM die Konnektivität sowohl mit Microsoft Entra-Endpunkten als auch mit Key Vault-Endpunkten zulassen. Aktuelle Microsoft Entra-Authentifizierungsendpunkte werden in den Abschnitten 56 und 59 der Dokumentation zu URLs und IP-Adressbereichen in Microsoft 365 verwaltet. Key Vault Anweisungen stehen in Access Azure Key Vault hinter einer Firewall zur Verfügung.

Azure-Instanzmetadatendienst

Die VM muss auf den Endpunkt des Azure-Instanzmetadatendiensts (169.254.169.254) und die virtuelle öffentliche IP-Adresse (168.63.129.16) zugreifen können, die für die Kommunikation mit Ressourcen der Azure-Plattform verwendet werden. Proxykonfigurationen, die den lokalen HTTP-Datenverkehr zu diesen Adressen ändern, z. B. das Hinzufügen eines X-Forwarded-For-Headers, werden nicht unterstützt.

Problembehandlung bei Windows Server 2016 Server Core

Unter Windows Server 2016 Server Core ist die bdehdcfg Komponente standardmäßig nicht verfügbar. Azure Disk Encryption erfordert diese Komponente. Es wird verwendet, um das Systemvolume vom Betriebssystemvolume aufzuteilen, das nur einmal für die Lebensdauer der VM ausgeführt wird. Diese Komponentenbinärdateien sind während späterer Verschlüsselungsvorgänge nicht erforderlich.

Um dieses Problem zu umgehen, kopieren Sie diese vier Dateien von einer Windows Server 2016 Datacenter-VM an denselben Speicherort auf Server Core:

\windows\system32\bdehdcfg.exe
\windows\system32\bdehdcfglib.dll
\windows\system32\en-US\bdehdcfglib.dll.mui
\windows\system32\en-US\bdehdcfg.exe.mui

1. Führen Sie den folgenden Befehl aus:

   bdehdcfg.exe -target default
   

1. This command creates a 550 MB system partition. Restart the system.

1. Use DiskPart to check the volumes. Then continue.

For example:

```output
DISKPART> list vol

Volume ###  Ltr  Label        Fs     Type        Size     Status     Info
----------  ---  -----------  -----  ----------  -------  ---------  --------
Volume 0     C                NTFS   Partition    126 GB  Healthy    Boot
Volume 1                      NTFS   Partition    550 MB  Healthy    System
Volume 2     D   Temporary S  NTFS   Partition     13 GB  Healthy    Pagefile

Behandeln von Problemen mit dem Verschlüsselungsstatus

Das Portal zeigt möglicherweise einen Datenträger als verschlüsselt an, auch nachdem er innerhalb des virtuellen Computers unverschlüsselt ist. Dieser Status kann auftreten, wenn Befehle auf niedriger Ebene verwendet werden, um den Datenträger direkt innerhalb der VM zu entschlüsseln, anstatt die Verwaltungsbefehle auf höherer Ebene Azure Disk Encryption zu verwenden. Die Befehle auf höherer Ebene heben die Verschlüsselung des Datenträgers innerhalb des virtuellen Computers auf und aktualisieren wichtige Verschlüsselungseinstellungen auf Plattformebene und Erweiterungseinstellungen, die der VM zugeordnet sind. Wenn diese Einstellungen nicht in Übereinstimmung gehalten werden, kann die Plattform den Verschlüsselungsstatus nicht melden oder den virtuellen Computer ordnungsgemäß bereitstellen.

Um Azure Disk Encryption mithilfe von PowerShell zu deaktivieren, verwenden Sie Disable-AzVMDiskEncryption gefolgt von Remove-AzVMDiskEncryptionExtension. Das Ausführen von Remove-AzVMDiskEncryptionExtension schlägt fehl, bevor Sie die Verschlüsselung deaktivieren.

Um Azure Disk Encryption mithilfe der CLI zu deaktivieren, deaktivieren Sie die az vm-Verschlüsselung.

Nächste Schritte

In diesem Artikel werden allgemeine Azure Disk Encryption Probleme und deren Problembehandlung beschrieben. Weitere Informationen zu diesem Dienst und seinen Funktionen finden Sie in den folgenden Artikeln:

• Anwenden der Datenträgerverschlüsselung in Microsoft Defender für Cloud
• Datenverschlüsselung ruhender Azure-Daten