Fazer backup de VM confidencial usando o Backup do Azure (versão prévia)

O Backup do Azure dá suporte a CVMs (Máquinas Virtuais Confidenciais) que fornecem backup e restauração seguros para cargas de trabalho confidenciais. Essa capacidade utiliza o Azure Disk Encryption Sets (DES) com chaves gerenciadas pela plataforma (PMKs) ou chaves gerenciadas pelo cliente (CMKs) para manter a confidencialidade dos dados durante todo o ciclo de vida do backup. VMs confidenciais fornecem forte segurança criando um limite imposto por hardware entre seu aplicativo e a pilha de virtualização.

Este artigo descreve como configurar e fazer backup de uma VM Confidencial (CVM) criptografada com disco do sistema operacional com chave gerenciada pela plataforma (PMK) ou chave gerenciada pelo cliente (CMK). Ele foca em pré-requisitos de backup, requisitos de permissão e fluxo de configuração.

Cenários com suporte para backup de VM confidencial

A tabela a seguir lista os cenários com suporte para backup de VM confidencial:

A matriz de suporte é a fonte de verdade para regiões suportadas, séries de VMs e capacidades de restauração.

Pré-requisitos

Antes de configurar backup para uma VM Confidencial, certifique-se de que os seguintes pré-requisitos sejam atendidos:

• Registre-se para o recurso de visualização em sua assinatura do Azure – Nome: Provedor: RestorePointSupportForConfidentialVMV2Microsoft.Compute. Para se registrar, veja Recursos de Prévia. Você também pode executar o seguinte cmdlet do PowerShell. O registro é aprovado automaticamente.

  Register-AzProviderFeature -FeatureName "RestorePointSupportForConfidentialVMV2" -ProviderNamespace "Microsoft.Compute" 
  
  

• Identifique ou crie uma CVM (VM Confidencial) em uma região com suporte. Consulte as regiões com suporte.

• Identifique ou crie um cofre de Serviços de Recuperação na mesma região da VM.

• Garanta que você possa configurar políticas de backup e atribuir permissões de acesso a chaves no seu ambiente.

Criar uma nova VM Confidencial com PMK ou CMK

Para fazer backup de uma VM Confidencial usando o Backup do Azure, você deve ter uma VM Confidencial configurada com criptografia PMK ou CMK. O Backup do Azure usa o DES (Conjunto de Criptografia de Disco) associado à sua VM para manter a criptografia durante todo o processo de backup e restauração.

Se necessário, aprenda a criar uma nova VM Confidencial com PMK ou CMK.

Visão geral da configuração de backup

Para o backup de VM confidencial, a carga útil e o modelo de política de backup são os mesmos do backup de VM do Azure. O requisito adicional é o acesso a ativos de criptografia (Key Vault ou HSM Gerenciado) usados pela VM.

Fluxo de alto nível:

1. Valide o suporte e os pré-requisitos.
2. Garanta que as permissões dos ativos de criptografia estejam disponíveis para backup.
3. Configure ou selecione uma política de backup.
4. Ative o backup da VM Confidencial.
5. Acione e monitore o trabalho inicial de backup.

Atribuir permissões para backup de VM confidencial

Backup do Azure precisa de acesso ao Key Vault ou ao Módulo de Segurança de Hardware Gerenciado (HSM) que armazena suas chaves. Esse acesso garante que o serviço possa fazer backup de chaves e recuperá-las se elas forem excluídas. Quando você configura o backup no portal do Azure, o Backup do Azure obtém automaticamente as permissões necessárias. Se você usar outros clientes, como PowerShell, CLI ou API REST, deverá atribuir essas permissões manualmente.

Se você estiver usando um Key Vault para armazenar chaves, conceda permissão ao serviço Backup do Azure para as operações de backup.

Para atribuir permissões para MHSM, siga estas etapas:

1. No portal do Azure, vá para o HSM Gerenciado e selecione RBAC Local em Configurações.

2. Selecione Adicionar para adicionar uma nova Atribuição de Função.

3. Selecione uma das seguintes funções:

   • Funções internas: se você quiser usar uma função interna, selecione a função Usuário de Criptografia HSM Gerenciado .

   • Funções personalizadas: Se você quiser usar uma função personalizada, as dataActions dessa função devem ter os seguintes valores:

     • Microsoft.KeyVault/managedHsm/keys/read/action
     • Microsoft.KeyVault/managedHsm/keys/backup/action

     Você pode criar uma função personalizada usando o Gerenciamento de funções do plano de dados HSM gerenciado.

4. Para Escopo, selecione a chave específica usada para criar uma VM Confidencial com Chave Gerenciada pelo Cliente.

   Você também pode selecionar Todas as Chaves.

5. Na Principal de Segurança, selecione Serviço de Gerenciamento de Backup.

Depois de atribuir permissões, aguarde as mudanças de função e política se propagarem antes de acionar o backup.

Configurar backup para VM Confidencial

Depois que o Backup do Azure obter as permissões necessárias, continue com o fluxo padrão de configuração de backup de VM do Azure. Saiba como configurar o backup de VM do Azure.

Durante a configuração:

1. Selecione o cofre de Serviços de Recuperação e a política de backup.
2. Selecione a VM Confidencial para proteger.
3. Valide que não haja avisos de permissão para acesso à chave.
4. Ative o backup e monitore a conclusão inicial do trabalho.

Próxima etapa

Restaure o CVM usando o Backup do Azure (versão prévia).

Conteúdo relacionado

• Faça backup de máquinas virtuais Azure criptografadas
• Matriz de suporte para backup de VM do Azure