Skapa en pool med diskkryptering aktiverat

När du skapar en Azure Batch-pool med hjälp av Virtual Machine Configuration kan du kryptera beräkningsnoder i poolen med en plattformshanterad nyckel genom att ange diskkrypteringskonfigurationen.

I den här artikeln beskrivs hur du skapar en Batch-pool med diskkryptering aktiverat.

Varför ska du använda en pool med diskkrypteringskonfiguration?

Med en Batch-pool kan du komma åt och lagra data på operativsystemet och tillfälliga diskar för beräkningsnoden. Om du krypterar disken på serversidan med en plattformshanterad nyckel skyddas dessa data med låg omkostnad och bekvämlighet.

Batch använder en av dessa diskkrypteringstekniker på beräkningsnoder, baserat på poolkonfiguration och regional support.

• Hanterad diskkryptering i vila med plattformshanterade nycklar
• Kryptering hos värd med en plattformshanterad nyckel
• Azure Disk Encryption for Batch pools, som tas ur bruk den 15 september 2028

Diskkrypteringsmålen väljer inte direkt en krypteringsteknik. Du specificerar de måldiskar du vill kryptera, och Batch väljer en tillämplig teknik baserat på poolkonfigurationen. Du kan uttryckligen begära värdbaserad kryptering i säkerhetsprofilen för den virtuella maskinen. Följande bild visar hur Batch gör urvalet.

Vissa diskkrypteringskonfigurationer kräver att VM-familjen i poolen stöder kryptering på värdnivån. Se End-to-end-kryptering med kryptering på värddator för att avgöra vilka VM-familjer som stöder kryptering på värddator.

Azure Disk Encryption tas ur bruk

Azure Disk Encryption (ADE) för batchpooler tas ur bruk den 15 september 2028. Efter avvecklingsdatumet stödjer inte batchpooler ADE. Poolkonfigurationer som fortsätter att vara beroende av ADE kan drabbas av störningar när Batch provisionerar eller ersätter beräkningsnoder.

Slutför migreringen före datumet för utfasning om din poolkonfiguration begär tillfällig diskkryptering och kan använda ADE. Använd kryptering på värdnivå som ersättning. Kryptering på värdnivå krypterar den tillfälliga disken, efemära OS-diskar samt cacherna för OS- och datadiskarna på VM-värden.

Utfasningen av ADE påverkar inte kryptering av hanterade diskar i vila med plattformshanterade nycklar, vilket är aktiverat som standard för Azure-hanterade diskar.

Ta reda på om din pool behöver åtgärdas

Batchpoolens egenskaper visar de diskkrypteringsmål du begärde, men de identifierar inte den krypteringsteknologi som Batch valde för noderna. Använd följande tabell för att bedöma om en poolkonfiguration kan bero på ADE.

För att avgöra om en VM-storlek stöder värdbaserad kryptering, se VM-storlekar som stöds.

Konfigurera nya pooler

För nya pooler som kräver tillfällig diskkryptering, välj en VM-storlek som stöder värdbaserad kryptering. Inaktivera inte uttryckligen kryptering på värdnivå.

För användarprenumerationspooler, registrera även funktionen Microsoft.Compute/EncryptionAtHost i prenumerationen som innehåller poolresurserna och sätt securityProfile.encryptionAtHost till true.

Migrera en befintlig pool till värdbaserad kryptering

Du kan uppdatera en befintlig pool utan att ta bort batchpoolen. Uppdateringen ersätter den underliggande compute-deploymenten när du skalar ut poolen igen.

1. Sluta schemalägga nytt arbete i poolen och vänta tills körande uppgifter är klara eller flytta dem till en annan pool.
2. Ändra antalet dedikerade noder och Spot-/lågprioritetsmålnoder till noll.
3. Vänta tills poolens allokeringstillstånd är Steady och de aktuella nodräkningarna är noll.
4. Använd Batch Management Plane Pool - Uppdatera API version 2024-07-01 eller senare för att:
   • Välj en VM-storlek som stöder värdbaserad kryptering, om den nuvarande storleken inte gör det.
   • Ställ in deploymentConfiguration.virtualMachineConfiguration.securityProfile.encryptionAtHost på true.
   • Bevara de nödvändiga diskkrypteringsmålen och de andra konfigurationsegenskaperna för virtuella maskiner.
5. Ändra poolens storlek till de nödvändiga målnodräkningarna. Batch skapar en ny underliggande beräkningsdriftsättning genom att använda den uppdaterade konfigurationen.

Till exempel är den relevanta delen av en förfrågan om Management Plane PATCH :

{
  "properties": {
    "vmSize": "<encryption-at-host-supported-vm-size>",
    "deploymentConfiguration": {
      "virtualMachineConfiguration": {
        "imageReference": {
          "publisher": "<publisher>",
          "offer": "<offer>",
          "sku": "<sku>",
          "version": "<version>"
        },
        "nodeAgentSkuId": "<node-agent-sku-id>",
        "diskEncryptionConfiguration": {
          "targets": [
            "OsDisk",
            "TemporaryDisk"
          ]
        },
        "securityProfile": {
          "encryptionAtHost": true
        }
      }
    }
  }
}

För mer information om noll-nod-uppdateringar och uppdateringsbeteende, se Uppdatering av Batch-poolens egenskaper.

Azure Portal

När du skapar en Batch-pool i Azure Portal väljer du antingen OsDisk, TemporaryDisk eller OsAndTemporaryDisk under Diskkrypteringskonfiguration.

När poolen har skapats kan du se konfigurationsmålen för diskkryptering i poolens avsnittet Egenskaper .

Exempel

I följande exempel visas hur du krypterar operativsystemet och tillfälliga diskar i en Batch-pool med hjälp av Azure.ResourceManager.Batch SDK, Batch REST API och Azure CLI.

Azure. ResourceManager.Batch SDK

using Azure;
using Azure.Identity;
using Azure.ResourceManager;
using Azure.ResourceManager.Batch;
using Azure.ResourceManager.Batch.Models;

//...

public async Task SetDiskEncryption()
{
    ArmClient client = new ArmClient(new DefaultAzureCredential());

    ResourceIdentifier batchAccountResourceId =
        BatchAccountResource.CreateResourceIdentifier("subscriptionId", "resourceGroupName", "accountName");
    BatchAccountResource batchAccount = client.GetBatchAccountResource(batchAccountResourceId);

    BatchAccountPoolCollection poolCollection = batchAccount.GetBatchAccountPools();

    BatchAccountPoolData poolData = new BatchAccountPoolData()
    {
        VmSize = "standard_ds1_v2",
        DeploymentConfiguration = new BatchDeploymentConfiguration()
        {
            VmConfiguration = new BatchVmConfiguration(
                imageReference: new BatchImageReference()
                {
                    Publisher = "Canonical",
                    Offer = "UbuntuServer",
                    Sku = "22.04-LTS"
                },
                nodeAgentSkuId: "batch.node.ubuntu 22.04")
            {
                 DiskEncryptionConfiguration = new BatchDiskEncryptionConfiguration()
                 {
                     Targets = { BatchDiskEncryptionTarget.OSDisk, BatchDiskEncryptionTarget.TemporaryDisk }
                 }
            }
        }
    };

    ArmOperation<BatchAccountPoolResource> pool = await poolCollection.CreateOrUpdateAsync(
        WaitUntil.Completed, "diskencryptionPool", poolData);
}

Batch-REST-API

URL för REST API:

POST {batchURL}/pools?api-version=2020-03-01.11.0
client-request-id: 00000000-0000-0000-0000-000000000000

Begärandeinnehåll:

"pool": {
    "id": "pool2",
    "vmSize": "standard_a1",
    "virtualMachineConfiguration": {
        "imageReference": {
            "publisher": "Canonical",
            "offer": "UbuntuServer",
            "sku": "22.04-LTS"
        },
        "diskEncryptionConfiguration": {
            "targets": [
                "OsDisk",
                "TemporaryDisk"
            ]
        },
        "nodeAgentSKUId": "batch.node.ubuntu 22.04"
    },
    "resizeTimeout": "PT15M",
    "targetDedicatedNodes": 5,
    "targetLowPriorityNodes": 0,
    "taskSlotsPerNode": 3,
    "enableAutoScale": false,
    "enableInterNodeCommunication": false
}

Azure CLI

az batch pool create \
    --id diskencryptionPool \
    --vm-size Standard_DS1_V2 \
    --target-dedicated-nodes 2 \
    --image canonical:ubuntuserver:22.04-LTS \
    --node-agent-sku-id "batch.node.ubuntu 22.04" \
    --disk-encryption-targets OsDisk TemporaryDisk

Nästa steg

• Läs mer om kryptering på serversidan av Azure-disklagring.
• En detaljerad översikt över Batch finns i Batch-tjänstens arbetsflöde och resurser.