Azure Disk Encryption トラブルシューティング ガイド

適用対象: ✔️ Windows VM ✔️ フレキシブル スケール セット

このガイドは、Azure Disk Encryption を使用する IT プロフェッショナル、情報セキュリティ アナリスト、クラウド管理者を対象としています。 この記事を使用して、ディスク暗号化の問題のトラブルシューティングを行います。

これらの手順を実行する前に、暗号化する VM が サポートされている VM サイズとオペレーティング システム の中にあり、すべての前提条件を満たしていることを確認します。

• ネットワーク要件
• グループ ポリシーの要件
• 暗号化キーのストレージ要件

トラブルシューティング 'Failed to send DiskEncryptionData' (DiskEncryptionData の送信に失敗しました)

VM の暗号化が失敗し、"DiskEncryptionData を送信できませんでした..." というエラー メッセージが表示される場合、通常は次のいずれかの状況が原因で発生します。

• Key Vault が仮想マシンとは異なるリージョンまたはサブスクリプションに存在する
• Key Vault の高度なアクセス ポリシーが Azure Disk Encryption を許可するように設定されていない
• キー暗号化キーが無効になっているか、キー コンテナーで削除されている
• キー コンテナーまたはキー暗号化キー (KEK) のリソース ID または URL にタイプミスがあります
• 特殊文字は、VM、データ ディスク、またはキーの名前で使用されます。 たとえば、"_VMName" や "élite" などです。
• 暗号化シナリオはサポートされていません
• ネットワークの問題により、VM またはホストが必要なリソースにアクセスできない

問題を解決するための提案

• キー コンテナーが仮想マシンと同じリージョン内にあり、同じサブスクリプションに属していることを確認してください。
• キー コンテナーの高度なアクセス ポリシーを正しく設定します 。
• KEK を使用する場合は、キーが存在し、Key Vaultで有効になっていることを確認します。
• VM 名、データ ディスク、およびキーが Key Vault リソースの名前付け制限に従っていることを確認します。
• PowerShell または CLI コマンドで、キー コンテナー名または KEK 名に入力ミスがないか確認します。

• 制限に違反していないことを確認 します。
• ネットワーク要件を満たしていることを確認してから、もう一度やり直してください。

ファイアウォール内の Azure Disk Encryption のトラブルシューティング

ファイアウォール、プロキシ要件、またはネットワーク セキュリティ グループ (NSG) の設定によって接続が制限されている場合、拡張機能が必要なタスクを実行できない可能性があります。 この中断により、"拡張機能の状態が VM で使用できません" などのステータス メッセージが表示されることがあります。一般的なシナリオでは、暗号化が完了しません。 以下のセクションには、調査する一般的なファイアウォールの問題がいくつかあります。

ネットワーク セキュリティ グループ

ネットワーク セキュリティ グループの設定では、エンドポイントがディスク暗号化の文書化されたネットワーク構成 の前提条件を 満たすことを引き続き許可する必要があります。

ファイアウォールの内側にある Azure Key Vault

Microsoft Entra の資格情報で暗号化が有効にされている場合は、ターゲットの VM で、Microsoft Entra のエンドポイントと Key Vault のエンドポイントの両方への接続を許可する必要があります。 現在の Microsoft Entra 認証エンドポイントは、Microsoft 365 の URL と IP アドレスの範囲に関するドキュメントのセクション 56 と 59 に記載されています。 Key Vault手順は、ファイアウォールの内側にある Access Azure Key Vault で使用できます。

Azure インスタンス メタデータ サービス

VM は、Azure プラットフォーム リソースとの通信に使用する仮想パブリック IP アドレス (169.254.169.254) と Azure Instance Metadata Service のエンドポイント (168.63.129.16) にアクセスできる必要があります。 X-Forwarded-For ヘッダーの追加など、これらのアドレスへのローカル HTTP トラフィックを変更するプロキシ構成はサポートされていません。

Windows Server 2016 Server Core のトラブルシューティング

Windows Server 2016 Server Core では、 bdehdcfg コンポーネントは既定では使用できません。 Azure Disk Encryption には、このコンポーネントが必要です。 これは、VM の有効期間中に 1 回だけ実行される OS ボリュームからシステム ボリュームを分割するために使用されます。 これらのコンポーネント バイナリは、後の暗号化操作では必要ありません。

この問題を回避するには、次の 4 つのファイルを Windows Server 2016 Datacenter VM から Server Core 上の同じ場所にコピーします。

\windows\system32\bdehdcfg.exe
\windows\system32\bdehdcfglib.dll
\windows\system32\en-US\bdehdcfglib.dll.mui
\windows\system32\en-US\bdehdcfg.exe.mui

1. 次のコマンドを実行します。

   bdehdcfg.exe -target default
   

1. This command creates a 550 MB system partition. Restart the system.

1. Use DiskPart to check the volumes. Then continue.

For example:

```output
DISKPART> list vol

Volume ###  Ltr  Label        Fs     Type        Size     Status     Info
----------  ---  -----------  -----  ----------  -------  ---------  --------
Volume 0     C                NTFS   Partition    126 GB  Healthy    Boot
Volume 1                      NTFS   Partition    550 MB  Healthy    System
Volume 2     D   Temporary S  NTFS   Partition     13 GB  Healthy    Pagefile

暗号化状態のトラブルシューティング

ポータルでは、VM 内で暗号化されていない後でも、ディスクが暗号化済みとして表示される場合があります。 この状態は、高レベルのAzure Disk Encryption管理コマンドを使用する代わりに、低レベルのコマンドを使用して VM 内からディスクを直接暗号化解除する場合に発生する可能性があります。 上位レベルのコマンドは、VM 内からディスクを暗号化解除し、VM に関連付けられている重要なプラットフォーム レベルの暗号化設定と拡張機能の設定を更新します。 これらの設定が調整されていない場合、プラットフォームは暗号化の状態を報告したり、VM を適切にプロビジョニングしたりできません。

PowerShell を使用してAzure Disk Encryptionを無効にするには、Disable-AzVMDiskEncryption の後に Remove-AzVMDiskEncryptionExtension を使用します。 暗号化を無効にする前に Remove-AzVMDiskEncryptionExtension を実行すると失敗します。

CLI を使用してAzure Disk Encryptionを無効にするには、az vm encryption disable を使用します。

次のステップ

この記事では、一般的なAzure Disk Encryptionの問題とそのトラブルシューティング方法について説明します。 このサービスとその機能の詳細については、次の記事を参照してください。

• Microsoft Defender for Cloud でディスク暗号化を適用する
• 静止状態の Azure データ暗号化