Om konfidentiella virtuella Azure-datorer

Azure konfidentiella VM:ar ger starkt skydd för känsliga arbetsbelastningar. De skapar en hårdvarukontrollerad gräns mellan din arbetsbelastning och virtualiseringsstacken, så att du kan migrera många applikationer utan kodändringar samtidigt som du håller VM:s tillstånd skyddat.

Microsoft Mechanics

Fördelar med Confidential virtuella datorer

• Hårdvarubaserad isolering mellan virtuella maskiner, hypervisor och värdhanteringskod.
• Konfigurerbara attesteringsprinciper som validerar plattformsefterlevnad innan arbetslasten startar.
• Konfidentiell OS-diskkryptering före första uppstart.
• Valfria plattformshanterade eller kundhanterade krypteringsnycklar.
• Säker nyckelfrigivning är kryptografiskt bunden till framgångsrik attestation.
• Dedikerad virtuell Trusted Platform Module (TPM) för nyckel- och hemlighetsskydd.
• Secure Boot-stöd, liknande Trusted Launch för Azure-VM:ar.

Konfidentiell OS-diskkryptering

Azures konfidentiella virtuella datorer erbjuder ett nytt och förbättrat diskkrypteringsschema. Det här schemat skyddar alla kritiska partitioner på disken. Den binder även diskkrypteringsnycklar till den virtuella datorns TPM och gör det skyddade diskinnehållet endast tillgängligt för den virtuella datorn. Dessa krypteringsnycklar kan på ett säkert sätt kringgå Azure-komponenter, inklusive hypervisor- och värdoperativsystemet. För att minimera attackpotentialen krypterar en dedikerad och separat molntjänst även disken när den virtuella datorn skapas.

Om nödvändiga isoleringsinställningar saknas kan Azure Attestation inte intyga plattformens hälsa under uppstart, och VM:n kan inte starta. Detta tillstånd kan till exempel uppstå om SEV-SNP inte är aktiverat.

Konfidentiell diskkryptering av operativsystemet är valfritt eftersom det kan öka den initiala tiden för att skapa en VM. Du kan välja:

• En konfidentiell VM med konfidentiell OS-diskkryptering med plattformshanterade nycklar (PMK) eller kundhanterade nycklar (CMK).
• En konfidentiell virtuell dator utan konfidentiell os-diskkryptering.

För ytterligare integritet och skydd erbjuder konfidentiella VM:ar Secure Boot som standard när du väljer konfidentiell OS-diskkryptering.

Genom att använda Secure Boot måste betrodda utgivare signera OS-startkomponenter (inklusive bootloadern, kärnan och kärndrivrutinerna). Alla kompatibla konfidentiella VM-avbildningar stöder säker start.

Konfidentiell temporär diskkryptering

Du kan också utöka skyddet av konfidentiell diskkryptering till den temporära disken. Detta skydd använder symmetrisk nyckelkrypteringsteknik i den virtuella datorn för diskar som har anslutits till CVM:n.

Temp-disken tillhandahåller snabb, lokal och kortsiktig lagring för program och processer. Den är avsedd att endast lagra data såsom sidfiler, loggfiler, cachade data och andra typer av temporära data. Temporära diskar på CVM:er innehåller sidfilen, även kallad växlingsfil, som kan innehålla känsliga data. Utan kryptering kan data på dessa diskar vara tillgängliga för värddatorn. När du har aktiverat denna funktion exponeras inte längre data på de temporära diskarna för värdmaskinen.

Aktivera denna funktion genom en opt-in-process. För att lära dig mer, se dokumentationen.

Prisskillnader för kryptering

Azures konfidentiella virtuella datorer använder både OS-disken och en liten VMGS-disk (virtual machine guest state) på flera megabyte. VMGS-disken innehåller säkerhetstillståndet för den virtuella datorns komponenter. Vissa komponenter inkluderar vTPM och UEFI-startladdaren. Den lilla VMGS-disken kan medföra en månatlig lagringskostnad.

Från och med den 30 mars 2026 har krypterade OS-diskar högre kostnader. Mer information finns i prisguiden för hanterade diskar.

Attestering och TPM

Azures konfidentiella virtuella datorer startar endast efter lyckad attestering av plattformens kritiska komponenter och säkerhetsinställningar. Attesteringsrapporten innehåller:

• En signerad attesteringsrapport
• Inställningar för plattformsstart
• Mätningar av inbyggd programvara för plattform
• OS-mått

Du kan initiera en attestationsförfrågan i en konfidentiell VM för att verifiera att dina konfidentiella VM:ar kör en hårdvaruinstans med processorer där antingen AMD SEV-SNP eller Intel TDX är aktiverat. Mer information finns i Gästattestering av konfidentiella virtuella Azure-datorer.

Konfidentiella Azure-VM:er har en virtuell TPM (vTPM) för Azure-VM:er. vTPM är en virtualiserad version av en maskinvaru-TPM och uppfyller TPM 2.0-specifikationen. Du kan använda en vTPM som ett dedikerat, säkert valv för nycklar och mått. Konfidentiella virtuella datorer har en egen dedikerad vTPM-instans, som körs i en säker miljö utanför alla virtuella datorers räckvidd.

Limitations

Följande begränsningar finns för konfidentiella virtuella datorer. Vanliga frågor och svar finns i Vanliga frågor och svar om konfidentiella virtuella datorer.

Storleksstöd

Konfidentiella virtuella datorer har stöd för följande VM-storlekar:

• Allmänt användningsområde utan lokal disk: DCasv5-serien, DCasv6-serien, DCesv6-serien
• Allmänt ändamål med lokal disk: DCadsv5-serien, DCadsv6-serien, DCedsv6-serien
• Minne optimerat utan lokal disk: ECasv5-serien, ECasv6-serien, ECesv6-serien
• Minne optimerat med lokal disk: ECadsv5-serien, ECadsv6-serien, ECedsv6-serien
• NVIDIA H100 Tensor Core GPU-baserad NCCadsH100v5-serie

Stöd för operativsystem

OS-avbildningar för konfidentiella virtuella datorer måste uppfylla specifika säkerhetskrav. Dessa kvalificerade avbilder stöder en valfri konfidentiell kryptering av OS-disken och säkerställer isolering från den underliggande molninfrastrukturen. Om du uppfyller dessa krav kan du skydda känsliga data och upprätthålla systemintegriteten.

Konfidentiella virtuella datorer stöder följande os-alternativ:

Regions

Konfidentiella virtuella datorer körs på specialiserad maskinvara som är tillgänglig i specifika VM-regioner.

Pricing

Prissättningen beror på din konfidentiella VM-storlek. Mer information finns i Priskalkylatorn.

Funktionalitetssupport

• Azure Backup-stöd för konfidentiella VM:ar finns för närvarande i publik förhandsvisning Dokumentation

Konfidentiella virtuella datorer stöder inte:

• Azure Site Recovery
• Begränsat stöd för Azure Compute Gallery
• Accelererad nätverksteknik
• Direktmigrering
• Skärmbilder under diagnostik vid uppstart
• Dynamiskt minne
• Konfidentiell diskkryptering stödjer endast diskar som är mindre än 128 GB. För större diskar, välj Premium SSD:er, särskilt för diskar som överstiger 32 GB.
• Automatisk nyckelrotation stöds inte. Endast offline-nyckelrotation stöds.

Nästa steg

För mer information, se FAQ:n för konfidentiell VM.