Windows VM 用の Azure Disk Encryption

Important

Azure Disk Encryption は、 2028 年 9 月 15 日に廃止される予定です。 その日まで、中断することなく Azure Disk Encryption を引き続き使用できます。 2028 年 9 月 15 日に、ADE 対応ワークロードは引き続き実行されますが、暗号化されたディスクは VM の再起動後にロック解除に失敗し、サービスが中断されます。

新しい VM の ホストで暗号化 を使用するか、 コンフィデンシャル コンピューティング ワークロード用の OS ディスク暗号化を使用して機密 VM サイズ を検討します。 サービスの中断を回避するために、すべての ADE 対応 VM (バックアップを含む) を提供終了日より前にホストで暗号化に移行する必要があります。 詳細については、「 Azure Disk Encryption からホストでの暗号化への移行 」を参照してください。

適用対象: ✔️ Windows VM ✔️ フレキシブル スケール セット。

Azure Disk Encryption は、データを保護して、組織のセキュリティおよびコンプライアンス コミットメントを満たすのに役立ちます。 Windows の BitLocker 機能を使用して、Azure 仮想マシン (VM) の OS とデータ ディスクにボリューム暗号化が提供されます。これは、ディスク暗号化キーとシークレットを制御および管理できるように、Azure Key Vault に統合されています。

Azure Disk Encryption は、Virtual Machines と同じように、ゾーン回復性を備えています。 詳細については、「Availability ZonesをサポートするAzure サービス」を参照してください。

Microsoft Defender for Cloud を使用している場合、暗号化されていない VM があると警告されます。 アラートは重大度が高く表示され、Defender for Cloudこれらの VM を暗号化することをお勧めします。

Microsoft Defender for Cloud のディスク暗号化アラート

警告

  • Microsoft Entra IDでAzure Disk Encryptionを使用して以前に暗号化された VM の場合は、引き続き同じ方法を使用します。 詳細については、「Microsoft Entra ID での Azure Disk Encryption (以前のリリース)」を参照してください。
  • これらの推奨事項を実装すると、データ、ネットワーク、またはコンピューティング リソースの使用量が増加し、ライセンスやサブスクリプションのコストが増加する可能性があります。 サポートされているリージョンにリソースを作成するには、有効でアクティブな Azure サブスクリプションが必要です。
  • Azure Disk Encryption を介して暗号化された VM またはディスクでは、BitLocker を直接使用しての暗号化の解除は行なわないでください。これにより、データが失われる可能性があります。

Azure CLI を使用して Windows VM を作成して暗号化するクイックスタート または Azure PowerShell を使用して Windows VM を作成して暗号化するクイックスタートを使用すると、Windows 向け Azure Disk Encryption の基礎をわずか数分で学習できます。

サポートされている VM とオペレーティング システム

サポートされている VM

Windows VM は、さまざまなサイズで利用できます。 Azure Disk Encryption は、第 1 世代と第 2 世代の VM でサポートされています。 Azure Disk Encryption は、Premium Storage を使用した VM でも利用できます。

Azure Disk Encryptionは、Basic、A シリーズ VM、v6 シリーズ VM、v7 シリーズ VM、またはそれ以降、またはメモリが 2 GB 未満の仮想マシンでは使用できません。 例外の詳細については、「Azure Disk Encryption: 制限」を参照してください。

サポートされるオペレーティング システム

BitLocker をサポートし、BitLocker の要件を満たすように構成されているすべてのバージョンの Windows。 詳細については、「BitLocker の概要」をご覧ください。

メモ

Windows Server 2022とWindows 11は RSA 2048 ビット キーをサポートしていません。 詳細情報については、「FAQ: キー暗号化キーにはどのサイズを使用すべきですか?」を参照してください。

Windows Server 2012 R2 Core と Windows Server 2016 Core には、暗号化用に VM 上に bdehdcfg コンポーネントをインストールする必要があります。

Windows Server 2008 R2 には、暗号化用に .NET Framework 4.5 をインストールする必要があります。Windows Update から、オプションの更新プログラムである Windows Server 2008 R2 x64 ベース システム用の Microsoft .NET Framework 4.5.2 (KB2901983) を使用してインストールすることができます。

ネットワーク要件

Azure Disk Encryption を有効にするには、VM が次のネットワーク エンドポイントの構成要件を満たす必要があります。

  • Windows VM は、Azure 拡張リポジトリをホストする Azure ストレージ エンドポイントと、VHD ファイルをホストする Azure ストレージ アカウントに接続できる必要があります。
  • セキュリティ ポリシーで Azure VM からインターネットへのアクセスが制限されている場合は、上記の URI を解決し、IP への送信接続を許可するための特定のルールを構成することができます。 詳細については、「ファイアウォールの内側にある Azure Key Vault へのアクセス」を参照してください。

グループ ポリシーの要件

Azure Disk Encryption では、Windows VM に対して BitLocker 外部キー保護機能が使用されます。 ドメインに参加している VM の場合は、TPM 保護機能を適用するグループ ポリシーをプッシュしないでください。 "互換性のある TPM が装備されていない BitLocker を許可する" のグループ ポリシーについては、BitLocker グループ ポリシー リファレンスに関するページをご覧ください。

カスタム グループ ポリシーを使用するドメインに参加している仮想マシンの Bitlocker ポリシーには、[BitLocker 回復情報のユーザー記憶域を構成する] -> >[256 ビットの回復キーを許可する] の設定を含める必要があります。 BitLocker のカスタム グループ ポリシー設定に互換性がない場合、Azure Disk Encryptionは失敗します。 正しいポリシー設定を持っていないマシンで、新しいポリシーを適用し、新しいポリシーを強制的に更新 (gpupdate.exe /force)。 再起動が必要な場合があります。

Microsoft BitLocker Administration and Monitoring (MBAM) グループ ポリシー機能は、Azure Disk Encryption と互換性がありません。

警告

Azure Disk Encryptionには回復キーは格納されません。 対話型ログオン: マシン アカウントロックアウトしきい値のセキュリティ設定が有効になっている場合は、シリアル コンソールを使用して回復キーを指定することによってのみ、マシンを回復できます。 適切な回復ポリシーを有効にする手順については、 BitLocker 回復ガイドプランを参照してください。

ドメイン レベルのグループ ポリシーによって、BitLocker で使用される AES-CBC アルゴリズムがブロックされた場合、Azure Disk Encryptionは失敗します。

暗号化キーのストレージ要件

Azure Disk Encryption では、ディスク暗号化キーとシークレットを制御および管理するために、Azure Key Vault が必要です。 ご利用のキー コンテナーと VM は、同じ Azure リージョンおよびサブスクリプションに存在している必要があります。

詳細については、「Azure Disk Encryption用のキー コンテナーの作成と構成」を参照してください。

用語

次の表では、Azure Disk Encryptionドキュメントで使用される一般的な用語の一部を定義します。

用語 定義
Azure Key Vault Key Vault は、Federal Information Processing Standards (FIPS) に照らして検証されたハードウェア セキュリティ モジュールに基づく、暗号化キー管理サービスです。 これらの標準は、暗号化キーと機密性の高いシークレットを保護するために役立ちます。 詳細については、Azure Key Vaultのドキュメントと、Azure Disk Encryption用のキー コンテナーの作成と構成に関するドキュメントを参照してください。
Azure CLI Azure CLI は、コマンド ラインから Azure リソースを管理できるように最適化されています。
BitLocker BitLocker は、Windows VM でディスク暗号化を有効にするために使用される、業界で認められた Windows ボリューム暗号化テクノロジです。
キー暗号化キー (KEK) シークレットを保護またはラップするために使用できる非対称キー (RSA 2048) です。 ハードウェア セキュリティ モジュール (HSM) で保護されたキーまたはソフトウェアで保護されたキーを指定できます。 詳細については、Azure Key Vaultのドキュメントと、Azure Disk Encryption用のキー コンテナーの作成と構成に関するドキュメントを参照してください。
PowerShell コマンドレット 詳しくは、Azure PowerShell コマンドレットに関するページをご覧ください。

次のステップ

  • Last updated on