在 Windows 中啟用 Azure Service Fabric 叢集節點的磁碟加密
在本教學課程中，您會了解如何在 Windows 的 Service Fabric 叢集節點上啟用磁碟加密。 您必須針對每個節點類型和虛擬機器擴展集執行下列步驟。 為了加密節點，我們會使用虛擬機器擴展集上的 Azure 磁碟加密功能。
本指南涵蓋下列主題：
- 在 Windows 的 Service Fabric 叢集虛擬機器擴展集上啟用磁碟加密時要注意的重要概念。
- 在 Windows 的 Service Fabric 叢集節點上啟用磁碟加密之前要遵循的步驟。
- 在 Windows 的 Service Fabric 叢集節點上啟用磁碟加密要遵循的步驟。
注意
建議您使用 Azure Az PowerShell 模組來與 Azure 互動。 請參閱安裝 Azure PowerShell 以開始使用。 若要了解如何移轉至 Az PowerShell 模組，請參閱將 Azure PowerShell 從 AzureRM 移轉至 Az。
必要條件
自助式登錄
虛擬機器擴展集的磁碟加密預覽需要自助式註冊。 使用下列步驟：
- 首先，執行下列命令：
Register-AzProviderFeature -ProviderNamespace Microsoft.Compute -FeatureName "UnifiedDiskEncryption" - 等候大約 10 分鐘，直到狀態顯示為 [已登錄] 為止。 您可以執行下列命令來檢查狀態：
Get-AzProviderFeature -ProviderNamespace "Microsoft.Compute" -FeatureName "UnifiedDiskEncryption" Register-AzResourceProvider -ProviderNamespace Microsoft.Compute
Azure Key Vault
- 在與擴展集相同的訂用帳戶和區域中建立金鑰保存庫，然後使用其 PowerShell Cmdlet 選取金鑰保存庫上的 EnabledForDiskEncryption 存取原則。 您也可以在 Azure 入口網站中使用下列命令，透過 Key Vault UI 來設定原則：
Set-AzKeyVaultAccessPolicy -VaultName $keyVaultName -EnabledForDiskEncryption - 安裝最新版本的 Azure CLI，其中包含新的加密命令。
- 安裝最新版的 Azure SDK (來自 Azure PowerShell) 版本。 以下是虛擬機器擴展集 Azure 磁碟加密 Cmdlet，其可用來啟用 (設定) 加密功能、擷取 (取得) 加密狀態，以及移除 (停用) 擴展集執行個體的加密功能。
| Command | 版本 | 來源 |
|---|---|---|
| Get-AzVmssDiskEncryptionStatus | 1.0.0 或更新版本 | Az.Compute |
| Get-AzVmssVMDiskEncryptionStatus | 1.0.0 或更新版本 | Az.Compute |
| Disable-AzVmssDiskEncryption | 1.0.0 或更新版本 | Az.Compute |
| Get-AzVmssDiskEncryption | 1.0.0 或更新版本 | Az.Compute |
| Get-AzVmssVMDiskEncryption | 1.0.0 或更新版本 | Az.Compute |
| Set-AzVmssDiskEncryptionExtension | 1.0.0 或更新版本 | Az.Compute |
所支援的磁碟加密案例
- 僅針對使用受控磁碟建立的擴展集支援虛擬機器擴展集的加密。 其不支援用於原生 (或非受控) 磁碟擴展集。
- 針對 Windows 的虛擬機器擴展集中的 OS 和資料磁碟區支援加密。 針對 Windows 的虛擬機器擴展集中的 OS 和資料磁碟區也支援停用加密。
- 目前的預覽版不支援虛擬機器擴展集的虛擬機器重新安裝映像和升級作業。
建立新叢集並啟用磁碟加密
請使用下列命令來建立叢集，並使用 Azure Resource Manager 範本和自我簽署憑證來啟用磁碟加密。
登入 Azure
使用下列命令登入：
Login-AzAccount
Set-AzContext -SubscriptionId <guid>
azure login
az account set --subscription $subscriptionId
使用既有的自訂範本
如果您需要撰寫自訂範本以符合需求，強烈建議您從可以在 Azure Service Fabric 叢集建立範本範例頁面上取得的其中一個範本開始。 若要自訂您的叢集範本區段，請參閱下列指引。
如果您已有自訂範本，則請再次確認範本及參數檔案中三個與憑證相關的參數，其命名如下所示，且值也如下所示為 Null：
"certificateThumbprint": {
"value": ""
},
"sourceVaultValue": {
"value": ""
},
"certificateUrlValue": {
"value": ""
},
$resourceGroupLocation="westus"
$resourceGroupName="mycluster"
$CertSubjectName="mycluster.westus.cloudapp.azure.com"
$certPassword="Password!1" | ConvertTo-SecureString -AsPlainText -Force
$certOutputFolder="c:\certificates"
$parameterFilePath="c:\templates\templateparam.json"
$templateFilePath="c:\templates\template.json"
New-AzServiceFabricCluster -ResourceGroupName $resourceGroupName -CertificateOutputFolder $certOutputFolder -CertificatePassword $certpassword -CertificateSubjectName $CertSubjectName -TemplateFile $templateFilePath -ParameterFile $parameterFilePath
declare certPassword=""
declare resourceGroupLocation="westus"
declare resourceGroupName="mylinux"
declare certSubjectName="mylinuxsecure.westus.cloudapp.azure.com"
declare parameterFilePath="c:\mytemplates\linuxtemplateparm.json"
declare templateFilePath="c:\mytemplates\linuxtemplate.json"
declare certOutputFolder="c:\certificates"
az sf cluster create --resource-group $resourceGroupName --location $resourceGroupLocation \
--certificate-output-folder $certOutputFolder --certificate-password $certPassword \
--certificate-subject-name $certSubjectName \
--template-file $templateFilePath --parameter-file $parametersFilePath
將應用程式部署到 Windows 中的 Service Fabric 叢集
若要將應用程式部署至您的叢集，請遵循使用 PowerShell 部署和移除應用程式的步驟和指引。
針對先前建立的虛擬機器擴展集啟用磁碟加密
若要為您在先前步驟中建立的虛擬機器擴展集啟用磁碟加密，請執行下列命令：
$VmssName = "nt1vm"
$vaultName = "mykeyvault"
$resourceGroupName = "mycluster"
$KeyVault = Get-AzKeyVault -VaultName $vaultName -ResourceGroupName $rgName
$DiskEncryptionKeyVaultUrl = $KeyVault.VaultUri
$KeyVaultResourceId = $KeyVault.ResourceId
Set-AzVmssDiskEncryptionExtension -ResourceGroupName $resourceGroupName -VMScaleSetName $VmssName -DiskEncryptionKeyVaultUrl $DiskEncryptionKeyVaultUrl -DiskEncryptionKeyVaultId $KeyVaultResourceId -VolumeType All
az vmss encryption enable -g <resourceGroupName> -n <VMSS name> --disk-encryption-keyvault <KeyVaultResourceId>
驗證是否已針對 Windows 中的虛擬機器擴展集啟用磁碟加密
使用下列命令來取得整個虛擬機器擴展集，或擴展集內任何執行個體的狀態。
$VmssName = "nt1vm"
$resourceGroupName = "mycluster"
Get-AzVmssDiskEncryption -ResourceGroupName $resourceGroupName -VMScaleSetName $VmssName
Get-AzVmssVMDiskEncryption -ResourceGroupName $resourceGroupName -VMScaleSetName $VmssName -InstanceId "0"
az vmss encryption show -g <resourceGroupName> -n <VMSS name>
此外，您可以登入虛擬機器擴展集，並確定磁碟機已加密。
針對 Service Fabric 叢集中的虛擬機器擴展集停用磁碟加密
藉由執行下列命令，停用虛擬機器擴展集的磁碟加密。 請注意，停用磁碟加密會套用至整個虛擬機器擴展集，而不是套用至個別執行個體。
$VmssName = "nt1vm"
$resourceGroupName = "mycluster"
Disable-AzVmssDiskEncryption -ResourceGroupName $rgName -VMScaleSetName $VmssName
az vmss encryption disable -g <resourceGroupName> -n <VMSS name>
下一步
到目前為止，您應該已擁有安全的叢集，並知道如何為 Service Fabric 叢集節點和虛擬機器擴展集啟用和停用磁碟加密。 如需 Linux 中 Service Fabric 叢集節點的類似指引，請參閱適用於 Linux 的磁碟加密。