Azure Disk Encryption för virtuella Linux-datorer

Gäller för: ✔️ Virtuella Linux-datorer:heavy_check_mark: Flexibla skalningsuppsättningar

Azure Disk Encryption hjälper till att skydda dina data så att din verksamhet uppfyller både interna och externa krav och åtaganden. Den använder FUNKTIONEN DM-Crypt i Linux för att tillhandahålla volymkryptering för operativsystemet och datadiskarna på virtuella Azure-datorer (VM) och är integrerad med Azure Key Vault för att hjälpa dig att styra och hantera diskkrypteringsnycklarna och hemligheterna.

Azure Disk Encryption är zontålig, på samma sätt som Virtual Machines. Mer information finns i Azure-tjänster som stöder Tillgänglighetszoner.

Om du använder Microsoft Defender förmolnet får du en avisering om du har virtuella datorer som inte är krypterade. Aviseringarna visar hög allvarlighetsgrad och rekommendationen är att kryptera de här virtuella datorerna.

Du kan lära dig grunderna i Azure Disk Encryption för Linux på bara några minuter med snabbstarten Skapa och kryptera en virtuell Linux-dator med Azure CLI eller snabbstarten Skapa och kryptera en virtuell Linux-dator med Azure PowerShell.

Virtuella datorer och operativsystem som stöds

Virtuella datorer som stöds

Virtuella Linux-datorer är tillgängliga i olika storlekar. Azure Disk Encryption stöds på virtuella datorer i generation 1 och generation 2. Azure Disk Encryption är också tillgängligt för virtuella datorer med Premium Storage.

Se Storlekar på virtuella Azure-datorer utan lokal tillfällig disk.

Azure Disk Encryption är inte heller tillgängligt på virtuella datorer i Basic-, A-serieneller på virtuella datorer som inte uppfyller dessa minimikrav för minne:

När os-diskkrypteringsprocessen är klar på virtuella Linux-datorer kan den virtuella datorn konfigureras för att köras med mindre minne.

Fler undantag finns i Azure Disk Encryption: Scenarier som inte stöds.

Operativsystem som stöds

Azure Disk Encryption stöds på en delmängd av de Azure-godkända Linux-distributionerna, som i sig är en delmängd av alla möjliga distributioner för Linux-servrar.

Linux-serverdistributioner som inte stöds av Azure stöder inte Azure Disk Encryption; av de som stöds stöds endast följande distributioner och versioner Azure Disk Encryption:

Ytterligare krav för virtuella datorer

Azure Disk Encryption kräver att modulerna dm-crypt och vfat finns i systemet. Om du tar bort eller inaktiverar vfat från standardavbildningen hindras systemet från att läsa in nyckelvolymen och hämta nyckeln som behövs för att låsa upp diskarna vid efterföljande omstarter. Systemhärdningssteg som tar bort vfat-modulen från systemet eller framtvingar expansion av OS-monteringspunkter/mappar på dataenheter är inte kompatibla med Azure Disk Encryption.

Innan du aktiverar kryptering måste datadiskarna som ska krypteras vara korrekt listade i /etc/fstab. Använd alternativet "nofail" när du skapar poster och välj ett beständigt blockenhetsnamn (som enhetsnamn i formatet "/dev/sdX" kanske inte är associerade med samma disk över omstarter, särskilt efter kryptering. Mer information om det här beteendet finns i: Felsöka ändringar av namnet på linux VM-enheten).

Kontrollera att inställningarna för /etc/fstab är korrekt konfigurerade för montering. Om du vill konfigurera de här inställningarna kör du kommandot mount -a eller startar om den virtuella datorn och utlöser återmonteringen på det sättet. När det är klart kontrollerar du utdata från kommandot lsblk för att kontrollera att enheten fortfarande är monterad.

• Om /etc/fstab-filen inte monterar enheten korrekt innan kryptering Azure Disk Encryption kan inte montera den korrekt.
• Processen Azure Disk Encryption monteringsinformationen från /etc/fstab och till sin egen konfigurationsfil som en del av krypteringsprocessen. Oroa dig inte för att posten saknas i /etc/fstab när dataenhetskrypteringen har slutförts.
• Innan du påbörjar krypteringen måste du stoppa alla tjänster och processer som kan skriva till monterade datadiskar och inaktivera dem, så att de inte startas om automatiskt efter en omstart. Dessa kan hålla filer öppna på dessa partitioner, vilket förhindrar att krypteringsproceduren återmonterar dem, vilket orsakar krypteringsfel.
• Efter omstarten tar det tid för Azure Disk Encryption att montera de nyligen krypterade diskarna. De blir inte omedelbart tillgängliga efter en omstart. Processen behöver tid för att starta, låsa upp och montera de krypterade enheterna innan den blir tillgänglig för andra processer att komma åt. Den här processen kan ta mer än en minut efter omstarten beroende på systemets egenskaper.

Här är ett exempel på de kommandon som används för att montera datadiskarna och skapa nödvändiga /etc/fstab-poster:

UUID0="$(blkid -s UUID -o value /dev/sda1)"
UUID1="$(blkid -s UUID -o value /dev/sda2)"
mkdir /data0
mkdir /data1
echo "UUID=$UUID0 /data0 ext4 defaults,nofail 0 0" >>/etc/fstab
echo "UUID=$UUID1 /data1 ext4 defaults,nofail 0 0" >>/etc/fstab
mount -a

Nätverkskrav

För att aktivera Azure Disk Encryption-funktionen måste de virtuella Linux-datorerna uppfylla följande konfigurationskrav för nätverksslutpunkter:

• För att få en token för att ansluta till nyckelvalvet måste den virtuella Linux-datorn kunna ansluta till en Azure Active Directory slutpunkt, [ login.microsoftonline.com ] .
• Om du vill skriva krypteringsnycklarna till nyckelvalvet måste den virtuella Linux-datorn kunna ansluta till slutpunkten för nyckelvalvet.
• Den virtuella Linux-datorn måste kunna ansluta till en Azure Storage-slutpunkt som är värd för lagringsplatsen för Azure-tillägget och ett Azure-lagringskonto som är värd för VHD-filerna.
• Om din säkerhetsprincip begränsar åtkomsten från virtuella Azure-datorer till Internet kan du lösa föregående URI och konfigurera en specifik regel för att tillåta utgående anslutning till IP-adresser. Mer information finns i Azure Key Vault bakom en brandvägg.

Lagringskrav för krypteringsnyckel

Azure Disk Encryption kräver en Azure Key Vault för att styra och hantera diskkrypteringsnycklar och hemligheter. Ditt nyckelvalv och dina virtuella datorer måste finnas i samma Azure-region och -prenumeration.

Mer information finns i Skapa och konfigurera ett nyckelvalv för Azure Disk Encryption.

Terminologi

I följande tabell definieras några av de vanliga termer som används i dokumentationen för Azure-diskkryptering:

Nästa steg

• Snabbstart – Skapa och kryptera en virtuell Linux-dator med Azure CLI
• Snabbstart – Skapa och kryptera en virtuell Linux-dator med Azure PowerShell
• Azure Disk Encryption-scenarier på virtuella Linux-datorer
• Azure Disk Encryption CLI-skript som krävs
• Azure Disk Encryption PowerShell-skript som krävs
• Skapa och konfigurera ett nyckelvalv för Azure Disk Encryption