Habilitación del cifrado doble en reposo para discos administrados
Artículo
Se aplica a: ✔️ Máquinas virtuales Linux ✔️ Máquinas virtuales Windows ✔️
Azure Disk Storage admite el cifrado doble en reposo para los discos administrados. Para obtener información conceptual sobre el cifrado doble en reposo, así como otros tipos de cifrado de discos administrados, consulte la sección Cifrado doble en reposo de nuestro artículo sobre el cifrado de discos.
Restricciones
El cifrado doble en reposo no se admite actualmente con Ultra Disks o discos SSD prémium v2.
Requisitos previos
Si va a usar Azure CLI, instale la versión más reciente de Azure CLI e inicie sesión en una cuenta de Azure con az login.
Busque y seleccione Conjuntos de cifrado de disco.
Seleccione + Create (+ Crear).
Seleccione alguna de las regiones admitidas.
Para Tipo de cifrado, seleccione Cifrado doble con claves administradas por el cliente y la plataforma.
Nota
Una vez que cree un conjunto de cifrado de disco con un tipo de cifrado en particular, no se puede cambiar. Si desea usar otro tipo de cifrado, debe crear un nuevo conjunto de cifrado de disco.
Rellene la información restante.
Seleccione una instancia de Azure Key Vault y una clave, o cree una nueva si es necesario.
Nota
Si crea una instancia de Key Vault, debe habilitar la eliminación temporal y la protección de purgas. Esta configuración es obligatoria al usar una instancia de Key Vault para cifrar discos administrados, y le protege contra la pérdida de datos debido a la eliminación accidental.
Seleccione Crear.
Navegue hasta el conjunto de cifrado de disco que creó y seleccione el error que se muestra. Esto configurará el conjunto de cifrado de disco para que funcione.
Una notificación debería aparecer y completarse correctamente. Esto le permitirá usar el conjunto de cifrado de disco con el almacén de claves.
Vaya al disco.
Seleccione Cifrado.
En Administración de claves, seleccione una de las claves en Claves administradas por la plataforma y administradas por el cliente.
Seleccione Guardar.
Ha habilitado el cifrado doble en reposo en el disco administrado.
Cree una instancia de Azure Key Vault y la clave de cifrado.
Al crear la instancia de Key Vault, debe habilitar la eliminación temporal y la protección de purgas. La eliminación temporal garantiza que la instancia de Key Vault conserva una clave eliminada durante un período de retención determinado (valor predeterminado de 90 días). La protección frente a purga garantiza que una clave eliminada no se pueda eliminar de forma permanente hasta que transcurra el período de retención. Esta configuración le protege contra la pérdida de datos debido a la eliminación accidental. Estos valores son obligatorios cuando se usa una instancia de Key Vault para cifrar discos administrados.
subscriptionId=yourSubscriptionID
rgName=yourResourceGroupName
location=westcentralus
keyVaultName=yourKeyVaultName
keyName=yourKeyName
diskEncryptionSetName=yourDiskEncryptionSetName
diskName=yourDiskName
az account set --subscription $subscriptionId
az keyvault create -n $keyVaultName -g $rgName -l $location --enable-purge-protection true --enable-soft-delete true
az keyvault key create --vault-name $keyVaultName -n $keyName --protection software
Obtenga la dirección URL de clave de la clave que ha creado con az keyvault key show.
az keyvault key show --name $keyName --vault-name $keyVaultName
Cree un elemento DiskEncryptionSet con encryptionType establecido en EncryptionAtRestWithPlatformAndCustomerKeys. Reemplace yourKeyURL por la dirección URL que ha recibido de az keyvault key show.
Conceda al recurso DiskEncryptionSet acceso al almacén de claves.
Nota:
Azure puede tardar unos minutos en crear la identidad de DiskEncryptionSet en Microsoft Entra ID. Si recibe un error similar a "No se encuentra el objeto en Active Directory" al ejecutar el siguiente comando, espere unos minutos y vuelva a intentarlo.
desIdentity=$(az disk-encryption-set show -n $diskEncryptionSetName -g $rgName --query [identity.principalId] -o tsv)
az keyvault set-policy -n $keyVaultName -g $rgName --object-id $desIdentity --key-permissions wrapkey unwrapkey get
Cree una instancia de Azure Key Vault y la clave de cifrado.
Al crear la instancia de Key Vault, debe habilitar la eliminación temporal y la protección de purgas. La eliminación temporal garantiza que la instancia de Key Vault conserva una clave eliminada durante un período de retención determinado (valor predeterminado de 90 días). La protección frente a purga garantiza que una clave eliminada no se pueda eliminar de forma permanente hasta que transcurra el período de retención. Esta configuración le protege contra la pérdida de datos debido a la eliminación accidental. Estos valores son obligatorios cuando se usa una instancia de Key Vault para cifrar discos administrados.
Recupere la dirección URL de la clave que ha creado, ya que la necesitará para los comandos posteriores. La salida del identificador de Get-AzKeyVaultKey es la dirección URL de la clave.
Obtenga el identificador de recurso de la instancia de Key Vault que creó, ya que lo necesitará para los comandos posteriores.
Get-AzKeyVault -VaultName $keyVaultName
Cree un elemento DiskEncryptionSet con encryptionType establecido en EncryptionAtRestWithPlatformAndCustomerKeys. Reemplace yourKeyURLy yourKeyVaultURL por los valores que recuperó anteriormente.
Conceda al recurso DiskEncryptionSet acceso al almacén de claves.
Nota:
Azure puede tardar unos minutos en crear la identidad de DiskEncryptionSet en Microsoft Entra ID. Si recibe un error similar a "No se encuentra el objeto en Active Directory" al ejecutar el siguiente comando, espere unos minutos y vuelva a intentarlo.
