Azure Portal gebruiken om versleuteling aan de serverzijde in te schakelen met door de klant beheerde sleutels voor beheerde schijven

Op dit moment hebben door de klant beheerde sleutels de volgende beperkingen:

• Als deze functie is ingeschakeld voor een schijf met incrementele momentopnamen, kan deze niet worden uitgeschakeld op die schijf of de bijbehorende momentopnamen. U kunt dit omzeilen door alle gegevens te kopiëren naar een volledig andere beheerde schijf die geen door de klant beheerde sleutels gebruikt. U kunt dit doen met de Azure CLI of de Azure PowerShell-module.
• Alleen software- en HSM RSA-sleutels van grootten 2048-bits, 3072-bits en 4.096-bits worden ondersteund, geen andere sleutels of grootten.
  • HSM-sleutels vereisen de Premium-laag van Azure Key Vaults.
• Alleen voor Ultra Disks en Premium SSD v2-schijven:
  • Momentopnamen die zijn gemaakt op basis van schijven die zijn versleuteld met versleuteling aan de serverzijde en door de klant beheerde sleutels moeten worden versleuteld met dezelfde door de klant beheerde sleutels.
  • Door de gebruiker toegewezen beheerde identiteiten worden niet ondersteund voor Ultra Disks- en Premium SSD v2-schijven die zijn versleuteld met door de klant beheerde sleutels.
• De meeste resources met betrekking tot uw door de klant beheerde sleutels (schijfversleutelingssets, VM's, schijven en momentopnamen) moeten zich in hetzelfde abonnement en dezelfde regio bevinden.
  • Azure Key Vaults kunnen worden gebruikt vanuit een ander abonnement, maar moeten zich in dezelfde regio bevinden als uw schijfversleutelingsset. Als preview-versie kunt u Azure Key Vaults van verschillende Microsoft Entra-tenants gebruiken.
• Schijven die zijn versleuteld met door de klant beheerde sleutels, kunnen alleen worden verplaatst naar een andere resourcegroep als de virtuele machine waaraan ze zijn gekoppeld, ongedaan wordt gemaakt.
• Schijven, momentopnamen en installatiekopieën die zijn versleuteld met door de klant beheerde sleutels, kunnen niet worden verplaatst tussen abonnementen.
• Beheerde schijven die momenteel of eerder zijn versleuteld met Behulp van Azure Disk Encryption, kunnen niet worden versleuteld met door de klant beheerde sleutels.
• Kan maximaal 5000 schijfversleutelingssets per regio per abonnement maken.
• Zie Preview voor meer informatie over het gebruik van door de klant beheerde sleutels met galerieën met gedeelde installatiekopieën: door de klant beheerde sleutels gebruiken voor het versleutelen van afbeeldingen.

In de volgende secties wordt beschreven hoe u door de klant beheerde sleutels voor beheerde schijven inschakelt en gebruikt:

Als u door de klant beheerde sleutels voor uw schijven instelt, moet u resources in een bepaalde volgorde maken, als u dit voor het eerst doet. Eerst moet u een Azure Key Vault maken en instellen.

Uw Azure Key Vault instellen

1. Meld u aan bij het Azure-portaal.

2. Zoek en selecteer Sleutelkluizen.

   

   Belangrijk

   Uw schijfversleutelingsset, VM, schijven en momentopnamen moeten zich allemaal in dezelfde regio en hetzelfde abonnement bevinden om te kunnen worden geïmplementeerd. Azure Key Vaults kunnen worden gebruikt vanuit een ander abonnement, maar moeten zich in dezelfde regio en tenant bevinden als uw schijfversleutelingsset.

3. Selecteer +Maken om een nieuwe sleutelkluis te maken.

4. Een nieuwe resourcegroep maken.

5. Voer een sleutelkluisnaam in, selecteer een regio en selecteer een prijscategorie.

   Notitie

   Wanneer u het Key Vault-exemplaar maakt, moet u voorlopig verwijderen en beveiliging tegen opschonen inschakelen. Voorlopig verwijderen zorgt ervoor dat de Sleutelkluis een verwijderde sleutel bevat voor een bepaalde bewaarperiode (standaard 90 dagen). Beveiliging tegen opschonen zorgt ervoor dat een verwijderde sleutel pas definitief kan worden verwijderd als de bewaarperiode is verstreken. Met deze instellingen kunt u geen gegevens kwijtraken vanwege onbedoelde verwijdering. Deze instellingen zijn verplicht wanneer u een sleutelkluis gebruikt voor het versleutelen van beheerde schijven.

6. Selecteer Beoordelen en maken, controleer uw keuzes en selecteer Vervolgens Maken.

   

7. Nadat de implementatie van uw sleutelkluis is voltooid, selecteert u deze.

8. Selecteer Sleutels onder Objecten.

9. Selecteer Genereren/Importeren.

   

10. Laat zowel sleuteltype ingesteld op RSA als RSA-sleutelgrootte ingesteld op 2048.

11. Vul de resterende selecties in zoals u wilt en selecteer Vervolgens Maken.

    

Een Azure RBAC-rol toevoegen

Nu u de Azure-sleutelkluis en een sleutel hebt gemaakt, moet u een Azure RBAC-rol toevoegen, zodat u uw Azure-sleutelkluis kunt gebruiken met uw schijfversleutelingsset.

1. Selecteer Toegangsbeheer (IAM) en voeg een rol toe.
2. Voeg de rollen Key Vault Beheer istrator, Eigenaar of Inzender toe.

Uw schijfversleutelingsset instellen

1. Zoek naar Schijfversleutelingssets en selecteer deze.

2. Selecteer +Maken in het deelvenster Schijfversleutelingssets.

3. Selecteer uw resourcegroep, geef uw versleutelingsset een naam en selecteer dezelfde regio als uw sleutelkluis.

4. Voor het versleutelingstype selecteert u Versleuteling-at-rest met een door de klant beheerde sleutel.

   Notitie

   Wanneer u een schijfversleutelingsset met een bepaald versleutelingstype hebt gemaakt, kan deze niet worden gewijzigd. Als u een ander versleutelingstype wilt gebruiken, moet u een nieuwe schijfversleutelingsset maken.

5. Zorg ervoor dat Azure-sleutelkluis en sleutel selecteren is geselecteerd.

6. Selecteer de sleutelkluis en sleutel die u eerder hebt gemaakt en de versie.

7. Als u automatische rotatie van door de klant beheerde sleutels wilt inschakelen, selecteert u Automatische sleutelrotatie.

8. Selecteer Controleren en maken, en vervolgens Maken.

   

9. Navigeer naar de schijfversleutelingsset zodra deze is geïmplementeerd en selecteer de weergegeven waarschuwing.

   

10. Hiermee verleent u uw sleutelkluis machtigingen aan de schijfversleutelingsset.

    

Een virtuele machine implementeren

Nu u uw sleutelkluis en de schijfversleutelingsset hebt gemaakt en ingesteld, kunt u een virtuele machine implementeren met behulp van de versleuteling. Het VM-implementatieproces is vergelijkbaar met het standaardimplementatieproces. De enige verschillen zijn dat u de VIRTUELE machine in dezelfde regio als uw andere resources moet implementeren en u ervoor kiest om een door de klant beheerde sleutel te gebruiken.

1. Zoek naar virtuele machines en selecteer + Maken om een virtuele machine te maken.

2. Selecteer in het deelvenster Basis dezelfde regio als uw schijfversleutelingsset en Azure Key Vault.

3. Vul de andere waarden in het deelvenster Basis in zoals u wilt.

   

4. Selecteer in het deelvenster Schijven voor Sleutelbeheer uw schijfversleutelingsset, sleutelkluis en sleutel in de vervolgkeuzelijst.

5. Maak de resterende selecties zoals u wilt.

   

1. Navigeer naar een virtuele machine die zich in dezelfde regio bevindt als een van uw schijfversleutelingssets.

2. Open de virtuele machine en selecteer Stoppen.

3. Nadat de VIRTUELE machine is gestopt, selecteert u Schijven en selecteert u vervolgens de schijf die u wilt versleutelen.

4. Selecteer Versleuteling en selecteer onder Sleutelbeheer uw sleutelkluis en sleutel in de vervolgkeuzelijst, onder Door de klant beheerde sleutel.

5. Selecteer Opslaan.

6. Herhaal dit proces voor alle andere schijven die zijn gekoppeld aan de VIRTUELE machine die u wilt versleutelen.

7. Wanneer uw schijven klaar zijn met het overschakelen naar door de klant beheerde sleutels, start u de VM als er geen andere gekoppelde schijven zijn die u wilt versleutelen.

Automatische sleutelrotatie inschakelen voor een bestaande schijfversleutelingsset

1. Navigeer naar de schijfversleutelingsset waarvoor u automatische sleutelrotatie wilt inschakelen.

2. Selecteer onder Instellingen de optie Sleutel.

3. Selecteer Automatisch sleutelrotatie en selecteer Opslaan.