Azure Disk Encryption-scenarier på virtuella Windows-datorer

Gäller för: ✔️ Flexibla skalningsuppsättningar för virtuella Windows-datorer ✔️

Azure Disk Encryption för virtuella Windows-datorer använder BitLocker-funktionen i Windows för att tillhandahålla fullständig diskkryptering av OS-disken och datadisken. Dessutom krypterar den den tillfälliga disken när parametern VolumeType är All.

Azure Disk Encryption är integrerat med Azure Key Vault för att hjälpa dig att styra och hantera diskkrypteringsnycklar och hemligheter. En översikt över tjänsten finns i Azure Disk Encryption för virtuella Windows-datorer.

Prerequisites

Du kan endast använda diskkryptering på virtuella datorer med vm-storlekar och operativsystem som stöds. Du måste också uppfylla följande krav:

• Nätverkskrav
• Grupprincipkrav
• Lagringskrav för krypteringsnycklar

Restrictions

Om du tidigare använde Azure Disk Encryption med Microsoft Entra ID för att kryptera en virtuell dator fortsätter du att använda det här alternativet för att kryptera den virtuella datorn. Mer information finns i Azure Disk Encryption med Microsoft Entra ID (tidigare version).

Ta en ögonblicksbild eller skapa en säkerhetskopia innan diskarna krypteras. Säkerhetskopior säkerställer att ett återställningsalternativ är möjligt om ett oväntat fel inträffar under krypteringen. Virtuella datorer med hanterade diskar kräver en säkerhetskopia innan kryptering sker. När en säkerhetskopia har gjorts kan du använda cmdleten Set-AzVMDiskEncryptionExtension för att kryptera hanterade diskar genom att ange parametern -skipVmBackup. Mer information om hur du säkerhetskopierar och återställer krypterade virtuella datorer finns i Säkerhetskopiera och återställa krypterade virtuella Azure-datorer.

Kryptering eller inaktivering av kryptering kan leda till att en virtuell dator startas om.

Azure Disk Encryption fungerar inte för följande scenarier, funktioner och teknik:

• Kryptering av virtuella datorer på basic-nivå eller virtuella datorer som skapats via den klassiska metoden för att skapa virtuella datorer.
• Kryptera virtuella datorer i v6-serien med tillfälliga diskar (Ddsv6, Dldsv6, Edsv6, Dadsv6, Daldsv6, Eadsv6, Dpdsv6, Dpldsv6, Epdsv6 eller Endsv6). Mer information finns på de enskilda sidorna för var och en av dessa VM-storlekar som anges i Storlekar för virtuella datorer i Azure.
• Kryptera V7-serien och nyare VM-storlekar.
• Alla krav och begränsningar för BitLocker, till exempel att kräva NTFS. Mer information finns i Översikt över BitLocker.
• Kryptera virtuella datorer som konfigurerats med programvarubaserade RAID-system.
• Kryptera virtuella datorer som konfigurerats med Storage Spaces Direct (S2D) eller Windows Server-versioner före 2016 som har konfigurerats med Windows Storage Spaces.
• Integrering med ett lokalt nyckelhanteringssystem.
• Azure Files (delat filsystem).
• NFS (Network File System).
• Dynamiska volymer.
• Windows Server-containrar som skapar dynamiska volymer för varje container.
• Efemära operativsystemdiskar.
• iSCSI-diskar.
• Kryptering av delade/distribuerade filsystem som (men inte begränsat till) DFS, GFS, DRDB och CephFS.
• Flytta en krypterad virtuell dator till en annan prenumeration eller region.
• Skapa en avbildning eller ögonblicksbild av en krypterad virtuell dator och använda den för att distribuera fler virtuella datorer.
• "L"-serien av lagringsoptimerade VM-storlekar.
• Virtuella datorer i M-serien med skrivacceleratordiskar.
• Tillämpa ADE på en virtuell dator som har diskar krypterade med kryptering på värd - eller serversidan med kundhanterade nycklar (SSE + CMK). Tillämpning av SSE + CMK på en datadisk eller att lägga till en datadisk med SSE + CMK konfigurerat till en virtuell dator som krypterats med ADE är också ett scenario som inte stöds.
• Migrera en virtuell dator som är krypterad med ADE, eller som någonsin har krypterats med ADE, till kryptering på värd - eller serversidan med kundhanterade nycklar.
• Kryptering av virtuella datorer i redundanskluster.
• Kryptering av Azure Ultra Disks.
• Kryptering av Premium SSD v2-diskar.
• Kryptering av virtuella datorer i prenumerationer där principen Secrets should have the specified maximum validity period är aktiverad med effekten deny.
• Kryptering av virtuella datorer i prenumerationer där principen Key Vault secrets should have an expiration date är aktiverad med effekten deny.

Installera verktyg och ansluta till Azure

Du kan aktivera och hantera Azure Disk Encryption via Azure CLI och Azure PowerShell. Det gör du genom att installera verktygen lokalt och ansluta till din Azure-prenumeration.

Azure CLI

Azure CLI 2.0 är ett kommandoradsverktyg för att hantera Azure-resurser. CLI är utformat för att flexibelt fråga efter data, stödja långvariga åtgärder som icke-blockerande processer och göra skript enkelt. Du kan installera det lokalt genom att följa stegen i Installera Azure CLI.

Om du vill logga in på ditt Azure konto med Azure CLI använder du kommandot az login.

az login

Om du vill välja en klientorganisation att logga in under använder du:

az login --tenant <tenant>

Om du vill ange en av flera prenumerationer hämtar du din prenumerationslista med hjälp av az account list och anger prenumerationen med hjälp av az account set.

az account list
az account set --subscription "<subscription name or ID>"

Mer information finns i Kom igång med Azure CLI.

Azure PowerShell

Modulen Azure PowerShell Az innehåller en uppsättning cmdletar som använder Azure Resource Manager-modellen för att hantera dina Azure resurser. Du kan använda den i webbläsaren med Azure Cloud Shell, eller så kan du installera den på den lokala datorn med hjälp av anvisningarna i Installera Azure PowerShell-modulen.

Om du redan har installerat den lokalt använder du den senaste Azure PowerShell versionen för att konfigurera Azure Disk Encryption. Ladda ned den senaste versionen från Azure PowerShell-utgåvor.

Om du vill logga in på ditt Azure konto med Azure PowerShell använder du cmdleten Connect-AzAccount.

Connect-AzAccount

Om du vill ange en av flera prenumerationer använder du cmdleten Get-AzSubscription för att visa dem, följt av cmdleten Set-AzContext :

Set-AzContext -Subscription <SubscriptionId>

Kör cmdleten Get-AzContext för att kontrollera att rätt prenumeration har valts.

Om du vill bekräfta att Azure Disk Encryption cmdletar är installerade använder du cmdleten Get-Command:

Get-Command *diskencryption*

Mer information finns i Komma igång med Azure PowerShell.

Aktivera kryptering på en befintlig eller kör en virtuell Windows-dator

I det här scenariot kan du aktivera kryptering med hjälp av Resource Manager-mallen, PowerShell-cmdletar eller CLI-kommandon. Om du behöver schemainformation för tillägget för virtuella datorer kan du läsa artikeln Azure Disk Encryption for Windows-tillägget .

Aktivera kryptering på befintliga eller virtuella datorer som körs med hjälp av Azure PowerShell

Använd cmdleten Set-AzVMDiskEncryptionExtension för att aktivera kryptering på en virtuell IaaS-dator som körs i Azure.

• Kryptera en virtuell dator som körs: Följande skript initierar dina variabler och kör cmdleten Set-AzVMDiskEncryptionExtension. Resursgruppen, den virtuella datorn och nyckelvalvet måste redan finnas som förutsättningar. Ersätt MyKeyVaultResourceGroup, MyVirtualMachineResourceGroup, MySecureVM och MySecureVault med dina värden.

   $KVRGname = 'MyKeyVaultResourceGroup';
   $VMRGName = 'MyVirtualMachineResourceGroup';
   $vmName = 'MySecureVM';
   $KeyVaultName = 'MySecureVault';
   $KeyVault = Get-AzKeyVault -VaultName $KeyVaultName -ResourceGroupName $KVRGname;
   $diskEncryptionKeyVaultUrl = $KeyVault.VaultUri;
   $KeyVaultResourceId = $KeyVault.ResourceId;
  
   Set-AzVMDiskEncryptionExtension -ResourceGroupName $VMRGname -VMName $vmName -DiskEncryptionKeyVaultUrl $diskEncryptionKeyVaultUrl -DiskEncryptionKeyVaultId $KeyVaultResourceId;
  

• Kryptera en virtuell dator som körs med hjälp av en KEK:

  $KVRGname = 'MyKeyVaultResourceGroup';
  $VMRGName = 'MyVirtualMachineResourceGroup';
  $vmName = 'MyExtraSecureVM';
  $KeyVaultName = 'MySecureVault';
  $keyEncryptionKeyName = 'MyKeyEncryptionKey';
  $KeyVault = Get-AzKeyVault -VaultName $KeyVaultName -ResourceGroupName $KVRGname;
  $diskEncryptionKeyVaultUrl = $KeyVault.VaultUri;
  $KeyVaultResourceId = $KeyVault.ResourceId;
  $keyEncryptionKeyUrl = (Get-AzKeyVaultKey -VaultName $KeyVaultName -Name $keyEncryptionKeyName).Key.kid;
  
  Set-AzVMDiskEncryptionExtension -ResourceGroupName $VMRGname -VMName $vmName -DiskEncryptionKeyVaultUrl $diskEncryptionKeyVaultUrl -DiskEncryptionKeyVaultId $KeyVaultResourceId -KeyEncryptionKeyUrl $keyEncryptionKeyUrl -KeyEncryptionKeyVaultId $KeyVaultResourceId;
  
  

  Note

  Syntaxen för värdet för parametern disk-encryption-keyvault är den fullständiga identifierarsträngen: /subscriptions/[subscription-id-guid]/resourceGroups/[resource-group-name]/providers/Microsoft.KeyVault/vaults/[keyvault--name]
  Syntaxen för värdet för parametern key-encryption-key är den fullständiga URI:n för KEK som i: https://[keyvault-name].vault.azure.net/keys/[kekname]/[kek-unique-id]

• Kontrollera att diskarna är krypterade: Om du vill kontrollera krypteringsstatusen för en virtuell IaaS-dator använder du cmdleten Get-AzVmDiskEncryptionStatus .

  Get-AzVmDiskEncryptionStatus -ResourceGroupName 'MyVirtualMachineResourceGroup' -VMName 'MySecureVM'
  

Information om hur du inaktiverar kryptering finns i Inaktivera kryptering och ta bort krypteringstillägget.

Aktivera kryptering på befintliga eller virtuella datorer som körs med hjälp av Azure CLI

Använd kommandot az vm encryption enable för att aktivera kryptering på en virtuell IaaS-dator som körs i Azure.

• Kryptera en virtuell dator som körs:

  az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault "MySecureVault" --volume-type [All|OS|Data]
  

• Kryptera en virtuell dator som körs med hjälp av en KEK:

  az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault  "MySecureVault" --key-encryption-key "MyKEK_URI" --key-encryption-keyvault "MySecureVaultContainingTheKEK" --volume-type [All|OS|Data]
  

  Note

  Syntaxen för värdet för parametern disk-encryption-keyvault är den fullständiga identifierarsträngen: /subscriptions/[subscription-id-guid]/resourceGroups/[resource-group-name]/providers/Microsoft.KeyVault/vaults/[keyvault--name]
  Syntaxen för värdet för parametern key-encryption-key är den fullständiga URI:n för KEK som i: https://[keyvault-name].vault.azure.net/keys/[kekname]/[kek-unique-id]

• Kontrollera att diskarna är krypterade: Om du vill kontrollera krypteringsstatusen för en virtuell IaaS-dator använder du kommandot az vm encryption show .

  az vm encryption show --name "MySecureVM" --resource-group "MyVirtualMachineResourceGroup"
  

Information om hur du inaktiverar kryptering finns i Inaktivera kryptering och ta bort krypteringstillägget.

Använda mallen Resource Manager

Du kan aktivera diskkryptering på befintliga eller köra virtuella IaaS Windows-datorer i Azure med hjälp av Resource Manager-mallen för att kryptera en virtuell Windows-dator som körs.

1. I Azures snabbstartsmall väljer du Distribuera till Azure.

2. Välj prenumeration, resursgrupp, plats, inställningar, juridiska villkor och avtal. Välj Köp för att aktivera kryptering på den befintliga eller aktiva virtuella IaaS-datorn.

I följande tabell visas Resource Manager-mallparametrarna för befintliga eller virtuella datorer som körs:

Nya virtuella IaaS-datorer som skapats från kundkrypterad virtuell hårddisk och krypteringsnycklar

I det här scenariot kan du skapa en ny virtuell dator från en förkrypterad virtuell hårddisk och tillhörande krypteringsnycklar med hjälp av PowerShell-cmdletar eller CLI-kommandon.

Använd anvisningarna i Förbereda en förkrypterad virtuell Windows-hårddisk. När avbildningen har skapats kan du använda stegen i nästa avsnitt för att skapa en krypterad virtuell Azure-dator.

Kryptera virtuella datorer med förkrypterade virtuella hårddiskar med hjälp av Azure PowerShell

Du kan aktivera diskkryptering på din krypterade virtuella hårddisk med PowerShell-cmdleten Set-AzVMOSDisk. I följande exempel får du några vanliga parametrar.

$VirtualMachine = New-AzVMConfig -VMName "MySecureVM" -VMSize "Standard_A1"
$VirtualMachine = Set-AzVMOSDisk -VM $VirtualMachine -Name "SecureOSDisk" -VhdUri "os.vhd" Caching ReadWrite -Windows -CreateOption "Attach" -DiskEncryptionKeyUrl "https://mytestvault.vault.azure.net/secrets/Test1/514ceb769c984379a7e0230bddaaaaaa" -DiskEncryptionKeyVaultId "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myKVresourcegroup/providers/Microsoft.KeyVault/vaults/mytestvault"
New-AzVM -VM $VirtualMachine -ResourceGroupName "MyVirtualMachineResourceGroup"

Aktivera kryptering på en nyligen tillagda datadisk

Du kan lägga till en ny disk till en Windows virtuell dator med hjälp av PowerShell eller via Azure-portalen.

Aktivera kryptering på en nyligen tillagda disk med hjälp av Azure PowerShell

När du använder PowerShell för att kryptera en ny disk för Windows virtuella datorer anger du en ny sekvensversion. Sekvensversionen måste vara unik. Följande skript genererar ett GUID för sekvensversionen. I vissa fall kan en nyligen tillagda datadisk krypteras automatiskt av Azure Disk Encryption-tillägget. Automatisk kryptering sker vanligtvis när den virtuella datorn startas om när den nya disken är online. Det här beteendet beror vanligtvis på att "Alla" angavs för volymtypen när diskkryptering tidigare kördes på den virtuella datorn. Om automatisk kryptering sker på en nyligen tillagda datadisk rekommenderar vi att du kör Set-AzVmDiskEncryptionExtension-cmdleten igen med en ny sekvensversion. Om den nya datadisken krypteras automatiskt och du inte vill att den ska krypteras dekrypterar du först alla enheter och dekrypterar sedan igen med en ny sekvensversion som anger operativsystem för volymtypen.

• Kryptera en virtuell dator som körs: Följande skript initierar dina variabler och kör cmdleten Set-AzVMDiskEncryptionExtension. Resursgruppen, den virtuella datorn och nyckelvalvet måste redan finnas som förutsättningar. Ersätt MyKeyVaultResourceGroup, MyVirtualMachineResourceGroup, MySecureVM och MySecureVault med dina värden. I följande exempel används "Alla" för parametern -VolumeType, som innehåller både OS- och datavolymer. Om du bara vill kryptera OS-volymen använder du "OS" för parametern -VolumeType.

   $KVRGname = 'MyKeyVaultResourceGroup';
   $VMRGName = 'MyVirtualMachineResourceGroup';
   $vmName = 'MySecureVM';
   $KeyVaultName = 'MySecureVault';
   $KeyVault = Get-AzKeyVault -VaultName $KeyVaultName -ResourceGroupName $KVRGname;
   $diskEncryptionKeyVaultUrl = $KeyVault.VaultUri;
   $KeyVaultResourceId = $KeyVault.ResourceId;
   $sequenceVersion = [Guid]::NewGuid();
  
   Set-AzVMDiskEncryptionExtension -ResourceGroupName $VMRGname -VMName $vmName -DiskEncryptionKeyVaultUrl $diskEncryptionKeyVaultUrl -DiskEncryptionKeyVaultId $KeyVaultResourceId -VolumeType "All" –SequenceVersion $sequenceVersion;
  

• Kryptera en virtuell dator som körs med hjälp av en KEK: I följande exempel används "Alla" för parametern -VolumeType, som innehåller både OS- och datavolymer. Om du bara vill kryptera OS-volymen använder du "OS" för parametern -VolumeType.

  $KVRGname = 'MyKeyVaultResourceGroup';
  $VMRGName = 'MyVirtualMachineResourceGroup';
  $vmName = 'MyExtraSecureVM';
  $KeyVaultName = 'MySecureVault';
  $keyEncryptionKeyName = 'MyKeyEncryptionKey';
  $KeyVault = Get-AzKeyVault -VaultName $KeyVaultName -ResourceGroupName $KVRGname;
  $diskEncryptionKeyVaultUrl = $KeyVault.VaultUri;
  $KeyVaultResourceId = $KeyVault.ResourceId;
  $keyEncryptionKeyUrl = (Get-AzKeyVaultKey -VaultName $KeyVaultName -Name $keyEncryptionKeyName).Key.kid;
  $sequenceVersion = [Guid]::NewGuid();
  
  Set-AzVMDiskEncryptionExtension -ResourceGroupName $VMRGname -VMName $vmName -DiskEncryptionKeyVaultUrl $diskEncryptionKeyVaultUrl -DiskEncryptionKeyVaultId $KeyVaultResourceId -KeyEncryptionKeyUrl $keyEncryptionKeyUrl -KeyEncryptionKeyVaultId $KeyVaultResourceId -VolumeType "All" –SequenceVersion $sequenceVersion;
  
  

  Note

  Syntaxen för värdet för parametern disk-encryption-keyvault är den fullständiga identifierarsträngen: /subscriptions/[subscription-id-guid]/resourceGroups/[resource-group-name]/providers/Microsoft.KeyVault/vaults/[keyvault--name]
  Syntaxen för värdet för parametern key-encryption-key är den fullständiga URI:n för KEK som i: https://[keyvault-name].vault.azure.net/keys/[kekname]/[kek-unique-id]

Aktivera kryptering på en nyligen tillagda disk med hjälp av Azure CLI

Kommandot Azure CLI ger dig automatiskt en ny sekvensversion när du kör kommandot för att aktivera kryptering. I exemplet används "Alla" för parametern av volymtyp. Du kan behöva ändra parametern för volymtyp till OS om du bara krypterar OS-disken. Till skillnad från PowerShell-syntaxen kräver CLI inte att användaren tillhandahåller en unik sekvensversion när kryptering aktiveras. CLI genererar och använder automatiskt sitt eget unika sekvensversionsvärde.

• Kryptera en virtuell dator som körs:

  az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault "MySecureVault" --volume-type "All"
  

• Kryptera en virtuell dator som körs med hjälp av en KEK:

  az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault  "MySecureVault" --key-encryption-key "MyKEK_URI" --key-encryption-keyvault "MySecureVaultContainingTheKEK" --volume-type "All"
  

Inaktivera kryptering och ta bort krypteringstillägget

Du kan inaktivera Azure Disk Encryption-tillägget och du kan ta bort tillägget Azure Disk Encryption. Dessa åtgärder är distinkta.

Om du vill ta bort ADE inaktiverar du först kryptering och tar sedan bort tillägget. Om du tar bort krypteringstillägget utan att inaktivera det krypteras diskarna fortfarande. Om du inaktiverar kryptering när du har tagit bort tillägget installeras tillägget om (för att utföra dekrypteringsåtgärden) och du måste ta bort det en andra gång.

Inaktivera kryptering

Du kan inaktivera kryptering med hjälp av Azure PowerShell, Azure CLI eller med hjälp av en Resource Manager mall. Inaktivering av kryptering tar inte bort tillägget (se Ta bort krypteringstillägget).

• Inaktivera diskkryptering med hjälp av Azure PowerShell: Om du vill inaktivera krypteringen använder du cmdleten Disable-AzVMDiskEncryption.

  Disable-AzVMDiskEncryption -ResourceGroupName "MyVirtualMachineResourceGroup" -VMName "MySecureVM" -VolumeType "all"
  

• Inaktivera kryptering med hjälp av Azure CLI: Om du vill inaktivera kryptering använder du kommandot az vm encryption disable.

  az vm encryption disable --name "MySecureVM" --resource-group "MyVirtualMachineResourceGroup" --volume-type "all"
  

• Inaktivera kryptering med hjälp av en Resource Manager mall:

  1. Välj Distribuera till Azure från mallen Inaktivera diskkryptering på en Windows-VM som körs.
  2. Välj prenumeration, resursgrupp, plats, virtuell dator, volymtyp, juridiska villkor och avtal.
  3. Välj Köp för att inaktivera diskkryptering på en virtuell Windows-dator som körs.

Ta bort krypteringstillägget

Om du vill dekryptera diskarna och ta bort krypteringstillägget inaktiverar du kryptering innan du tar bort tillägget. Mer information finns i inaktivera kryptering.

Du kan ta bort krypteringstillägget med hjälp av Azure PowerShell eller Azure CLI.

• Inaktivera diskkryptering med hjälp av Azure PowerShell: Om du vill ta bort krypteringen använder du cmdleten Remove-AzVMDiskEncryptionExtension.

  Remove-AzVMDiskEncryptionExtension -ResourceGroupName "MyVirtualMachineResourceGroup" -VMName "MySecureVM"
  

• Inaktivera kryptering med hjälp av Azure CLI: Om du vill ta bort kryptering använder du kommandot az vm extension delete.

  az vm extension delete -g "MyVirtualMachineResourceGroup" --vm-name "MySecureVM" -n "AzureDiskEncryption"
  

Nästa steg

• Översikt över Azure Disk Encryption
• Exempelskript för Azure Disk Encryption
• Felsökning för Azure Disk Encryption