Restaurar VM confidencial usando o Backup do Azure (versão prévia)

Este artigo descreve como restaurar uma VM Confidencial (CVM) criptografada no disco do sistema operacional com Chave Gerenciada de Plataforma (PMK) ou Chave Gerenciada pelo Cliente (CMK) usando o Backup do Azure. Ele explica o comportamento de restauração entre estados de chave e do Conjunto de Criptografia de Disco (DES), e fornece um procedimento de recuperação para cenários de perda de chave.

Saiba mais sobre os cenários com suporte para backup de VM confidencial.

Cenários de restauração suportados

Backup do Azure suporta os seguintes cenários de restauração para VMs Confidenciais criptografadas em disco do sistema operacional:

Para limites de suporte e disponibilidade regional, veja a matriz de suporte para backup de VMs Confidenciais.

Restaura direto da camada do instantâneo

Os seguintes cenários são suportados para os pontos de restauração da camada do instantâneo:

Se você fornecer um novo DES para um ponto de restauração que tenha tanto o instantâneo quanto as camadas de cofre, o processo de restauração tenta restaurar a partir da camada de cofre.

Restaura direto da camada de cofre

Os pontos de restauração da camada de cofre suportam os seguintes cenários:

Para restaurar na camada de cofre com uma nova chave de empacotamento:

1. Forneça o DES associado à nova chave que você deseja usar para o disco restaurado do sistema operacional.
2. Se a nova chave (empacotar) for diferente da chave original (desempacotar), certifique-se de que as duas chaves estejam presentes no mesmo cofre de chaves.
3. O Backup do Azure usa a chave original para desembrulhar os dados do backup durante a restauração e usa a nova chave para envolver o disco restaurado do sistema operacional.

Requisitos para uma restauração bem-sucedida

A restauração é bem-sucedida quando o Backup do Azure pode validar as relações de criptografia necessárias.

Restauração dos fluxos

Restaurar usando ativos originais de criptografia

Usa esta opção quando:

• Existem recursos originais do DES.
• Existem recursos originais do Key Vault.
• As chaves necessárias ainda estão disponíveis.

Neste cenário:

• Não é necessária configuração adicional de criptografia.
• O Backup do Azure reconstrói automaticamente a configuração de criptografia da VM.

Para restaurar usando os ativos originais de criptografia, continue com a seleção padrão de criptografia do backup.

Se você não fornecer entrada, essa opção é selecionada por padrão. A restauração falha se os critérios de restauração bem-sucedidos não forem atendidos.

Restaure usando recursos de criptografia substitutos

Usa esta opção quando:

• Os cofres de chaves originais foram excluídos.
• As chaves originais foram excluídas.
• Os recursos originais do DES não estão disponíveis.
• Você precisa usar uma chave diferente para envolver o disco restaurado do sistema operacional.

Critérios para sucesso

• Restaurações a partir do nível snapshot não suportam esse modo.
• O cofre de chaves associado ao novo DES deve conter as chaves originais usadas durante o backup. Se necessário, restaure as chaves que faltam.
• Se você usar chaves diferentes nas operações de wrap e unwrap, ambas as chaves deverão estar disponíveis no mesmo cofre de chaves. A nova chave deve ser aquela associada ao DES fornecido.

Configuração da criptografia do disco do sistema operacional

Para recuperação de disco do sistema operacional, selecione Fornecer Conjunto(s) de Criptografia de Disco para restauração e escolha um DES válido.

Recuperação quando os ativos originais de criptografia não estão disponíveis

Se as chaves originais forem deletadas, desativadas ou se tornarem inacessíveis:

1. Acione uma tentativa de restauração.
2. O Backup do Azure exporta o material-chave necessário para o local de staging configurado.
3. Restaure as chaves necessárias em um Key Vault controlado pelo cliente.
4. Crie os recursos necessários do Conjunto de Criptografia de Disco.
5. Tente restaurar novamente usando os recursos DES recém-criados.

Restaurar chaves ausentes para restauração de VM confidencial

Se a operação de restauração falhar, você precisará restaurar as chaves que o Backup do Azure efetuou.

Para restaurar a chave usando o PowerShell, siga estes passos:

1. Para selecionar o vault contendo o CVM e o CMK protegidos, insira o grupo de recursos e o nome do vault no cmdlet e, em seguida, execute o cmdlet.

   $vault = Get-AzRecoveryServicesVault -ResourceGroupName "<vault-rg>" -Name "<vault-name>"
   

2. Para listar todos os trabalhos de restauração com falha dos últimos sete dias, execute o cmdlet a seguir. Se você quiser buscar trabalhos mais antigos, atualize o intervalo de dias no cmdlet.

   $Jobs = Get-AzRecoveryServicesBackupJob -From (Get-Date).AddDays(-7).ToUniversalTime() -Status Failed -Operation Restore -VaultId $vault.ID
   

3. Para selecionar o trabalho de restauração com falha no resultado e obter os detalhes do trabalho, execute o seguinte cmdlet:

   Exemplo

   $JobDetails = Get-AzRecoveryServicesBackupJobDetail -Job $Jobs[0] -VaultId $vault.ID
   

4. Para obter todos os parâmetros necessários para a restauração de chave dos detalhes do trabalho, execute o seguinte cmdlet:

   $properties = $JobDetails.properties
   $storageAccountName = $properties["Target Storage Account Name"]
   $containerName = $properties["Config Blob Container Name"]
   $securedEncryptionInfoBlobName = $properties["Secured Encryption Info Blob Name"]
   

5. Para selecionar a conta de armazenamento de destino usada para restauração, insira seu grupo de recursos no seguinte cmdlet e execute o cmdlet:

   Set-AzCurrentStorageAccount -Name $storageaccountname -ResourceGroupName '<storage-account-rg >'
   

6. Para restaurar o arquivo de configuração JSON que contém detalhes de chave para CVM com CMK, execute o seguinte cmdlet:

   $destination_path = 'C:\cvmcmkencryption_config.json'
   Get-AzStorageBlobContent -Blob $securedEncryptionInfoBlobName -Container $containerName -Destination $destination_path
   $encryptionObject = Get-Content -Path $destination_path | ConvertFrom-Json 
   

7. Depois que o arquivo JSON é gerado no caminho de destino mencionado anteriormente, gere o arquivo de blob de chave dos dados JSON executando o seguinte cmdlet:

   $keyDestination = 'C:\keyDetails.blob'
   [io.file]::WriteAllBytes($keyDestination, [System.Convert]::FromBase64String($encryptionObject.OsDiskEncryptionDetails.KeyBackupData)) 
   

8. Para restaurar a chave de volta no Key Vault ou no HSM (Managed Hardware Security Module), execute o seguinte cmdlet:

   Restore-AzKeyVaultKey -VaultName '<target_key_vault_name> ' -InputFile $keyDestination
   For MHSM Use,  
   Restore-AzKeyVaultKey -HsmName '<target_mhsm_name>' -InputFile $keyDestination
   

Agora, crie um novo DES com o tipo de criptografia Criptografia de disco confidencial com CMK e aponte para a chave restaurada. Certifique-se de que o DES possui as permissões de acesso necessárias antes de tentar restaurar novamente. Se você usar um novo Key Vault ou HSM Gerenciado para restaurar a chave, o Serviço de Gerenciamento de Backup já tem permissões suficientes por padrão. Saiba como conceder permissão para acesso ao Key Vault ou ao HSM gerenciado.

Atribuir permissões ao DES e ao Agente de VM Convidado Confidencial para restauração

O Conjunto de Criptografia de Disco e o Agente de VM Convidado Confidencial precisam de permissões no Key Vault ou no HSM Gerenciado. Para fornecer as permissões, siga estas etapas:

Para o cofre de chaves: para conceder permissões ao cofre de chaves, você pode seguir estas etapas na documentação ou seguir estas etapas:

1. Navegue até a instância do conjunto de criptografia de disco.
2. Selecione a mensagem Para associar um disco, imagem ou instantâneo a esse conjunto de criptografia de disco, você deve conceder permissões ao cofre de chaves e então conceda as permissões necessárias.

Para HSM Gerenciado: para conceder permissões ao HSM gerenciado, siga estas etapas:

1. Atribua o DES recém-criado à função de Usuário de Criptografia HSM Gerenciada.

   1. No portal do Azure, vá para HSM Gerenciado>Configurações e depois selecione RBAC Local.
   2. Para adicionar uma nova Atribuição de Função, selecione Adicionar.
   3. Em Função, selecione Função de Usuário de Criptografia de HSM Gerenciado.
   4. Em Escopo, selecione a chave restaurada. Você também pode selecionar Todas as Chaves.
   5. Na Entidade de segurança, selecione DES recém-criado.

2. Atribua permissões necessárias ao Agente de VM Convidado Confidencial para inicializar a CVM:

   1. No portal do Azure, vá para HSM Gerenciado>Configurações e depois selecione RBAC Local.
   2. Para adicionar uma nova Atribuição de Função, selecione Adicionar.
   3. Em Função, selecione Usuário do Serviço de Criptografia do HSM Gerenciado.
   4. Em Escopo, selecione a chave restaurada. Você também pode selecionar Todas as Chaves.
   5. Na Entidade de segurança, selecione Agente de VM Convidada Confidencial.

Após mudanças de permissões, permita a propagação do RBAC antes de tentar restaurar novamente.

Solução de problemas de falha na restauração

Se uma operação de restauração falhar, use as seguintes verificações:

1. Valide que o DES existe e faz referência à chave esperada e à versão da chave.
2. Valide que a chave de origem não foi deletada ou desativada.
3. Valide se o DES e o Agente de VM convidada confidencial têm as permissões necessárias.
4. Tente novamente a operação de restauração após a recuperação da chave e propagação de permissões.

Conteúdo relacionado

• Matriz de suporte para backup de VM confidencial.
• Faça backup da CVM usando o Backup do Azure (versão prévia).