Azure Disk Encryption-scenario's voor Windows-VM's

Van toepassing op: ✔️ Flexibele schaalsets voor Windows-VM's ✔️

Azure Disk Encryption voor Windows virtuele machines (VM's) gebruikt de BitLocker-functie van Windows om volledige schijfversleuteling van de besturingssysteemschijf en gegevensschijf te bieden. Daarnaast wordt de tijdelijke schijf versleuteld wanneer de VolumeType parameter is All.

Azure Disk Encryption is geïntegreerd met Azure Key Vault om u te helpen de schijfversleutelingssleutels en -geheimen te beheren. Zie voor een overzicht van de service Azure Disk Encryption voor Windows VM's.

Vereisten

U kunt schijfversleuteling alleen toepassen op virtuele machines met ondersteunde VM-grootten en besturingssystemen. U moet ook voldoen aan de volgende vereisten:

• Netwerkvereisten
• Vereisten voor groepsbeleid
• Opslagvereisten voor versleutelingssleutels

Beperkingen

Als u eerder Azure Disk Encryption hebt gebruikt met Microsoft Entra ID om een virtuele machine te versleutelen, kunt u deze optie blijven gebruiken om uw virtuele machine te versleutelen. Zie Azure Disk Encryption met Microsoft Entra ID (eerdere release) voor details.

Maak een momentopname of maak een back-up voordat schijven worden versleuteld. - Back-ups zorgen ervoor dat een hersteloptie mogelijk is als er een onverwachte fout optreedt tijdens de versleuteling. Voor VM's met beheerde schijven is een back-up vereist voordat versleuteling plaatsvindt. Zodra een back-up is gemaakt, kunt u de cmdlet Set-AzVMDiskEncryptionExtension gebruiken om beheerde schijven te versleutelen door de parameter -skipVmBackup op te geven. Zie Back-ups maken en herstellen van versleutelde virtuele machines voor meer informatie over het maken van back-ups en het herstellen van versleutelde virtuele machines.

Het versleutelen of uitschakelen van versleuteling kan ertoe leiden dat een virtuele machine opnieuw wordt opgestart.

Azure Disk Encryption werkt niet voor de volgende scenario's, functies en technologie:

• VM of VM's in de basislaag versleutelen die zijn gemaakt via de klassieke VM-aanmaakmethode.
• Virtuele machines uit de v6-serie versleutelen met tijdelijke schijven (Ddsv6, Dldsv6, Edsv6, Dadsv6, Daldsv6, Eadsv6, Dpdsv6, Dpldsv6, Epdsv6 of Endsv6). Zie de afzonderlijke pagina's voor elk van deze VM-grootten in grootten voor virtuele machines in Azure voor meer informatie.
• V7-serie en nieuwere VM-grootten versleutelen.
• Alle vereisten en beperkingen van BitLocker, zoals het vereisen van NTFS. Zie het BitLocker-overzicht voor meer informatie.
• Het versleutelen van VM's die zijn geconfigureerd met RAID-systemen op basis van software.
• Het versleutelen van VM's die zijn geconfigureerd met Opslagruimten Direct (S2D) of Windows Server-versies vóór 2016 die zijn geconfigureerd met Windows Opslagruimten.
• Integratie met een on-premises sleutelbeheersysteem.
• Azure Files (gedeeld bestandssysteem).
• Network File System (NFS).
• Dynamische volumes.
• Windows Server-containers, die dynamische volumes maken voor elke container.
• Tijdelijke besturingssysteemschijf.
• iSCSI-schijven.
• Versleuteling van gedeelde/gedistribueerde bestandssystemen zoals (maar niet beperkt tot) DFS, GFS, DRDB en CephFS.
• Een versleutelde VM verplaatsen naar een ander abonnement of een andere regio.
• Een installatiekopie of momentopname van een versleutelde VIRTUELE machine maken en deze gebruiken om meer VM's te implementeren.
• 'L' family Storage geoptimaliseerde VM-groottereeks.
• Vm's uit de M-serie met Write Accelerator-schijven.
• ADE toepassen op een virtuele machine met schijven die zijn versleuteld met versleuteling op de host of op de server met door de klant beheerde sleutels (SSE + CMK). Het toepassen van SSE + CMK op een gegevensschijf of het toevoegen van een gegevensschijf met SSE + CMK die is geconfigureerd voor een virtuele machine die is versleuteld met ADE, is ook een scenario dat niet wordt ondersteund.
• Migreren van een virtuele machine die is versleuteld met ADE of ooit is versleuteld met ADE, naar versleuteling op host - of serverzijdeversleuteling met door de klant beheerde sleutels.
• Virtuele machines versleutelen in failoverclusters.
• Versleuteling van Azure Ultra Disks.
• Versleuteling van Premium SSD v2-schijven.
• Versleuteling van VM's in abonnementen waarvoor het Secrets should have the specified maximum validity period beleid is ingeschakeld met het effect Weigeren.
• Versleuteling van VM's in abonnementen waarvoor het Key Vault secrets should have an expiration date beleid is ingeschakeld met het effect Weigeren.

Hulpprogramma's installeren en verbinding maken met Azure

U kunt Azure Disk Encryption inschakelen en beheren via de Azure CLI en Azure PowerShell. Hiervoor installeert u de hulpprogramma's lokaal en maakt u verbinding met uw Azure-abonnement.

Azure-CLI

Azure CLI 2.0 is een opdrachtregelprogramma voor het beheren van Azure-resources. De CLI is ontworpen om flexibel querygegevens uit te voeren, langdurige bewerkingen te ondersteunen als niet-blokkerende processen en scripting eenvoudig te maken. U kunt deze lokaal installeren door de stappen in Azure CLI installeren uit te voeren.

Als u zich wilt aanmelden bij uw Azure-account met de Azure CLI, gebruikt u de opdracht az login.

az login

Als u een tenant wilt selecteren waaronder u zich wilt aanmelden, gebruikt u:

az login --tenant <tenant>

Als u een van meerdere abonnementen wilt opgeven, haalt u uw abonnementslijst op met behulp van az account list en geeft u het abonnement op met behulp van az account set.

az account list
az account set --subscription "<subscription name or ID>"

Zie Aan de slag met Azure CLI voor meer informatie.

Azure PowerShell

De Azure PowerShell Az-module bevat een set cmdlets die gebruikmaken van het Azure Resource Manager model voor het beheren van uw Azure resources. U kunt deze in uw browser gebruiken met Azure Cloud Shell of u kunt het installeren op uw lokale computer met behulp van de instructies in de module Azure PowerShell installeren.

Als u deze al lokaal hebt geïnstalleerd, gebruikt u de meest recente Azure PowerShell versie om Azure Disk Encryption te configureren. Download de nieuwste versie van Azure PowerShell releases.

Gebruik de cmdlet Connect-AzAccountom u aan te melden bij uw Azure-account met Azure PowerShell.

Connect-AzAccount

Als u een van meerdere abonnementen wilt opgeven, gebruikt u de Cmdlet Get-AzSubscription om deze weer te geven, gevolgd door de cmdlet Set-AzContext :

Set-AzContext -Subscription <SubscriptionId>

Voer de Cmdlet Get-AzContext uit om te controleren of het juiste abonnement is geselecteerd.

Gebruik de cmdlet Get-Command om te controleren of de Azure Disk Encryption cmdlets zijn geïnstalleerd:

Get-Command *diskencryption*

Zie Aan de slag met Azure PowerShell voor meer informatie.

Versleuteling inschakelen op een bestaande of actieve Windows-VM

In dit scenario kunt u versleuteling inschakelen met behulp van de Resource Manager-sjabloon, PowerShell-cmdlets of CLI-opdrachten. Als u schemagegevens nodig hebt voor de extensie van de virtuele machine, raadpleegt u het artikel Over Azure Disk Encryption voor Windows-extensies .

Versleuteling inschakelen op bestaande of actieve VM's met behulp van Azure PowerShell

Gebruik de cmdlet Set-AzVMDiskEncryptionExtension om versleuteling in te schakelen op een actieve Virtuele IaaS-machine in Azure.

• Een actieve VM versleutelen: Met het volgende script worden uw variabelen geïnitialiseerd en wordt de cmdlet Set-AzVMDiskEncryptionExtension uitgevoerd. De resourcegroep, de VM en de sleutelkluis moeten al bestaan; dit zijn randvoorwaarden. Vervang MyKeyVaultResourceGroup, MyVirtualMachineResourceGroup, MySecureVM en MySecureVault door uw waarden.

   $KVRGname = 'MyKeyVaultResourceGroup';
   $VMRGName = 'MyVirtualMachineResourceGroup';
   $vmName = 'MySecureVM';
   $KeyVaultName = 'MySecureVault';
   $KeyVault = Get-AzKeyVault -VaultName $KeyVaultName -ResourceGroupName $KVRGname;
   $diskEncryptionKeyVaultUrl = $KeyVault.VaultUri;
   $KeyVaultResourceId = $KeyVault.ResourceId;
  
   Set-AzVMDiskEncryptionExtension -ResourceGroupName $VMRGname -VMName $vmName -DiskEncryptionKeyVaultUrl $diskEncryptionKeyVaultUrl -DiskEncryptionKeyVaultId $KeyVaultResourceId;
  

• Een actieve VM versleutelen met behulp van een KEK:

  $KVRGname = 'MyKeyVaultResourceGroup';
  $VMRGName = 'MyVirtualMachineResourceGroup';
  $vmName = 'MyExtraSecureVM';
  $KeyVaultName = 'MySecureVault';
  $keyEncryptionKeyName = 'MyKeyEncryptionKey';
  $KeyVault = Get-AzKeyVault -VaultName $KeyVaultName -ResourceGroupName $KVRGname;
  $diskEncryptionKeyVaultUrl = $KeyVault.VaultUri;
  $KeyVaultResourceId = $KeyVault.ResourceId;
  $keyEncryptionKeyUrl = (Get-AzKeyVaultKey -VaultName $KeyVaultName -Name $keyEncryptionKeyName).Key.kid;
  
  Set-AzVMDiskEncryptionExtension -ResourceGroupName $VMRGname -VMName $vmName -DiskEncryptionKeyVaultUrl $diskEncryptionKeyVaultUrl -DiskEncryptionKeyVaultId $KeyVaultResourceId -KeyEncryptionKeyUrl $keyEncryptionKeyUrl -KeyEncryptionKeyVaultId $KeyVaultResourceId;
  
  

  Notitie

  De syntaxis voor de waarde van de parameter disk-encryption-keyvault is de volledige id-tekenreeks: /subscriptions/[subscription-id-guid]/resourceGroups/[resource-group-name]/providers/Microsoft.KeyVault/vaults/[keyvault-name]
  De syntaxis voor de waarde van de parameter key-encryption-key is de volledige URI voor de KEK, zoals in: https://[keyvault-name].vault.azure.net/keys/[kekname]/[kek-unique-id]

• Controleer of de schijven zijn versleuteld: gebruik de cmdlet Get-AzVmDiskEncryptionStatus om de versleutelingsstatus van een IaaS-VM te controleren.

  Get-AzVmDiskEncryptionStatus -ResourceGroupName 'MyVirtualMachineResourceGroup' -VMName 'MySecureVM'
  

Zie Versleuteling uitschakelen en de versleutelingsextensie verwijderen om de versleuteling uit te schakelen.

Versleuteling inschakelen op bestaande of actieve VM's met behulp van de Azure CLI

Gebruik de opdracht az vm encryption enable om versleuteling in te schakelen op een actieve Virtuele IaaS-machine in Azure.

• Een actieve VM versleutelen:

  az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault "MySecureVault" --volume-type [All|OS|Data]
  

• Een actieve VM versleutelen met behulp van een KEK:

  az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault  "MySecureVault" --key-encryption-key "MyKEK_URI" --key-encryption-keyvault "MySecureVaultContainingTheKEK" --volume-type [All|OS|Data]
  

  Notitie

  De syntaxis voor de waarde van de parameter disk-encryption-keyvault is de volledige id-tekenreeks: /subscriptions/[subscription-id-guid]/resourceGroups/[resource-group-name]/providers/Microsoft.KeyVault/vaults/[keyvault-name]
  De syntaxis voor de waarde van de parameter key-encryption-key is de volledige URI voor de KEK, zoals in: https://[keyvault-name].vault.azure.net/keys/[kekname]/[kek-unique-id]

• Controleer of de schijven zijn versleuteld: gebruik de opdracht az vm encryption show om de versleutelingsstatus van een IaaS-VM te controleren.

  az vm encryption show --name "MySecureVM" --resource-group "MyVirtualMachineResourceGroup"
  

Zie Versleuteling uitschakelen en de versleutelingsextensie verwijderen om de versleuteling uit te schakelen.

De Resource Manager-sjabloon gebruiken

U kunt schijfversleuteling inschakelen op bestaande of actieve IaaS Windows-VM's in Azure met behulp van de Resource Manager-sjabloon om een actieve Windows-VM te versleutelen.

1. Selecteer Implementeren in Azure in de quickstartsjabloon Azure.

2. Selecteer het abonnement, de resourcegroep, de locatie, de instellingen, de juridische voorwaarden en de overeenkomst. Selecteer Aanschaffen om versleuteling in te schakelen op de bestaande of actieve IaaS-VM.

De volgende tabel bevat de Resource Manager-sjabloonparameters voor bestaande of actieve VM's:

Nieuwe IaaS-VM's die zijn gemaakt op basis van door de klant versleutelde VHD en versleutelingssleutels

In dit scenario kunt u een nieuwe VIRTUELE machine maken op basis van een vooraf versleutelde VHD en de bijbehorende versleutelingssleutels met behulp van PowerShell-cmdlets of CLI-opdrachten.

Gebruik de instructies in Een vooraf versleutelde Windows-VHD voorbereiden. Nadat de afbeelding is gemaakt, kunt u de stappen in de volgende sectie gebruiken om een versleutelde Azure-VM te maken.

Vm's versleutelen met vooraf versleutelde VHD's met behulp van Azure PowerShell

U kunt schijfversleuteling inschakelen op uw versleutelde VHD met de PowerShell-cmdlet Set-AzVMOSDisk. In het volgende voorbeeld ziet u enkele algemene parameters.

$VirtualMachine = New-AzVMConfig -VMName "MySecureVM" -VMSize "Standard_A1"
$VirtualMachine = Set-AzVMOSDisk -VM $VirtualMachine -Name "SecureOSDisk" -VhdUri "os.vhd" Caching ReadWrite -Windows -CreateOption "Attach" -DiskEncryptionKeyUrl "https://mytestvault.vault.azure.net/secrets/Test1/514ceb769c984379a7e0230bddaaaaaa" -DiskEncryptionKeyVaultId "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myKVresourcegroup/providers/Microsoft.KeyVault/vaults/mytestvault"
New-AzVM -VM $VirtualMachine -ResourceGroupName "MyVirtualMachineResourceGroup"

Versleuteling inschakelen op een nieuw toegevoegde gegevensschijf

U kunt een nieuwe schijf toevoegen aan een Windows-VM met behulp van PowerShell of via de Azure-portal.

Versleuteling op een nieuw toegevoegde schijf inschakelen met behulp van Azure PowerShell

Wanneer u PowerShell gebruikt om een nieuwe schijf voor Windows VM's te versleutelen, geeft u een nieuwe reeksversie op. De reeksversie moet uniek zijn. Met het volgende script wordt een GUID gegenereerd voor de sequentieversie. In sommige gevallen kan een nieuw toegevoegde gegevensschijf automatisch worden versleuteld door de Azure Disk Encryption-extensie. Automatische versleuteling treedt meestal op wanneer de virtuele machine opnieuw wordt opgestart nadat de nieuwe schijf online is. Dit gedrag treedt meestal op omdat 'Alles' is opgegeven voor het volumetype toen schijfversleuteling eerder werd uitgevoerd op de virtuele machine. Als automatische versleuteling plaatsvindt op een nieuw toegevoegde gegevensschijf, raden we u aan de cmdlet Set-AzVmDiskEncryptionExtension opnieuw uit te voeren met een nieuwe reeksversie. Als uw nieuwe gegevensschijf automatisch wordt versleuteld en u niet wilt dat deze wordt versleuteld, ontsleutel dan eerst alle stations en versleutel ze vervolgens opnieuw met een nieuwe sequenceversie waarin OS als volumetype is opgegeven.

• Een actieve VM versleutelen: Met het volgende script worden uw variabelen geïnitialiseerd en wordt de cmdlet Set-AzVMDiskEncryptionExtension uitgevoerd. De resourcegroep, de VM en de sleutelkluis moeten al bestaan; dit zijn randvoorwaarden. Vervang MyKeyVaultResourceGroup, MyVirtualMachineResourceGroup, MySecureVM en MySecureVault door uw waarden. In het volgende voorbeeld wordt 'Alles' gebruikt voor de parameter -VolumeType, die zowel besturingssysteem- als gegevensvolumes bevat. Als u alleen het besturingssysteemvolume wilt versleutelen, gebruikt u 'OS' voor de parameter -VolumeType.

   $KVRGname = 'MyKeyVaultResourceGroup';
   $VMRGName = 'MyVirtualMachineResourceGroup';
   $vmName = 'MySecureVM';
   $KeyVaultName = 'MySecureVault';
   $KeyVault = Get-AzKeyVault -VaultName $KeyVaultName -ResourceGroupName $KVRGname;
   $diskEncryptionKeyVaultUrl = $KeyVault.VaultUri;
   $KeyVaultResourceId = $KeyVault.ResourceId;
   $sequenceVersion = [Guid]::NewGuid();
  
   Set-AzVMDiskEncryptionExtension -ResourceGroupName $VMRGname -VMName $vmName -DiskEncryptionKeyVaultUrl $diskEncryptionKeyVaultUrl -DiskEncryptionKeyVaultId $KeyVaultResourceId -VolumeType "All" –SequenceVersion $sequenceVersion;
  

• Een actieve VM versleutelen met behulp van een KEK: In het volgende voorbeeld wordt 'Alles' gebruikt voor de parameter -VolumeType, die zowel besturingssysteem- als gegevensvolumes bevat. Als u alleen het besturingssysteemvolume wilt versleutelen, gebruikt u 'OS' voor de parameter -VolumeType.

  $KVRGname = 'MyKeyVaultResourceGroup';
  $VMRGName = 'MyVirtualMachineResourceGroup';
  $vmName = 'MyExtraSecureVM';
  $KeyVaultName = 'MySecureVault';
  $keyEncryptionKeyName = 'MyKeyEncryptionKey';
  $KeyVault = Get-AzKeyVault -VaultName $KeyVaultName -ResourceGroupName $KVRGname;
  $diskEncryptionKeyVaultUrl = $KeyVault.VaultUri;
  $KeyVaultResourceId = $KeyVault.ResourceId;
  $keyEncryptionKeyUrl = (Get-AzKeyVaultKey -VaultName $KeyVaultName -Name $keyEncryptionKeyName).Key.kid;
  $sequenceVersion = [Guid]::NewGuid();
  
  Set-AzVMDiskEncryptionExtension -ResourceGroupName $VMRGname -VMName $vmName -DiskEncryptionKeyVaultUrl $diskEncryptionKeyVaultUrl -DiskEncryptionKeyVaultId $KeyVaultResourceId -KeyEncryptionKeyUrl $keyEncryptionKeyUrl -KeyEncryptionKeyVaultId $KeyVaultResourceId -VolumeType "All" –SequenceVersion $sequenceVersion;
  
  

  Notitie

  De syntaxis voor de waarde van de parameter disk-encryption-keyvault is de volledige id-tekenreeks: /subscriptions/[subscription-id-guid]/resourceGroups/[resource-group-name]/providers/Microsoft.KeyVault/vaults/[keyvault-name]
  De syntaxis voor de waarde van de parameter key-encryption-key is de volledige URI voor de KEK, zoals in: https://[keyvault-name].vault.azure.net/keys/[kekname]/[kek-unique-id]

Versleuteling op een nieuw toegevoegde schijf inschakelen met behulp van Azure CLI

De opdracht Azure CLI biedt automatisch een nieuwe reeksversie voor u wanneer u de opdracht uitvoert om versleuteling in te schakelen. In het voorbeeld wordt 'All' gebruikt voor de parameter volumetype. Mogelijk moet u de parameter volumetype wijzigen in het besturingssysteem als u alleen de besturingssysteemschijf versleutelt. In tegenstelling tot de PowerShell-syntaxis hoeft de CLI de gebruiker geen unieke reeksversie op te geven bij het inschakelen van versleuteling. De CLI genereert en gebruikt automatisch een eigen unieke reeksversiewaarde.

• Een actieve VM versleutelen:

  az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault "MySecureVault" --volume-type "All"
  

• Een actieve VM versleutelen met behulp van een KEK:

  az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault  "MySecureVault" --key-encryption-key "MyKEK_URI" --key-encryption-keyvault "MySecureVaultContainingTheKEK" --volume-type "All"
  

Versleuteling uitschakelen en de versleutelingsextensie verwijderen

U kunt de Azure Disk Encryption-extensie uitschakelen en u kunt de Azure Disk Encryption-extensie verwijderen. Deze bewerkingen zijn verschillend.

Als u ADE wilt verwijderen, moet u eerst versleuteling uitschakelen en vervolgens de extensie verwijderen. Als u de versleutelingsextensie verwijdert zonder deze uit te schakelen, worden de schijven nog steeds versleuteld. Als u versleuteling uitschakelt nadat u de extensie hebt verwijderd, wordt de extensie opnieuw geïnstalleerd (om de ontsleutelingsbewerking uit te voeren) en moet u deze een tweede keer verwijderen.

Versleuteling uitschakelen

U kunt versleuteling uitschakelen met behulp van Azure PowerShell, de Azure CLI of met behulp van een Resource Manager-sjabloon. Als u versleuteling uitschakelt, wordt de extensie niet verwijderd (zie De versleutelingsextensie verwijderen).

• Schijfversleuteling uitschakelen met behulp van Azure PowerShell: als u de versleuteling wilt uitschakelen, gebruikt u de cmdlet Disable-AzVMDiskEncryption.

  Disable-AzVMDiskEncryption -ResourceGroupName "MyVirtualMachineResourceGroup" -VMName "MySecureVM" -VolumeType "all"
  

• Versleuteling uitschakelen met behulp van de Azure CLI: Als u versleuteling wilt uitschakelen, gebruikt u de opdracht az vm encryption disable.

  az vm encryption disable --name "MySecureVM" --resource-group "MyVirtualMachineResourceGroup" --volume-type "all"
  

• Versleuteling uitschakelen met behulp van een Resource Manager-sjabloon:

  1. Selecteer Implementeren naar Azure in schijfversleuteling uitschakelen bij het uitvoeren van Windows VM-sjabloon.
  2. Selecteer het abonnement, de resourcegroep, de locatie, de VM, het volumetype, de juridische voorwaarden en de overeenkomst.
  3. Selecteer Kopen om schijfversleuteling uit te schakelen op een actieve Windows-VM.

De versleutelingsextensie verwijderen

Als u uw schijven wilt ontsleutelen en de versleutelingsextensie wilt verwijderen, schakelt u versleuteling uit voordat u de extensie verwijdert. Zie Versleuteling uitschakelen voor meer informatie.

U kunt de versleutelingsextensie verwijderen met behulp van Azure PowerShell of de Azure CLI.

• Schijfversleuteling uitschakelen met behulp van Azure PowerShell: Als u de versleuteling wilt verwijderen, gebruikt u de cmdlet Remove-AzVMDiskEncryptionExtension.

  Remove-AzVMDiskEncryptionExtension -ResourceGroupName "MyVirtualMachineResourceGroup" -VMName "MySecureVM"
  

• Versleuteling uitschakelen met behulp van de Azure CLI: Als u versleuteling wilt verwijderen, gebruikt u de opdracht az vm extension delete.

  az vm extension delete -g "MyVirtualMachineResourceGroup" --vm-name "MySecureVM" -n "AzureDiskEncryption"
  

Volgende stappen

• Overzicht van Azure Disk Encryption
• Voorbeeldscripts voor Azure Disk Encryption
• Problemen met Azure Disk Encryption oplossen