Scenario's voor Azure Disk Encryption op Linux-VM's

Azure CLI 2.0 is een opdrachtregelprogramma voor het beheren van Azure-resources. De CLI is ontworpen om flexibel querygegevens uit te voeren, langdurige bewerkingen te ondersteunen als niet-blokkerende processen en scripting eenvoudig te maken. U kunt deze lokaal installeren door de stappen in Azure CLI installeren uit te voeren.

Als u zich wilt aanmelden bij uw Azure-account met de Azure CLI, gebruikt u de opdracht az login .

az login

Als u een tenant wilt selecteren waaronder u zich wilt aanmelden, gebruikt u:

az login --tenant <tenant>

Als u meerdere abonnementen hebt en een specifiek abonnement wilt opgeven, haalt u uw abonnementslijst op met az account list en stelt u in met az account set.

az account list
az account set --subscription "<subscription name or ID>"

Zie Aan de slag met Azure CLI 2.0 voor meer informatie.

De Azure PowerShell az-module bevat een set cmdlets die gebruikmaken van het Azure Resource Manager model voor het beheren van uw Azure resources. U kunt deze in uw browser gebruiken met Azure Cloud Shell of u kunt het installeren op uw lokale computer met behulp van de instructies in de module Azure PowerShell installeren.

Als u deze al lokaal hebt geïnstalleerd, moet u ervoor zorgen dat u de nieuwste versie van de Azure PowerShell SDK-versie gebruikt om Azure Disk Encryption te configureren. Download de nieuwste versie van de Azure PowerShell-release.

Gebruik de cmdlet Connect-AzAccountom u aan te melden bij uw Azure-account met Azure PowerShell.

Connect-AzAccount

Als u meerdere abonnementen hebt en er een wilt opgeven, gebruikt u de cmdlet Get-AzSubscription om deze weer te geven, gevolgd door de cmdlet Set-AzContext :

Set-AzContext -Subscription <SubscriptionId>

Als u de Get-AzContext-cmdlet uitvoert, wordt gecontroleerd of het juiste abonnement is geselecteerd.

Gebruik de cmdlet Get-command om te controleren of de Azure Disk Encryption-cmdlets zijn geïnstalleerd:

Get-command *diskencryption*

Zie Aan de slag met Azure PowerShell voor meer informatie.

U kunt schijfversleuteling op uw versleutelde VHD inschakelen door het azure CLI-opdrachtregelprogramma te installeren en te gebruiken. U kunt deze gebruiken in uw browser met Azure Cloud Shell of u kunt deze installeren op uw lokale computer en gebruiken in elke PowerShell-sessie. Gebruik de volgende CLI-opdrachten om versleuteling in te schakelen op bestaande of actieve Linux-VM's in Azure:

Gebruik de opdracht az vm encryption enable om versleuteling in te schakelen op een actieve virtuele machine in Azure.

• Een actieve VM versleutelen:

  az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault "MySecureVault" --volume-type [All|OS|Data]
  

• Een actieve VM versleutelen met behulp van KEK:

  az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault  "MySecureVault" --key-encryption-key "MyKEK_URI" --key-encryption-keyvault "MySecureVaultContainingTheKEK" --volume-type [All|OS|Data]
  

  Opmerking

  De syntaxis voor de waarde van de parameter disk-encryption-keyvault is de volledige id-tekenreeks: /subscriptions/[subscription-id-guid]/resourceGroups/[resource-group-name]/providers/Microsoft.KeyVault/vaults/[keyvault-name]
  De syntaxis voor de waarde van de parameter key-encryption-key is de volledige URI voor de KEK, zoals in: https://[keyvault-name].vault.azure.net/keys/[kekname]/[kek-unique-id]

• Controleer of de schijven zijn versleuteld: Gebruik de opdracht az vm encryption show om de versleutelingsstatus van een virtuele machine te controleren.

  az vm encryption show --name "MySecureVM" --resource-group "MyVirtualMachineResourceGroup"
  

Zie Versleuteling uitschakelen en de versleutelingsextensie verwijderen om de versleuteling uit te schakelen.

Gebruik de cmdlet Set-AzVMDiskEncryptionExtension om versleuteling in te schakelen op een actieve virtuele machine in Azure. Voordat u de schijven versleutelt, maakt u een momentopname en maakt u een back-up van de virtuele machine met behulp van Azure Backup. De PowerShell-scripts voor het versleutelen van een actieve Linux-VM geven al de -skipVmBackup parameter op.

• Een actieve VM versleutelen: Met het volgende script worden uw variabelen geïnitialiseerd en wordt de cmdlet Set-AzVMDiskEncryptionExtension uitgevoerd. De resourcegroep, de VM en de sleutelkluis zijn gemaakt als voorwaarden. Vervang MyVirtualMachineResourceGroup, MySecureVM en MySecureVault door uw waarden. Wijzig de parameter -VolumeType om op te geven welke schijven u versleutelt.

   $KVRGname = 'MyKeyVaultResourceGroup';
   $VMRGName = 'MyVirtualMachineResourceGroup';
   $vmName = 'MySecureVM';
   $KeyVaultName = 'MySecureVault';
   $KeyVault = Get-AzKeyVault -VaultName $KeyVaultName -ResourceGroupName $KVRGname;
   $diskEncryptionKeyVaultUrl = $KeyVault.VaultUri;
   $KeyVaultResourceId = $KeyVault.ResourceId;
   $sequenceVersion = [Guid]::NewGuid();
  
   Set-AzVMDiskEncryptionExtension -ResourceGroupName $VMRGName -VMName $vmName -DiskEncryptionKeyVaultUrl $diskEncryptionKeyVaultUrl -DiskEncryptionKeyVaultId $KeyVaultResourceId -VolumeType '[All|OS|Data]' -SequenceVersion $sequenceVersion -skipVmBackup;
  

• Een actieve VM versleutelen met behulp van KEK: Mogelijk moet u de -VolumeType parameter toevoegen als u gegevensschijven versleutelt en niet de besturingssysteemschijf.

   $KVRGname = 'MyKeyVaultResourceGroup';
   $VMRGName = 'MyVirtualMachineResourceGroup';
   $vmName = 'MyExtraSecureVM';
   $KeyVaultName = 'MySecureVault';
   $keyEncryptionKeyName = 'MyKeyEncryptionKey';
   $KeyVault = Get-AzKeyVault -VaultName $KeyVaultName -ResourceGroupName $KVRGname;
   $diskEncryptionKeyVaultUrl = $KeyVault.VaultUri;
   $KeyVaultResourceId = $KeyVault.ResourceId;
   $keyEncryptionKeyUrl = (Get-AzKeyVaultKey -VaultName $KeyVaultName -Name $keyEncryptionKeyName).Key.kid;
   $sequenceVersion = [Guid]::NewGuid();
  
   Set-AzVMDiskEncryptionExtension -ResourceGroupName $VMRGName -VMName $vmName -DiskEncryptionKeyVaultUrl $diskEncryptionKeyVaultUrl -DiskEncryptionKeyVaultId $KeyVaultResourceId -KeyEncryptionKeyUrl $keyEncryptionKeyUrl -KeyEncryptionKeyVaultId $KeyVaultResourceId -VolumeType '[All|OS|Data]' -SequenceVersion $sequenceVersion -skipVmBackup;
  

  Opmerking

  De syntaxis voor de waarde van de parameter disk-encryption-keyvault is de volledige id-tekenreeks: /subscriptions/[subscription-id-guid]/resourceGroups/[resource-group-name]/providers/Microsoft.KeyVault/vaults/[keyvault-name]
  De syntaxis voor de waarde van de parameter key-encryption-key is de volledige URI voor de KEK, zoals in: https://[keyvault-name].vault.azure.net/keys/[kekname]/[kek-unique-id]

• Controleer of de schijven zijn versleuteld: Gebruik de cmdlet Get-AzVmDiskEncryptionStatus om de versleutelingsstatus van een virtuele machine te controleren.

  Get-AzVmDiskEncryptionStatus -ResourceGroupName 'MyVirtualMachineResourceGroup' -VMName 'MySecureVM'
  

Zie Versleuteling uitschakelen en de versleutelingsextensie verwijderen om de versleuteling uit te schakelen.

U kunt schijfversleuteling inschakelen op een bestaande of actieve Linux-VM in Azure met behulp van de Resource Manager-sjabloon.

1. Selecteer Implementeren in Azure in de Azure-quickstartsjabloon.

2. Selecteer het abonnement, de resourcegroep, de locatie van de resourcegroep, de parameters, de juridische voorwaarden en de overeenkomst. Selecteer Maken om versleuteling in te schakelen op de bestaande of actieve VM.

De volgende tabel bevat Resource Manager-sjabloonparameters voor bestaande of actieve VM's:

Zie Azure Disk Encryption voor Linux voor meer informatie over het configureren van de linux-VM-schijfversleutelingssjabloon.

Zie Versleuteling uitschakelen en de versleutelingsextensie verwijderen om de versleuteling uit te schakelen.

Gebruik de opdracht az vm encryption enable om versleuteling in te schakelen op een actieve virtuele machine in Azure.

• Een actieve VIRTUELE machine versleutelen met encryptFormatAll:

  az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault "MySecureVault" --volume-type "data" --encrypt-format-all
  

Gebruik de cmdlet Set-AzVMDiskEncryptionExtension met de parameter EncryptFormatAll.

Een actieve VIRTUELE machine versleutelen met encryptFormatAll: Als voorbeeld initialiseert het volgende script uw variabelen en voert u de cmdlet Set-AzVMDiskEncryptionExtension uit met de parameter EncryptFormatAll. De resourcegroep, de VM en de sleutelkluis zijn randvoorwaarden. Vervang MyVirtualMachineResourceGroup, MySecureVM en MySecureVault door uw waarden.

$KVRGname = 'MyKeyVaultResourceGroup';
$VMRGName = 'MyVirtualMachineResourceGroup';
$vmName = 'MySecureVM';
$KeyVaultName = 'MySecureVault';
$KeyVault = Get-AzKeyVault -VaultName $KeyVaultName -ResourceGroupName $KVRGname;
$diskEncryptionKeyVaultUrl = $KeyVault.VaultUri;
$KeyVaultResourceId = $KeyVault.ResourceId;

Set-AzVMDiskEncryptionExtension -ResourceGroupName $VMRGName -VMName $vmName -DiskEncryptionKeyVaultUrl $diskEncryptionKeyVaultUrl -DiskEncryptionKeyVaultId $KeyVaultResourceId -VolumeType "data" -EncryptFormatAll

Als de virtuele machine eerder is versleuteld met 'Alle', moet de --volume-type parameter 'Alle' blijven. Alle omvat zowel besturingssysteem- als gegevensschijven. Als de virtuele machine eerder is versleuteld met een volumetype 'OS', wijzigt u de --volume-type parameter in 'Alle' zodat zowel het besturingssysteem als de nieuwe gegevensschijf worden opgenomen. Als de VIRTUELE machine is versleuteld met alleen het volumetype 'Gegevens', kan deze 'Gegevens' blijven, zoals wordt weergegeven in het volgende voorbeeld. Het toevoegen en koppelen van een nieuwe gegevensschijf aan een VIRTUELE machine is niet voldoende voorbereiding voor versleuteling. U moet ook de zojuist gekoppelde schijf in de VIRTUELE machine formatteren en correct koppelen voordat u versleuteling inschakelt. Op Linux moet u de schijf in /etc/fstab koppelen met een persistente naam van het blokapparaat.

In tegenstelling tot de PowerShell-syntaxis hoeft u voor de CLI geen unieke reeksversie op te geven wanneer u versleuteling inschakelt. De CLI genereert en gebruikt automatisch een eigen unieke reeksversiewaarde.

• Gegevensvolumes van een actieve VM versleutelen:

  az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault "MySecureVault" --volume-type "Data"
  

• Gegevensvolumes van een actieve VM versleutelen met behulp van KEK:

  az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault  "MySecureVault" --key-encryption-key "MyKEK_URI" --key-encryption-keyvault "MySecureVaultContainingTheKEK" --volume-type "Data"
  

Wanneer u PowerShell gebruikt om een nieuwe schijf voor Linux te versleutelen, geeft u een nieuwe reeksversie op. De reeksversie moet uniek zijn. Met het volgende script wordt een GUID gegenereerd voor de sequentieversie. Voordat u schijven versleutelt, maakt u een momentopname en maakt u een back-up van de VIRTUELE machine met behulp van Azure Backup. De PowerShell-scripts voor het versleutelen van een nieuw toegevoegde gegevensschijf geven al de -skipVmBackup parameter op.

• Gegevensvolumes van een actieve VM versleutelen: Met het volgende script worden uw variabelen geïnitialiseerd en wordt de cmdlet Set-AzVMDiskEncryptionExtension uitgevoerd. Maak de resourcegroep, vm en sleutelkluis als vereisten voordat u het script uitvoert. Vervang MyVirtualMachineResourceGroup, MySecureVM en MySecureVault door uw waarden. Acceptabele waarden voor de parameter -VolumeType zijn Alle, het besturingssysteem en de gegevens. Als de virtuele machine eerder is versleuteld met een volumetype 'OS' of 'Alle', moet de parameter -VolumeType worden gewijzigd in 'Alles', zodat zowel het besturingssysteem als de nieuwe gegevensschijf worden opgenomen.

  $KVRGname = 'MyKeyVaultResourceGroup';
  $VMRGName = 'MyVirtualMachineResourceGroup';
  $vmName = 'MySecureVM';
  $KeyVaultName = 'MySecureVault';
  $KeyVault = Get-AzKeyVault -VaultName $KeyVaultName -ResourceGroupName $KVRGname;
  $diskEncryptionKeyVaultUrl = $KeyVault.VaultUri;
  $KeyVaultResourceId = $KeyVault.ResourceId;
  $sequenceVersion = [Guid]::NewGuid();
  
  Set-AzVMDiskEncryptionExtension -ResourceGroupName $VMRGName -VMName $vmName -DiskEncryptionKeyVaultUrl $diskEncryptionKeyVaultUrl -DiskEncryptionKeyVaultId $KeyVaultResourceId -VolumeType 'data' –SequenceVersion $sequenceVersion -skipVmBackup;
  

• Gegevensvolumes van een actieve VM versleutelen met behulp van KEK: Acceptabele waarden voor de -VolumeType parameter zijn All, OSen Data. Als de virtuele machine eerder is versleuteld met een volumetype van OS of All, wijzigt u de parameter -VolumeType in All, zodat zowel de besturingssysteemschijf als de nieuwe gegevensschijf worden opgenomen.

   $KVRGname = 'MyKeyVaultResourceGroup';
   $VMRGName = 'MyVirtualMachineResourceGroup';
   $vmName = 'MyExtraSecureVM';
   $KeyVaultName = 'MySecureVault';
   $keyEncryptionKeyName = 'MyKeyEncryptionKey';
   $KeyVault = Get-AzKeyVault -VaultName $KeyVaultName -ResourceGroupName $KVRGname;
   $diskEncryptionKeyVaultUrl = $KeyVault.VaultUri;
   $KeyVaultResourceId = $KeyVault.ResourceId;
   $keyEncryptionKeyUrl = (Get-AzKeyVaultKey -VaultName $KeyVaultName -Name $keyEncryptionKeyName).Key.kid;
   $sequenceVersion = [Guid]::NewGuid();
  
   Set-AzVMDiskEncryptionExtension -ResourceGroupName $VMRGName -VMName $vmName -DiskEncryptionKeyVaultUrl $diskEncryptionKeyVaultUrl -DiskEncryptionKeyVaultId $KeyVaultResourceId -KeyEncryptionKeyUrl $keyEncryptionKeyUrl -KeyEncryptionKeyVaultId $KeyVaultResourceId -VolumeType 'data' –SequenceVersion $sequenceVersion -skipVmBackup;
  

  Opmerking

  De syntaxis voor de waarde van de parameter disk-encryption-keyvault is de volledige id-tekenreeks: /subscriptions/[subscription-id-guid]/resourceGroups/[KVresource-group-name]/providers/Microsoft.KeyVault/vaults/[keyvault-name]
  De syntaxis voor de waarde van de parameter key-encryption-key is de volledige URI voor de KEK, zoals in: https://[keyvault-name].vault.azure.net/keys/[kekname]/[kek-unique-id]