Azure Disk Encryption pro virtuální počítače s Linuxem

Platí pro: : Heavy_check_mark: virtuální počítače se systémem Linux: Heavy_check_mark: flexibilní sady škálování

Azure Disk Encryption přispívá k zabezpečení a ochraně vašich dat, aby byly splněny závazky organizace související se zabezpečením a dodržováním předpisů. Používá funkci dm-crypt systému Linux k poskytování šifrování svazku pro operační systém a datové disky virtuálních počítačů Azure a je integrována s Azure Key Vault , která vám pomůžou řídit a spravovat klíče šifrování disku a tajné kódy.

Azure Disk Encryption je odolný proti zóně stejným způsobem jako Virtual Machines. Podrobnosti najdete v tématu služby Azure, které podporují zóny dostupnosti.

Pokud používáte Microsoft Defender pro Cloud, budete upozorněni v případě, že máte virtuální počítače, které nejsou šifrované. Výstrahy se zobrazují jako Vysoká závažnost a doporučení slouží k šifrování těchto virtuálních počítačů.

základní informace o nástroji Azure Disk Encryption pro linux najdete během několika minut pomocí virtuálního počítače se systémem linux pomocí Azure CLI nebo vytvoření a šifrování virtuálního počítače se systémem linux pomocí nástroje Azure PowerShell rychlý start.

Podporované virtuální počítače a operační systémy

Podporované virtuální počítače

Virtuální počítače se systémem Linux jsou k dispozici v různých velikostech. Azure Disk Encryption se podporuje u virtuálních počítačů 1. generace a 2. generace. Azure Disk Encryption je k dispozici také pro virtuální počítače s Premium Storage.

Podívejte se na velikost virtuálních počítačů Azure bez místního dočasného disku.

Azure Disk Encryption není k dispozici ani na virtuálních počítačích Basic, a-Seriesnebo na virtuálních počítačích, které nesplňují tyto minimální požadavky na paměť:

Po dokončení procesu šifrování disku s operačním systémem u virtuálních počítačů se systémem Linux lze virtuální počítač nakonfigurovat tak, aby běžel s méně paměti.

Další výjimky naleznete v tématu Azure Disk Encryption: nepodporované scénáře.

Podporované operační systémy

Azure Disk Encryption je podporovaná u podmnožiny distribucí systému Linux schváleného službou Azure, což je podmnožina všech možných distribucí serveru se systémem Linux.

Distribuce serverů pro Linux, které nejsou schváleny v Azure, nepodporují Azure Disk Encryption; z těch, které jsou schváleny, podporuje pouze následující distribuce a verze Azure Disk Encryption:

Další požadavky na virtuální počítače

Azure Disk Encryption systém vyžaduje, aby v systému byly moduly dm-crypt a v windows. Odebráním nebo zakázáním virtuálního počítače z výchozí image zabráníte systému ve čtení svazku klíče a získání klíče potřebného k odemknutí disků při dalších restartováních. Kroky pro zabezpečení systému, které odeberou modul vfat ze systému nebo vynutí rozšíření přípojného bodu nebo složek operačního systému na datových jednotkách, nejsou kompatibilní s Azure Disk Encryption.

Před povolením šifrování musí být datové disky, které se šifrují, správně uvedené na kartě /etc/fstab. Při vytváření položek použijte možnost nofail a zvolte trvalý název blokového zařízení (protože názvy zařízení ve formátu /dev/sdX nemusí být přidružené ke stejnému disku při restartování, zejména po šifrování. Další podrobnosti o tomto chování najdete v tématu Řešení potíží se změnami názvu zařízení virtuálního počítače s Linuxem).

Ujistěte se, že jsou nastavení /etc/fstab správně nakonfigurovaná pro připojení. Pokud chcete tato nastavení nakonfigurovat, spusťte příkaz mount -a nebo restartujte virtuální počítač a aktivujte opětovné připojení tímto způsobem. Po dokončení zkontrolujte výstup příkazu lsblk a ověřte, že je jednotka stále připojená.

• Pokud soubor /etc/fstab před povolením šifrování správně nepřidá jednotku, Azure Disk Encryption ho nebude moct správně připojit.
• Proces Azure Disk Encryption v rámci procesu šifrování přesune informace o připojení z /etc/fstab a do vlastního konfiguračního souboru. Po dokončení šifrování datové jednotky se nemusíte upozorněním na chybějící položku na kartě /etc/fstab zobrazit.
• Před zahájením šifrování nezapomeňte zastavit všechny služby a procesy, které by mohly být zapisovány na připojené datové disky, a zakázat je, aby se po restartování automaticky nerestartoval. V těchto oddílech by mohly být soubory otevřené, což brání postupu šifrování při jejich opětovném připojení, což by způsobilo selhání šifrování.
• Po restartování bude trvat dlouho, než Azure Disk Encryption připojí nově zašifrované disky. Nebudou okamžitě dostupné po restartování počítače. Tento proces potřebuje čas na spuštění, odemknutí a potom připojení šifrovaných jednotek, aby k tomu byly dostupné pro ostatní procesy. Tento proces může trvat déle než minutu po restartování v závislosti na charakteristikách systému.

Tady je příklad příkazů, které slouží k připojení datových disků a vytvoření potřebných položek /etc/fstab:

UUID0="$(blkid -s UUID -o value /dev/sda1)"
UUID1="$(blkid -s UUID -o value /dev/sda2)"
mkdir /data0
mkdir /data1
echo "UUID=$UUID0 /data0 ext4 defaults,nofail 0 0" >>/etc/fstab
echo "UUID=$UUID1 /data1 ext4 defaults,nofail 0 0" >>/etc/fstab
mount -a

Požadavky na síť

Pokud chcete povolit Azure Disk Encryption, musí virtuální počítače s Linuxem splňovat následující požadavky na konfiguraci koncového bodu sítě:

• Pokud chcete získat token pro připojení k trezoru klíčů, musí být virtuální počítač s Linuxem schopný se připojit ke koncovému bodu Azure Active Directory a [ login.microsoftonline.com ] .
• Pokud chcete šifrovací klíče zapsat do trezoru klíčů, musí být virtuální počítač s Linuxem schopný se připojit ke koncovému bodu trezoru klíčů.
• Virtuální počítač s Linuxem se musí být schopný připojit ke koncovému bodu úložiště Azure, který je hostitelem úložiště rozšíření Azure, a k účtu úložiště Azure, který hostuje soubory virtuálního pevného disku.
• Pokud vaše zásady zabezpečení omezí přístup z virtuálních počítače Azure k internetu, můžete výše uvedené identifikátory URI vyřešit a nakonfigurovat konkrétní pravidlo, které povolí odchozí připojení k IP serverům. Další informace najdete v tématu Azure Key Vault za bránou firewall.

Požadavky na úložiště šifrovacího klíče

Azure Disk Encryption k řízení a Azure Key Vault klíčů a tajných kódů pro šifrování disků, je potřeba mít na Azure Key Vault oprávnění. Váš trezor klíčů a virtuální počítače se musí nacházet ve stejné oblasti a předplatném Azure.

Podrobnosti najdete v tématu Vytvoření a konfigurace trezoru klíčů pro Azure Disk Encryption.

Terminologie

Následující tabulka definuje některé z běžných termínů používaných v dokumentaci ke službě Azure Disk Encryption:

Další kroky

• Rychlý start – Vytvoření a šifrování virtuálního počítače s Linuxem pomocí Azure CLI
• Rychlý start – Vytvoření a šifrování virtuálního počítače s Linuxem pomocí Azure PowerShell
• Scénáře použití služby Azure Disk Encryption na virtuálních počítačích se systémem Linux
• Azure Disk Encryption skriptu rozhraní příkazového řádku pro požadavky
• Azure Disk Encryption požadavků powershellový skript
• Vytvoření a konfigurace trezoru klíčů pro službu Azure Disk Encryption