Översikt över krypteringsalternativ för hanterade diskar

Det finns flera krypteringstyper för dina hanterade diskar, inklusive Azure Disk Encryption (ADE), kryptering på serversidan (SSE) och kryptering på värdnivå.

  • Azure-disklagring kryptering på serversidan (kallas även kryptering i vila eller Azure Storage kryptering) är alltid aktiverat. Den krypterar automatiskt data som lagras på Azure hanterade diskar (OS och datadiskar) när data sparas i lagringskluster. När du konfigurerar den med en diskkrypteringsuppsättning (DES) stöder den även kundhanterade nycklar. Den krypterar inte temporära diskar eller diskcacheminnen. Fullständig information finns i Kryptering på serversidan av Azure-disklagring.

  • Kryptering på värden är ett alternativ för virtuella datorer som förbättrar Azure-disklagrings kryptering på serversidan. Det här alternativet säkerställer att alla temporära diskar och diskcacheminnen krypteras i vila och flödet krypteras till lagringskluster. För fullständig information, se Kryptering på värd – Kryptering från början till slut för dina VM-data.

  • Konfidentiell diskkryptering binder diskkrypteringsnycklar till den virtuella datorns TPM och gör det skyddade diskinnehållet endast tillgängligt för den virtuella datorn. Gästtillståndet för TPM och den virtuella datorn krypteras alltid i attesterad kod med hjälp av nycklar som släppts av ett säkert protokoll som kringgår hypervisor- och värdoperativsystemet. Konfidentiell OS-diskkryptering skyddar OS-disken. Du kan också aktivera kryptering av konfidentiell temp disk via en opt-in-process. Du kan använda värdbaserad kryptering för andra diskar på en konfidentiell virtuell dator utöver konfidentiell diskkryptering. Fullständig information finns i DCasv5- och ECasv5-seriens konfidentiella virtuella datorer.

  • Azure Disk Encryption hjälper dig att skydda dina data för att uppfylla organisationens säkerhets- och efterlevnadsåtaganden. ADE krypterar operativsystemet och datadiskarna för virtuella Azure-datorer i dina virtuella datorer med hjälp av DM-Crypt-funktionen i Linux eller BitLocker-funktionen i Windows. ADE är integrerat med Azure Key Vault som hjälper dig att styra och hantera diskkrypteringsnycklar och hemligheter, med alternativet att kryptera med hjälp av en nyckelkrypteringsnyckel (KEK). Fullständig information finns i Azure Disk Encryption för virtuella Linux-datorer eller Azure Disk Encryption för virtuella Windows-datorer.

    Viktigt!

    Azure Disk Encryption är planerat att tas bort den 15 september 2028. Fram till det datumet kan du fortsätta att använda Azure Disk Encryption utan avbrott. Den 15 september 2028 fortsätter ADE-aktiverade arbetsbelastningar att köras, men krypterade diskar kan inte låsas upp efter omstarter av virtuella datorer, vilket resulterar i avbrott i tjänsten.

    Använd kryptering vid värden för nya VM:er eller överväg konfidentiella VM-storlekar med OS-diskkryptering för arbetslaster för konfidentiell databehandling. Alla ADE-aktiverade virtuella datorer (inklusive säkerhetskopior) måste migreras till kryptering hos värden före pensionsdatumet för att undvika serviceavbrott. Se Migrera från Azure Disk Encryption till värdkryptering för detaljer.

Kryptering är en del av en skiktad metod för säkerhet. Använd den med andra rekommendationer för att skydda virtuella datorer och deras diskar. Fullständig information finns i Rekommendationer för beräkningssäkerhet och Begränsa import-/exportåtkomst till hanterade diskar.

Jämförelse

I följande tabell jämförs Disklagring SSE, ADE, kryptering på värdnivå och konfidentiell diskkryptering.

Azure Disk Encryption är planerat att tas bort den 15 september 2028. Använd kryptering vid värden för nya VM:er eller överväg konfidentiella VM-storlekar med OS-diskkryptering för arbetslaster för konfidentiell databehandling.

  Azure-disklagring kryptering på serversidan Kryptering på värddator Azure Disk Encryption Konfidentiell diskkryptering (endast för OS-disken)
Kryptering i vila (OPERATIVSYSTEM och datadiskar) Yes Yes Yes Yes
Temporär diskkryptering No Ja, stöds endast med plattformshanterade nycklar Yes Ja, anmäl dig
Kryptering av cacheminnen No Yes Yes Yes
Dataflöden krypterade mellan beräkning och lagring No Yes Yes Yes
Kundkontroll av nycklar Ja, när det har konfigurerats med DES Ja, när det har konfigurerats med DES Ja, när det är konfigurerat med KEK Ja, när det har konfigurerats med DES
Stöd för maskinvarusäkerhetsmodul (HSM) Azure Key Vault Premium och Managed HSM Azure Key Vault Premium och Managed HSM Azure Key Vault Premium Azure Key Vault Premium och Managed HSM
Använder inte den virtuella datorns CPU Yes Yes No No
Fungerar för anpassade avbildningar Yes Yes Nej, fungerar inte för anpassade Linux-avbildningar Yes
Förbättrat nyckelskydd No No No Yes
Diskkrypteringsstatus för Microsoft Defender för molnet* Ohälsosamt Felfri Felfri Ej tillämpligt

Viktigt!

För konfidentiell diskkryptering har Microsoft Defender för molnet för närvarande ingen tillämplig rekommendation.

* Microsoft Defender för molnet har följande rekommendationer för diskkryptering:

Nästa steg

  • Uppdaterades senast