Azure Disk Encryption para Windows (Microsoft.Azure.Security.AzureDiskEncryption)

  • Artigo

Visão geral

O Azure Disk Encryption usa BitLocker para fornecer criptografia de disco completa em máquinas virtuais do Azure que executam o Windows. Está solução é integrada ao Azure Key Vault para gerenciar os segredos e as chaves de criptografia de disco em sua assinatura do cofre de chaves.

Pré-requisitos

Para obter uma lista completa de pré-requisitos, consulte Azure Disk Encryption para VMs do Windows, especificamente as seguintes seções:

Esquema de Extensão

Há duas versões do esquema de extensão para Azure Disk Encryption (ADE):

  • v2.2: um esquema recomendado mais recente que não usa as propriedades do Microsoft Entra.
  • v1.1: um esquema mais antigo que requer propriedades do Microsoft Entra.

Para selecionar um esquema de destino, a propriedade typeHandlerVersion deve ser definida igual à versão do esquema que você deseja usar.

O esquema v2.2 é recomendado para todas as VMs novas e não requer propriedades do Microsoft Entra.

{
  "type": "extensions",
  "name": "[name]",
  "apiVersion": "2019-07-01",
  "location": "[location]",
  "properties": {
        "publisher": "Microsoft.Azure.Security",
        "type": "AzureDiskEncryption",
        "typeHandlerVersion": "2.2",
        "autoUpgradeMinorVersion": true,
        "settings": {
          "EncryptionOperation": "[encryptionOperation]",
          "KeyEncryptionAlgorithm": "[keyEncryptionAlgorithm]",
          "KeyVaultURL": "[keyVaultURL]",
          "KeyVaultResourceId": "[keyVaultResourceID]",
          "KeyEncryptionKeyURL": "[keyEncryptionKeyURL]",
          "KekVaultResourceId": "[kekVaultResourceID]",
          "SequenceVersion": "sequenceVersion]",
          "VolumeType": "[volumeType]"
        }
  }
}

Esquema v1.1: com Microsoft Entra ID

O esquema 1.1 requer aadClientID e também aadClientSecret ou AADClientCertificate e não é recomendado para novas VMs.

Usando aadClientSecret:

{
  "type": "extensions",
  "name": "[name]",
  "apiVersion": "2019-07-01",
  "location": "[location]",
  "properties": {
    "protectedSettings": {
      "AADClientSecret": "[aadClientSecret]"
    },
    "publisher": "Microsoft.Azure.Security",
    "type": "AzureDiskEncryption",
    "typeHandlerVersion": "1.1",
    "settings": {
      "AADClientID": "[aadClientID]",
      "EncryptionOperation": "[encryptionOperation]",
      "KeyEncryptionAlgorithm": "[keyEncryptionAlgorithm]",
      "KeyVaultURL": "[keyVaultURL]",
      "KeyVaultResourceId": "[keyVaultResourceID]",
      "KeyEncryptionKeyURL": "[keyEncryptionKeyURL]",
      "KekVaultResourceId": "[kekVaultResourceID]",
      "SequenceVersion": "sequenceVersion]",
      "VolumeType": "[volumeType]"
    }
  }
}

Usando AADClientCertificate:

{
  "type": "extensions",
  "name": "[name]",
  "apiVersion": "2019-07-01",
  "location": "[location]",
  "properties": {
    "protectedSettings": {
      "AADClientCertificate": "[aadClientCertificate]"
    },
    "publisher": "Microsoft.Azure.Security",
    "type": "AzureDiskEncryption",
    "typeHandlerVersion": "1.1",
    "settings": {
      "AADClientID": "[aadClientID]",
      "EncryptionOperation": "[encryptionOperation]",
      "KeyEncryptionAlgorithm": "[keyEncryptionAlgorithm]",
      "KeyVaultURL": "[keyVaultURL]",
      "KeyVaultResourceId": "[keyVaultResourceID]",
      "KeyEncryptionKeyURL": "[keyEncryptionKeyURL]",
      "KekVaultResourceId": "[kekVaultResourceID]",
      "SequenceVersion": "sequenceVersion]",
      "VolumeType": "[volumeType]"
    }
  }
}

Valores de propriedade

Observação: todos os valores diferenciam maiúsculas de minúsculas.

Nome Valor/Exemplo Tipo de Dados
apiVersion 2019-07-01 date
publicador Microsoft.Azure.Security string
type AzureDiskEncryption string
typeHandlerVersion 2.2, 1.1 string
(esquema 1.1) AADClientID xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx guid
(esquema 1.1) AADClientSecret password string
(esquema 1.1) AADClientCertificate thumbprint string
EncryptionOperation EnableEncryption string
(opcional - padrão RSA-OAEP ) KeyEncryptionAlgorithm 'RSA-OAEP', 'RSA-OAEP-256', 'RSA1_5' string
KeyVaultURL url string
KeyVaultResourceId url string
(opcional) KeyEncryptionKeyURL url string
(opcional) KekVaultResourceId url string
(opcional) SequenceVersion UNIQUEIDENTIFIER string
VolumeType Sistema operacional, Dados, Tudo string

Implantação de modelo

Para obter um exemplo de implantação de modelo com base no esquema v2.2, consulte o modelo de início rápido do Azure encrypt-running-windows-vm-without-aad.

Para obter um exemplo de implantação de modelo com base no esquema v1.1, consulte modelo de início rápido do Azure encrypt-running-windows-vm.

Observação

Além disso, se o parâmetro VolumeType for definido como Tudo, os discos de dados serão criptografados somente se forem montados corretamente.

Solução de problemas e suporte

Solucionar problemas

Para solução de problemas, consulte o Guia de solução de problemas do Azure Disk Encryption.

Suporte

Caso precise de mais ajuda em qualquer ponto deste artigo, entre em contato com os especialistas do Azure nos fóruns do Azure e do Stack Overflow no MSDN.

Como alternativa, você pode registrar um incidente de suporte do Azure. Acesse o Suporte do Azure e selecione Obter suporte. Para saber mais sobre como usar o suporte do Azure, leia as Perguntas frequentes do Suporte do Microsoft Azure.

Próximas etapas