Azure Disk Encryption pour les machines virtuelles Linux

S'applique à : ✔️ VMs Linux ✔️ Ensembles de mise à l'échelle flexibles

Azure Disk Encryption permet de protéger vos données pour répondre à vos engagements en matière de sécurité et de conformité de votre organisation. Il utilise la fonctionnalité DM-Crypt de Linux afin de fournir un chiffrement de volume pour le système d’exploitation et les disques de données des machines virtuelles Azure. Il s’intègre à Azure Key Vault pour vous aider à contrôler et à gérer les clés de chiffrement de disque et les secrets.

Azure Disk Encryption offre une résilience de zone, tout comme les machines virtuelles Azure. Pour plus d’informations, consultez Services Azure prenant en charge les zones de disponibilité.

Si vous utilisez Microsoft Defender pour le cloud, vous recevez une alerte dès lors que certaines de vos machines virtuelles ne sont pas chiffrées. Les alertes indiquent une gravité élevée et la recommandation consiste à chiffrer ces machines virtuelles.

Vous pouvez découvrir les notions de base d’Azure Disk Encryption pour Linux en quelques minutes avec les guides de démarrage rapide Créer et chiffrer une machine virtuelle Linux avec Azure CLI et Créer et chiffrer une machine virtuelle Linux avec Azure PowerShell.

Machines virtuelles et systèmes d’exploitation pris en charge

Machines virtuelles prises en charge

Les machines virtuelles Linux sont disponibles dans une gamme de tailles. Azure Disk Encryption est pris en charge sur les machines virtuelles de 1re génération et de 2e génération. Azure Disk Encryption est également disponible pour les machines virtuelles avec stockage premium.

Consultez Tailles de machine virtuelle Azure sans disque temporaire local.

Azure Disk Encryption n'est pas disponible sur les machines virtuelles de base, les machines virtuelles de série A, les machines virtuelles de la série v6, les machines virtuelles de série v7 ou ultérieures, ou sur les machines virtuelles qui ne répondent pas à ces exigences minimales en mémoire :

Besoins en mémoire

Une fois le processus de chiffrement de disque de système d’exploitation terminé sur les machines virtuelles Linux, vous pouvez configurer la machine virtuelle pour qu’elle s’exécute avec moins de mémoire.

Pour plus d’exceptions, consultez Azure Disk Encryption : Restrictions.

Systèmes d’exploitation pris en charge

Azure Disk Encryption est pris en charge sur un sous-ensemble des distributions Linux approuvées par Azure, qui est lui-même un sous-ensemble de toutes les distributions de serveur Linux possibles.

Les distributions de serveur Linux qu’Azure n’approuve pas ne prennent pas en charge Azure Disk Encryption. Parmi les distributions approuvées par Azure, seules les distributions et versions suivantes prennent en charge Azure Disk Encryption :

* Pour les versions d’image à partir de mai 2023.

Configuration requise supplémentaire pour les machines virtuelles

Azure Disk Encryption nécessite la présence des modules dm-crypt et vfat sur le système. La suppression ou la désactivation de vfat de l’image par défaut empêchera le système de lire le volume de clés et d’obtenir la clé nécessaire pour déverrouiller les disques lors des redémarrages suivants. Les étapes de renforcement du système qui suppriment le module vfat du système ou appliquent le développement des points de montage/dossiers du système d'exploitation sur les lecteurs de données ne sont pas compatibles avec Azure Disk Encryption.

Avant d’activer le chiffrement, les disques de données à chiffrer doivent être répertoriés correctement dans /etc/fstab. Utilisez l’option « nofail » lors de la création d’entrées, puis choisissez un nom d’appareil de bloc persistant (en tant que noms d’appareils au format « /dev/sdX » peut ne pas être associé au même disque entre les redémarrages, en particulier après le chiffrement ; pour plus d’informations sur ce comportement, consultez : Résoudre les changements de nom de l’appareil de machine virtuelle Linux).

Vérifiez que les paramètres /etc/fstab sont configurés correctement pour le montage. Pour configurer ces paramètres, exécutez la mount -a commande ou redémarrez la machine virtuelle et déclenchez le remontage de cette façon. Une fois cette étape terminée, vérifiez la sortie de la lsblk commande pour vérifier que le lecteur est toujours monté.

• Si le fichier /etc/fstab ne monte pas correctement le lecteur avant l’activation du chiffrement, Azure Disk Encryption ne pourra pas procéder au montage du lecteur.
• Le processus Azure Disk Encryption déplace les informations du fichier /etc/fstab vers son propre fichier de configuration dans le cadre de l’opération de chiffrement. Par conséquent, ne soyez pas surpris que l’entrée ne figure plus dans le fichier /etc/fstab après le chiffrement du lecteur de données.
• Avant de démarrer le chiffrement, arrêtez tous les services et processus susceptibles d’écrire sur des disques de données montés et désactivez-les, afin qu’ils ne redémarrent pas automatiquement après un redémarrage. Ces processus peuvent conserver les fichiers ouverts sur ces partitions, ce qui empêche la procédure de chiffrement de les remonter, ce qui provoque l’échec du chiffrement.
• Après le redémarrage, le processus Azure Disk Encryption prend du temps pour monter les disques nouvellement chiffrés. Les disques ne sont donc pas disponibles juste après un redémarrage. Le processus a besoin de temps pour démarrer, déverrouiller, puis monter les lecteurs chiffrés avant que d’autres processus puissent y accéder. Ce processus peut prendre plus d’une minute après le redémarrage en fonction des caractéristiques du système.

L’exemple suivant montre les commandes utilisées pour monter les disques de données et créer les entrées /etc/fstab nécessaires :

sudo UUID0="$(blkid -s UUID -o value /dev/sda1)"
sudo UUID1="$(blkid -s UUID -o value /dev/sda2)"
sudo mkdir /data0
sudo mkdir /data1
sudo echo "UUID=$UUID0 /data0 ext4 defaults,nofail 0 0" >>/etc/fstab
sudo echo "UUID=$UUID1 /data1 ext4 defaults,nofail 0 0" >>/etc/fstab
sudo mount -a

Configuration requise du réseau

Pour l’activation de la fonctionnalité Azure Disk Encryption, les machines virtuelles Linux doivent répondre aux exigences de configuration de point de terminaison de réseau suivantes :

• La machine virtuelle Linux doit être capable de se connecter au point de terminaison de stockage Azure qui héberge le référentiel d’extensions Azure et à un compte de stockage Azure qui héberge les fichiers de disque dur virtuel.
• Si votre stratégie de sécurité limite l’accès à Internet à partir des machines virtuelles Azure, vous pouvez résoudre l’URI ci-dessus et configurer une règle spécifique pour autoriser les connexions sortantes vers les adresses IP. Pour plus d’informations, consultez l’article Azure Key Vault derrière un pare-feu.

Exigences liées au stockage des clés de chiffrement

Azure Disk Encryption exige Azure Key Vault pour contrôler et gérer les clés et les secrets de chiffrement de disque. Votre coffre de clés et vos machines virtuelles doivent se trouver dans la même région et le même abonnement Azure.

Pour plus d’informations, consultez Création et configuration d’un coffre de clés pour Azure Disk Encryption.

Terminologie

Le tableau suivant définit les termes courants utilisés dans Azure Disk Encryption documentation :

Étapes suivantes

• Démarrage rapide : Créer et chiffrer une machine virtuelle Linux avec Azure CLI
• Démarrage rapide : Créer et chiffrer une machine virtuelle Linux avec Azure PowerShell
• Scénarios Azure Disk Encryption sur les machines virtuelles Linux
• Migrer d’Azure Disk Encryption vers le chiffrement sur l’hôte
• Script d’interface CLI des prérequis Azure Disk Encryption
• Script PowerShell des prérequis Azure Disk Encryption
• Création et configuration d’un coffre de clés pour Azure Disk Encryption