الأسئلة المتداولة حول تشفير قرص Azure للأجهزة الظاهرية التي تعمل بنظام التشغيل Linux

يستخدم تشفير قرص Azure للأجهزة الظاهرية التي تستخدم نظام تشغيل Linux ميزة DM-crypt من Linux لتوفير تشفير القرص الكامل من قرص نظام التشغيل* وأقراص البيانات. بالإضافة إلى ذلك، فإنه يوفر تشفير القرص المؤقت عند استخدام ميزة EncryptFormatAll. يتدفق المحتوى مشفرًا من الجهاز الظاهري إلى الواجهة الخلفية للتخزين. وبالتالي، يتم توفير التشفير من طرف إلى طرف باستخدام مفتاح يديره العميل.

راجع الأجهزة الظاهرية وأنظمة التشغيل المدعومة.

يتوفر تشفير قرص Azure بشكل عام في جميع مناطق Azure العامة.

يدعم تشفير قرص Azure Disk Encryption GA قوالب Azure Resource Manager، وAzure PowerShell، و Azure CLI. تمنحك تجارب المستخدم المختلفة مرونة. لديك ثلاثة خيارات مختلفة لتمكين تشفير القرص للأجهزة الظاهرية. لمزيد من المعلومات حول تجربة المستخدم والإرشادات المفصلة المتوفرة في تشفير قرص Azure، راجع سيناريوهات تشفير قرص Azure لنظام التشغيل Linux.

لا توجد رسوم لتشفير أقراص VM باستخدام Azure Disk Encryption؛ ولكن هناك رسوم مرتبطة باستخدام Azure Key Vault. لمزيد من المعلومات حول تكاليف Azure Key Vault، راجع صفحة تسعير Key Vault.

للبدء، اقرأ نظرة عامة على تشفير قرص Azure.

تسرد المقالة «نظرة عامة على تشفير قرص Azure»أحجام الأجهزة الظاهرية وأنظمة تشغيل الأجهزة الظاهرية التي تدعم تشفير قرص Azure.

نعم، يمكنك تشفير وحدات تخزين كل من التمهيد والبيانات، أو يمكنك تشفير وحدة تخزين البيانات دون الحاجة إلى تشفير وحدة تخزين نظام التشغيل أولاً.

بعد تشفير وحدة تخزين نظام التشغيل، لا يُدعم تعطيل التشفير على وحدة تخزين نظام التشغيل. بالنسبة إلى الأجهزة الظاهرية لنظام التشغيل Linux في مجموعة مقياس، يمكن تشفير وحدة تخزين البيانات فقط.

لا يقوم تشفير القرص في Azure Disk Encryption بتشفير وحدات التخزين المثبتة فقط.

التشفير من جانب خادم التخزين يعمل على تشفير أقراص Azure المُدارة في مساحة تخزين Azure. تُشفر الأقراص المُدارة افتراضيًا باستخدام تشفير من جانب الخادم بواسطة مفتاح يُديره النظام الأساسي (اعتبارًا من 10 يونيو 2017). يمكنك إدارة تشفير الأقراص المُدارة باستخدام المفاتيح الخاصة بك عن طريق تحديد مفتاح يديره العميل. لمزيد من المعلومات، راجع التشفير من جانب الخادم لأقراص Azure المُدارة.

يوفر تشفير قرص Azure تشفيرًا شاملاً لأقراص نظام التشغيل وأقراص البيانات والقرص المؤقت، باستخدام مفتاح يديره العميل.

• إذا كانت متطلباتك تتضمن تشفير كل ما سبق، والتشفير من طرف إلى طرف، فاستخدم Azure Disk Encryption.
• إذا كانت متطلباتك تتضمن تشفير البيانات الثابتة فقط باستخدام المفتاح المُدار من قِبل العميل، فاستخدِم التشفير من جانب الخادم باستخدام المفاتيح المُدارة من قِبل العميل. لا يمكنك تشفير قرص من خلال كل من تشفير قرص Azure والتشفير من جانب خادم التخزين باستخدام مفاتيح يُديرها العميل.
• إذا لم يتم إدراج توزيعة Linux ضمن أنظمة التشغيل المدعومة تشفير قرص Azure أو كنت تستخدم سيناريو تم استدعاؤه في القيود، ففكر في التشفير من جانب الخادم باستخدام المفاتيح التي يديرها العميل.
• إذا كانت سياسة مؤسستك تسمح لك بتشفير المحتوى في حالة عدم وجود مفتاح مُدار بواسطة Azure، فلا داعي لاتخاذ أي إجراء - يتم تشفير المحتوى افتراضيًّا. بالنسبة إلى الأقراص المُدارة، يُشفر المحتوى الموجود داخل وحدة التخزين افتراضيًّا باستخدام التشفير من جانب الخادم بواسطة مفتاح مُدار من قِبل النظام الأساسي. يُدار المفتاح بواسطة خدمة التخزين من Azure.

لتدوير الأسرار، ما عليك سوى استدعاء الأمر نفسه الذي استخدمته في الأصل لتمكين تشفير القرص، مع تحديد Key Vault مختلف. لتدوير مفتاح تشفير مفتاح، استدع الأمر نفسه الذي استخدمته في الأصل لتمكين تشفير القرص، مع تحديد تشفير المفتاح الجديد.

لإضافة مفتاح تشفير مفتاح، استدع أمر التمكين مرة أخرى لتمرير معلمة مفتاح تشفير المفتاح. لإزالة مفتاح تشفير مفتاح، استدع أمر التمكين مرة أخرى بدون معلمة مفتاح تشفير المفتاح.

نعم، يمكنك توفير مفاتيح تشفير المفاتيح الخاصة بك. يتم حماية هذه المفاتيح في Azure Key Vault، وهو مخزن المفاتيح لتشفير قرص Azure. لمزيد من المعلومات حول سيناريوهات دعم مفاتيح تشفير المفاتيح، راجع إنشاء key vault وتكوينه لتشفير قرص Azure.

نعم، يمكنك استخدام Azure Key Vault لإنشاء مفتاح تشفير مفتاح لاستخدام تشفير قرص Azure Disk Encryption. يتم حماية هذه المفاتيح في Azure Key Vault، وهو مخزن المفاتيح لتشفير قرص Azure. لمزيد من المعلومات حول مفتاح تشفير المفتاح، راجع إنشاء key vault وتكوينه لتشفير قرص Azure.

لا يمكنك استخدام خدمة إدارة المفاتيح المحلية، أو HSM لحماية مفاتيح التشفير باستخدام Azure Disk Encryption. يمكنك فقط استخدام خدمة Azure Key Vault لحماية مفاتيح التشفير. لمزيد من المعلومات حول سيناريوهات دعم مفتاح تشفير المفتاح، راجع إنشاء key vault وتكوينه لتشفير قرص Azure.

هناك متطلبات أساسية لتشفير قرص Azure. راجع مقالة إنشاء key vault وتكوينه لتشفير قرص Azure لإنشاء key vault جديد، أو إعداد key vault موجود للوصول إلى تشفير القرص لتمكين التشفير وحماية الأسرار والمفاتيح. لمزيد من المعلومات حول سيناريوهات دعم مفتاح تشفير المفتاح، راجع إنشاء key vault وتكوينه لتشفير قرص Azure.

هناك متطلبات أساسية لتشفير قرص Azure. راجع تشفير قرص Azure مع محتوى معرف Microsoft Entra لإنشاء تطبيق Microsoft Entra أو إنشاء مخزن مفاتيح جديد أو إعداد مخزن مفاتيح موجود للوصول إلى تشفير القرص لتمكين التشفير وحماية الأسرار والمفاتيح. لمزيد من المعلومات حول سيناريوهات دعم مفتاح تشفير المفاتيح، راجع إنشاء مخزن مفاتيح وتكوينه تشفير قرص Azure باستخدام معرف Microsoft Entra.

نعم. لا يزال تشفير القرص باستخدام تطبيق Microsoft Entra مدعوما. ومع ذلك، عند تشفير أجهزة ظاهرية جديدة، يوصى باستخدام الأسلوب الجديد بدلا من التشفير باستخدام تطبيق Microsoft Entra.

حاليا، لا يوجد مسار ترحيل مباشر للأجهزة التي تم تشفيرها باستخدام تطبيق Microsoft Entra للتشفير دون تطبيق Microsoft Entra. بالإضافة إلى ذلك، لا يوجد مسار مباشر من التشفير بدون تطبيق Microsoft Entra إلى التشفير باستخدام تطبيق AD.

استخدم أحدث إصدار من Azure PowerShell SDK لتكوين تشفير قرص Azure. قم بتنزيل أحدث إصدار من Azure PowerShell. تشفير قرص Azure غير مدعوم من Azure SDK الإصدار 1.1.0.

لسيناريوهات النشر، مثل Azure Resource Manager (ARM)، حيث تحتاج إلى نشر ملحق تشفير قرص Azure للجهاز الظاهري الذي يعمل بنظام Linux لتمكين التشفير على الجهاز الظاهري الذي يعمل بنظام Linux IaaS، يجب عليك استخدام ملحق مدعوم بإنتاج تشفير قرص Azure "Microsoft.Azure.Security.AzureEncryptionForLinux".

لا يمكنك تطبيق تشفير قرص Azure على صورة Linux المخصصة. يتم دعم صور معرض Linux فقط للتوزيعات المدعومة التي تم استدعاؤها سابقًا. صور Linux المخصصة غير مدعومة حاليًا.

نعم، يمكنك إجراء تحديث yum على جهاز ظاهري يعمل بنظام Red Hat Linux. لمزيد من المعلومات، راجع تشفير قرص Azure على شبكة معزولة.

يوصى باتباع سير العمل التالي للحصول على أفضل النتائج على Linux:

• ابدأ من صورة معرض الأسهم غير المُعدلة المقابلة لتوزيعة نظام التشغيل المطلوب والإصدار
• إجراء نسخ احتياطي لأي أقراص محمولة سيتم تشفيرها. يسمح النسخ الاحتياطي هذا لك بالاسترداد في حالة حدوث فشل، على سبيل المثال إذا تمت إعادة تشغيل الجهاز الظاهري قبل اكتمال التشفير.
• التشفير (يمكن أن يستغرق عدة ساعات أو حتى أيام اعتمادًا على خصائص الجهاز الظاهري وحجم أي أقراص البيانات المرفقة)
• تخصيص وإضافة برامج إلى الصورة حسب الحاجة.

إذا لم يكن سير العمل هذا ممكنًا، فقد يكون الاعتماد على تشفير خدمة التخزين (SSE) في طبقة حساب تخزين النظام الأساسي بديلاً لتشفير القرص الكامل باستخدام dm-crypt.

"Bek volume" هي وحدة تخزين بيانات محلية تخزن بشكل آمن مفاتيح التشفير للأجهزة الظاهرية المشفرة من Azure.

يستخدم تشفير قرص Azure فك تشفير aes-xts-plain64 الافتراضي مع مفتاح رئيسي لوحدة تخزين بمساحة 256 بت.

لا، لن يتم مسح البيانات من محركات أقراص البيانات المُشفرة بالفعل باستخدام تشفير قرص Azure. على غرار الطريقة التي لم يُعد EncryptFormatAll تشفير محرك أقراص نظام التشغيل، فإنه لن يُعيد تشفير محرك أقراص البيانات المشفرة بالفعل. لمزيد من المعلومات، راجع معايير EncryptFormatAll.

يُدعم تشفير أقراص نظام تشغيل XFS.

يُدعم تشفير أقراص البيانات XFS فقط عند استخدام المعلمة EncryptFormatAll. سيؤدي ذلك إلى إعادة تنسيق وحدة التخزين، ومحو أي بيانات موجودة مسبقًا. لمزيد من المعلومات، راجع معايير EncryptFormatAll.

تغيير حجم قرص نظام تشغيل مشفر لملف ADE غير مدعوم حاليًا.

يوفر النسخ الاحتياطي في Azure آلية للنسخ الاحتياطي واستعادة الجهاز الظاهري المشفر داخل نفس الاشتراك والمنطقة. للحصول على إرشادات، يُرجى مراجعة النسخ الاحتياطي واستعادة الأجهزة الظاهرية المشفرة باستخدام النسخ الاحتياطي في Azure. استعادة جهاز ظاهري مشفر إلى منطقة مختلفة غير مدعوم حاليًّا.

يمكنك طرح أسئلة أو تقديم ملاحظات في صفحة أسئلة وأجوبة Microsoft لتشفير قرص Azure.

الخطوات التالية

في هذا المستند، تعلمت المزيد حول الأسئلة الأكثر شيوعًا المتعلقة بتشفير قرص Azure Disk Encryption. لمزيد من المعلومات حول هذه الخدمة، اطلّع على المقالات التالية:

• نظرة عامة على تشفير قرص Azure
• تطبيق تشفير القرص في مركز أمان Azure
• تشفير بيانات Azure في حالة عدم التشغيل