Guia de solução de problemas do Azure Disk Encryption

Aplica-se a: ✔️ VMs do Windows ✔️ Conjuntos de dimensionamento flexíveis

Este guia é para profissionais de TI, analistas de segurança da informação e administradores de nuvem que usam o Azure Disk Encryption. Use este artigo para solucionar problemas de criptografia de disco.

Antes de executar estas etapas, verifique se as VMs que você deseja criptografar estão entre os tamanhos de VM e sistemas operacionais compatíveis e que você atenda a todos os pré-requisitos:

• Requisitos de rede
• Requisitos da política de grupo
• Requisitos de armazenamento de chave de criptografia

Solução de problemas de 'falha ao enviar DiskEncryptionData'

Quando a criptografia de uma VM falha com a mensagem de erro "Falha ao enviar DiskEncryptionData...", ela geralmente é causada por uma das seguintes situações:

• O Key Vault existe em uma região ou assinatura diferente da máquina virtual
• As políticas de acesso avançadas no Key Vault não estão definidas para permitir a Criptografia de Disco do Azure
• A chave de criptografia de chave está desabilitada ou excluída no cofre de chaves
• Existe um erro de digitação no ID do recurso ou na URL do cofre de chaves ou da KEK (chave de criptografia de chaves)
• Caracteres especiais são usados nos nomes da VM, discos de dados ou chaves. Por exemplo, "_VMName" ou "élite".
• Não há suporte para o cenário de criptografia
• Problemas de rede impedem que a VM ou o host acesse os recursos necessários

Sugestões para resolver o problema

• Verifique se o cofre de chaves existe na mesma região e na mesma assinatura que a máquina virtual.
• Defina as políticas de acesso avançado do cofre de chaves corretamente.
• Se você usar um KEK, verifique se a chave existe e está habilitada no Key Vault.
• Verifique se o nome da VM, os discos de dados e as chaves seguem as restrições de nomenclatura de recursos do cofre de chaves.
• Verifique se há erros de digitação no nome do cofre de chaves ou no nome KEK nos comandos do PowerShell ou da CLI.

• Verifique se você não viola nenhuma restrição.
• Verifique se você atende aos requisitos de rede e tente novamente.

Solucionando problemas do Azure Disk Encryption por trás de um firewall

Quando a conectividade é restrita por um firewall, requisito de proxy ou configurações de NSG (grupo de segurança de rede), a extensão pode não conseguir executar as tarefas necessárias. Essa interrupção pode resultar em mensagens de status como "Status da extensão não disponível na VM". Em cenários típicos, a criptografia não é concluída. As seções a seguir têm alguns problemas comuns de firewall para investigar.

Grupos de segurança de rede

As configurações do grupo de segurança de rede ainda devem permitir que o endpoint atenda aos pré-requisitos documentados de configuração de rede para criptografia de disco.

Azure Key Vault por trás de um firewall

Quando a criptografia é habilitada com as credenciais do Microsoft Entra, a VM de destino deve permitir conectividade com pontos de extremidade do Microsoft Entra e pontos de extremidade do Key Vault. Os pontos de extremidade atuais de autenticação do Microsoft Entra são mantidos nas seções 56 e 59 da documentação de URLs e intervalos de endereços IP do Microsoft 365. As instruções do Key Vault estão disponíveis em Acessar o Azure Key Vault por trás de um firewall.

Serviço de metadados de instância do Azure

A VM precisa acessar o ponto de extremidade do Serviço de Metadados de Instância do Azure (169.254.169.254) e o endereço IP público virtual (168.63.129.16) usado para comunicação com recursos da plataforma Azure. Configurações de proxy que alteram o tráfego HTTP local para esses endereços, como adicionar um cabeçalho X-Forwarded-For, não têm suporte.

Solução de problemas de Server Core do Windows Server 2016

No Windows Server 2016 Server Core, o bdehdcfg componente não está disponível por padrão. O Azure Disk Encryption requer esse componente. Ele é usado para separar o volume do sistema do volume do sistema operacional, o que é feito apenas uma vez durante o tempo de vida da Máquina Virtual (VM). Esses binários de componente não são necessários durante operações de criptografia posteriores.

Para solucionar esse problema, copie esses quatro arquivos de uma VM Windows Server 2016 Datacenter para o mesmo local no Server Core:

\windows\system32\bdehdcfg.exe
\windows\system32\bdehdcfglib.dll
\windows\system32\en-US\bdehdcfglib.dll.mui
\windows\system32\en-US\bdehdcfg.exe.mui

1. Execute o comando a seguir:

   bdehdcfg.exe -target default
   

1. This command creates a 550 MB system partition. Restart the system.

1. Use DiskPart to check the volumes. Then continue.

For example:

```output
DISKPART> list vol

Volume ###  Ltr  Label        Fs     Type        Size     Status     Info
----------  ---  -----------  -----  ----------  -------  ---------  --------
Volume 0     C                NTFS   Partition    126 GB  Healthy    Boot
Volume 1                      NTFS   Partition    550 MB  Healthy    System
Volume 2     D   Temporary S  NTFS   Partition     13 GB  Healthy    Pagefile

Solução de problemas de status de criptografia

O portal pode exibir um disco como criptografado mesmo depois de não criptografado dentro da VM. Esse status pode ocorrer quando comandos de baixo nível são usados para descriptografar diretamente o disco de dentro da VM em vez de usar os comandos de gerenciamento de Azure Disk Encryption de nível superior. Os comandos de nível superior desscriptografam o disco de dentro da VM e atualizam configurações de criptografia de nível de plataforma importantes e configurações de extensão associadas à VM. Se essas configurações não forem mantidas alinhadas, a plataforma não poderá relatar o status de criptografia ou provisionar a VM corretamente.

Para desabilitar Azure Disk Encryption usando o PowerShell, use Disable-AzVMDiskEncryption seguido por Remove-AzVMDiskEncryptionExtension. A execução de Remove-AzVMDiskEncryptionExtension antes de desativar a criptografia falha.

Para desativar o Azure Disk Encryption usando a CLI, use az vm encryption disable.

Próximas etapas

Este artigo descreve problemas comuns de Azure Disk Encryption e como solucioná-los. Para obter mais informações sobre esse serviço e seus recursos, consulte estes artigos:

• Aplicar a criptografia de disco no Microsoft Defender para Nuvem
• Criptografia de dados em repouso do Azure