Azure Disk Encryption voor Linux-VM's

Van toepassing op: ✔️ Virtuele Linux-heavy_check_mark: Flexibele schaalsets

Azure Disk Encryption helpt om uw gegevens te beschermen en te beveiligen, zodat u aan de beveiligings- en nalevingsafspraken van uw organisatie voldoet. Het maakt gebruik van de DM-Crypt-functie van Linux om volumeversleuteling te bieden voor het besturingssysteem en gegevensschijven van virtuele Azure-machines (VM's), en is geïntegreerd met Azure Key Vault om u te helpen de sleutels en geheimen voor schijfversleuteling te beheren.

Azure Disk Encryption is zone-robuust, op dezelfde manier als Virtual Machines. Zie Azure-services die ondersteuning bieden voor Beschikbaarheidszones.

Als u Microsoft Defender for Cloud gebruikt,wordt u gewaarschuwd als u VM's hebt die niet zijn versleuteld. De waarschuwingen worden als Zeer ernstig weergeven en het wordt aanbevolen deze VM's te versleutelen.

U vindt de basisprincipes van Azure Disk Encryption voor Linux in slechts enkele minuten met de quickstart Een virtuele Linux-VM maken en versleutelen met Azure CLI of de quickstart Een virtuele Linux-Azure PowerShell maken en versleutelen.

Ondersteunde VM's en besturingssystemen

Ondersteunde VM's

Linux-VM's zijn beschikbaar in verschillende grootten. Azure Disk Encryption wordt ondersteund op VM's van de eerste en tweede generatie. Azure Disk Encryption is ook beschikbaar voor VM's met Premium Storage.

Zie Azure VM-grootten zonder lokale tijdelijke schijf.

Azure Disk Encryption is ook niet beschikbaar op Basic, VM's uit de A-serieof op virtuele machines die niet voldoen aan deze minimale geheugenvereisten:

Zodra het versleutelingsproces van de besturingssysteemschijf is voltooid op virtuele Linux-machines, kan de virtuele machine zodanig worden geconfigureerd dat deze met minder geheugen wordt uitgevoerd.

Zie voor meer uitzonderingen Azure Disk Encryption: niet-ondersteunde scenario's.

Ondersteunde besturingssystemen

Azure Disk Encryption wordt ondersteund op een subset van de door Azure goedgekeurde Linux-distributies,die zelf een subset is van alle mogelijke linux-serverdistributies.

Linux-serverdistributies die niet zijn goedgekeurd door Azure bieden geen ondersteuning voor Azure Disk Encryption; van de distributies die zijn goedgekeurd, ondersteunen alleen de volgende distributies en versies Azure Disk Encryption:

Aanvullende VM-vereisten

Azure Disk Encryption vereist dat de dm-crypt- en vfat-modules aanwezig zijn op het systeem. Als u vfat uit de standaardinstallatie afbeelding verwijdert of uitsluit, kan het systeem het sleutelvolume niet lezen en de sleutel verkrijgen die nodig is voor het ontgrendelen van de schijven bij volgende keer opnieuw opstarten. Systeemverhardingsstappen die de vfat-module uit het systeem verwijderen of het uitbreiden van de os-mountpoints/mappen op gegevensstations afdwingen, zijn niet compatibel met Azure Disk Encryption.

Voordat u versleuteling inschakelen, moeten de gegevensschijven die moeten worden versleuteld correct worden vermeld in /etc/fstab. Gebruik de optie 'nofail' bij het maken van vermeldingen en kies een permanente blokapparaatnaam (als apparaatnamen in de indeling '/dev/sdX' zijn mogelijk niet gekoppeld aan dezelfde schijf tijdens het opnieuw opstarten, met name na versleuteling. Zie voor meer informatie over dit gedrag: Problemen met wijzigingen in de naam van een Linux-VM-apparaat oplossen).

Zorg ervoor dat de /etc/fstab-instellingen juist zijn geconfigureerd voor het maken van een mounting. Als u deze instellingen wilt configureren, moet u de opdracht 'mount -a' uitvoeren of de VM opnieuw opstarten en de herkoppeling op die manier activeren. Als dat is voltooid, controleert u de uitvoer van de lsblk opdracht om te controleren of het station is nog steeds is bevestigd.

• Als het /etc/fstab-bestand het station niet correct aan het station wordt toegevoegd voordat versleuteling wordt Azure Disk Encryption kan het niet goed worden bevestigd.
• Het Azure Disk Encryption verplaatst de gegevens van de mount uit /etc/fstab en naar een eigen configuratiebestand als onderdeel van het versleutelingsproces. Wees niet ge alarmeerd als de vermelding ontbreekt in /etc/fstab nadat de versleuteling van het gegevensstation is voltooid.
• Voordat u versleuteling start, moet u ervoor zorgen dat u alle services en processen stopt die naar de aan de gegevensschijven kunnen worden geschreven en deze uitschakelen, zodat ze na het opnieuw opstarten niet automatisch opnieuw worden opgestart. Deze kunnen bestanden geopend houden op deze partities, waardoor de versleutelingsprocedure deze niet opnieuw kan ontkoppelen, waardoor de versleuteling mislukt.
• Na het opnieuw opstarten duurt het even Azure Disk Encryption de zojuist versleutelde schijven worden bevestigd. Ze zijn niet onmiddellijk beschikbaar na het opnieuw opstarten. Het proces heeft tijd nodig om de versleutelde stations te starten, te ontgrendelen en vervolgens te monteren voordat ze beschikbaar zijn voor andere processen om toegang te krijgen. Dit proces kan meer dan een minuut duren na het opnieuw opstarten, afhankelijk van de systeemkenmerken.

Hier is een voorbeeld van de opdrachten die worden gebruikt om de gegevensschijven te monteren en de benodigde /etc/fstab-vermeldingen te maken:

UUID0="$(blkid -s UUID -o value /dev/sda1)"
UUID1="$(blkid -s UUID -o value /dev/sda2)"
mkdir /data0
mkdir /data1
echo "UUID=$UUID0 /data0 ext4 defaults,nofail 0 0" >>/etc/fstab
echo "UUID=$UUID1 /data1 ext4 defaults,nofail 0 0" >>/etc/fstab
mount -a

Netwerkvereisten

Als u de Azure Disk Encryption wilt inschakelen, moeten de virtuele Linux-VM's voldoen aan de volgende configuratievereisten voor netwerk eindpunten:

• Om een token te krijgen om verbinding te maken met uw sleutelkluis, moet de Linux-VM verbinding kunnen maken met een Azure Active Directory-eindpunt, [ login.microsoftonline.com ] .
• Als u de versleutelingssleutels naar uw sleutelkluis wilt schrijven, moet de Linux-VM verbinding kunnen maken met het eindpunt van de sleutelkluis.
• De Linux-VM moet verbinding kunnen maken met een Azure Storage-eindpunt dat als host dient voor de Opslagplaats voor Azure-extensies en een Azure-opslagaccount dat als host voor de VHD-bestanden dient.
• Als uw beveiligingsbeleid de toegang van Azure-VM's tot internet beperkt, kunt u de voorgaande URI oplossen en een specifieke regel configureren om uitgaande verbindingen met de IP's toe te staan. Zie voor meer informatie Azure Key Vault achter een firewall.

Opslagvereisten voor versleutelingssleutels

Azure Disk Encryption is een Azure Key Vault voor het beheren en beheren van schijfversleutelingssleutels en -geheimen. Uw sleutelkluis en VM's moeten zich in dezelfde Azure-regio en hetzelfde abonnement bevinden.

Zie Een sleutelkluis maken en configurerenvoor Azure Disk Encryption voor meer Azure Disk Encryption.

Terminologie

De volgende tabel definieert enkele van de algemene termen die worden gebruikt in de documentatie voor Azure Disk Encryption:

Volgende stappen

• Quickstart: Een linux-VM maken en versleutelen met Azure CLI
• Quickstart: Een linux-VM maken en versleutelen met Azure PowerShell
• Azure Disk Encryption-scenario's voor virtuele Linux-machines
• Azure Disk Encryption CLI-script met vereisten
• Azure Disk Encryption PowerShell-script met vereisten
• Een sleutelkluis voor Azure Disk Encryption maken en configureren