オフライン修復のために暗号化されたディスクのロックを解除する

[アーティクル]
07/30/2024

適用対象: ✔️ Windows VM

この記事では、別の仮想マシン (修復 VM と呼ばれます) で暗号化された OS ディスクのロックを解除し、そのディスクでオフライン修復とトラブルシューティングを有効にする方法について説明します。

現象

Windows VM の OS ディスクをオフラインで修復する場合は、次に示すように、ディスクが修復 VM に接続されているときにロックされているように見える可能性があります。この場合、ディスクで Azure Disk Encryption (ADE) が有効になります。ディスクのロックが解除されるまで、修復 VM からそのディスクに対して軽減策を実行することはできません。

ロックアイコンが付いたボリューム G を示す My P C のスクリーンショット。

背景

一部のトラブルシューティングシナリオでは、Azure で仮想ディスクのオフライン修復を実行する必要があります。たとえば、Windows VM にアクセスできない場合、ディスクエラーが表示される場合、または起動できない場合は、OS ディスクを別の修復 VM ( バックアップ VM とも呼ばれます または rescue VM) に接続して、トラブルシューティング手順を実行できます。

ただし、ディスクが ADE を使用して暗号化されている場合、ディスクのロックが解除されるまで、ディスクはロックされたままで、修復 VM に接続されている間はアクセスできなくなります。ディスクのロックを解除するには、最初に暗号化に使用されたものと同じ BitLocker 暗号化キー (BEK) を使用する必要があります。この BEK (および必要に応じて、BEK を暗号化または "ラップ" するキー暗号化キー [KEK] は、組織が管理する Azure キーコンテナーに格納されます。

目的

この記事の手順では、暗号化された OS ディスクを修復 VM に接続し、そのディスクのロックを解除するために使用できる方法について説明します。ディスクのロックが解除されたら、修復できます。最後の手順として、元の VM 上の OS ディスクを、この新しく修復されたバージョンに置き換えることができます。

準備

障害が発生した OS ディスクを修復 VM に接続する前に、次の手順を実行します。

ディスクで ADE が有効になっていることを確認します。
OS ディスクで ADE バージョン 1 (デュアルパス暗号化) と ADE バージョン 2 (シングルパス暗号化) のどちらを使用するかを判断。
OS ディスクが管理されているか管理されていないかを判断します。
ディスクを修復 VM に接続し、ディスクのロックを解除する方法を選択します。

ディスクで ADE が有効になっていることを確認する

この手順は、Azure portal、PowerShell、または Azure コマンドラインインターフェイス (Azure CLI) で実行できます。

Azure portal

Azure portal で、失敗した VM の Overview ブレードを表示します。 Diskの下に、次のスクリーンショットに示すように、Azure ディスク暗号化は Enabled または有効として表示されます。

ディスクで A D E が有効になっていることを示す Azure portal の VM の [概要] ブレードのスクリーンショット。

PowerShell

Get-AzVmDiskEncryptionStatus コマンドレットを使用して、VM の OS ボリュームまたはデータボリュームが ADE を使用して暗号化されているかどうかを判断できます。次の出力例は、OS ボリュームで ADE 暗号化が有効になっていることを示しています。

PS /home/me> Get-AzVmDiskEncryptionStatus -ResourceGroupName "MyRg01" -VMName "MyVm01" 
OsVolumeEncrypted          : Encrypted
DataVolumesEncrypted       : NoDiskFound
OsVolumeEncryptionSettings : Microsoft.Azure.Management.Compute.Models.DiskEncryptionSettings
ProgressMessage            : Extension status not available on the VM

Get-AzureRmDiskEncryptionStatus コマンドレットの詳細については、「Get-AzVMDiskEncryptionStatus (Az.Compute)を参照してください。

Azure CLI

Azure CLI で az vm encryption show コマンドを使用し、クエリ disks[].encryptionSettings[].enabled を追加して、VM のディスクで ADE が有効になっているかどうかを判断できます。次の出力は、ADE 暗号化が有効になっていることを示しています。

az vm encryption show --name MyVM --resource-group MyResourceGroup --query "disks[].encryptionSettings[].enabled"

[
  true
]

az vm encryption show コマンドの詳細については、「az vm encryption showを参照してください。

Note

暗号化されていないディスクのオフライン修復

ディスクで ADE が有効になっていないと判断した場合は、修復 VM にディスクを接続する方法の手順については、次の記事を参照してください。 Azure portal を使用して OS ディスクを復旧 VM に接続して Windows VM をトラブルシューティングする

OS ディスクが ADE バージョン 1 (デュアルパス暗号化) または ADE バージョン 2 (シングルパス暗号化) を使用しているかどうかを判断する

AZURE portal で ADE のバージョン番号を確認するには、VM のプロパティを開き、 Extensions をクリックして Extensions ブレードを開きます。 Extensions ブレードで、AzureDiskEncryptionに割り当てられているバージョン番号を表示します。バージョン番号が 1 の場合、ディスクはデュアルパス暗号化を使用します。バージョン番号が 2 以降のバージョンの場合、ディスクはシングルパス暗号化を使用します。

Azure Disk Encryption がバージョン 2 であることを示す拡張機能ブレードのスクリーンショット。

ディスクで ADE バージョン 1 (デュアルパス暗号化) を使用していると判断した場合は、「 Resolution #3: Manual method to unlock an encrypted disk on a repair VMに移動できます。

OS ディスクが管理されているか管理されていないかを判断する

OS ディスクが管理されているかアンマネージドであるかがわからない場合は、「 OS ディスクが管理されているか管理されていないか」を参照してください。

OS ディスクがアンマネージドディスクであることがわかっている場合は、「 Resolution #3: Manual method to unlock an encrypted disk on a repair VMに移動します。

ディスクを修復 VM に接続し、ディスクのロックを解除する方法を選択します

ディスクを修復 VM に接続してディスクのロックを解除するには、次の 3 つの方法のいずれかを選択する必要があります。

ディスクが ADE バージョン 2 以降 (シングルパス暗号化) を使用して管理および暗号化されていることを確認し、インフラストラクチャと会社のポリシーでパブリック IP アドレスを修復 VM に割り当てることができるようにした場合は、 Resolution #1: Automated method to unlock an encrypted disk on a repair VM。
ディスクが ADE バージョン 2 以降 (シングルパス暗号化) を使用して管理および暗号化されているのに、インフラストラクチャまたは会社のポリシーで修復 VM にパブリック IP アドレスを割り当てできない場合は、 Resolution #2: Semi-automated メソッドを使用して、修復 VM で暗号化されたディスクのロックを解除します。 (この方法を選択するもう 1 つの理由は、Azure でリソースグループを作成するアクセス許可がない場合です)。
これらの方法のいずれかが失敗した場合、またはディスクが ADE バージョン 1 (デュアルパス暗号化) を使用してアンマネージドまたは暗号化されている場合は、 Resolution #3: Manual メソッドを使用して、修復 VM で暗号化されたディスクのロックを解除します。

解決策 1: 修復 VM で暗号化されたディスクのロックを解除する自動化された方法

この方法は、 az vm repair コマンドに依存して、修復 VM を自動的に作成し、失敗した OS ディスクをアタッチし、暗号化されている場合はディスクのロックを解除します。これは、単一パスで暗号化されたマネージドディスクに対してのみ機能し、修復 VM にパブリック IP アドレスを使用する必要があります。このメソッドは、BitLocker 暗号化キー (BEK) がラップ解除されているか、キー暗号化キー (KEK) を使用してラップされているかに関係なく、暗号化されたディスクのロックを解除します。

この自動化された方法を使用して VM を修復するには、「 Azure 仮想マシン修復コマンドを使用して Windows VM を修復するを参照してください。

Note

自動トラブルシューティングが失敗した場合は、「 Resolution #2: Semi-automated method to unlock an encrypted disk on a repair VMに進みます。

解決策 2: 修復 VM で暗号化されたディスクのロックを解除する半自動化された方法

半自動化された解決により、修復 VM にパブリック IP アドレスを必要とせずに、単一パスで暗号化されたマネージドディスクのロックが解除されます。

この手順を使用して、ソース (失敗) VM の OS ディスクが接続されている VM を手動で作成します。 VM の作成時に暗号化されたディスクをアタッチすると、VM は Azure キーコンテナーから BEK を自動的にフェッチし、BEK ボリュームに格納します。その後、簡単な一連の手順を使用して BEK にアクセスし、暗号化されたディスクのロックを解除します。このプロセス中、BEK は必要に応じて自動的にラップ解除されます。

Azure portal で、ソース (失敗) VM 上の暗号化された OS ディスクのスナップショットを取得します。
そのスナップショットから disk を作成。

新しいディスクの場合は、ソース VM に割り当てられたのと同じ場所と可用性ゾーンを選択します。また、次の手順で修復 VM を作成するときに、これらの同じ設定を複製する必要があることに注意してください。
修復 VM として使用する Windows Server 2016 Datacenter に基づく VM を作成します。手順 2 で作成した新しいディスクに使用するのと同じリージョンと可用性ゾーンに VM を割り当てるようにします。
仮想マシンの作成ウィザードの Disks ページでスナップショットから作成した新しいディスクをデータディスクとしてアタッチします。

重要

VM の作成時に必ずディスクを追加してください。暗号化設定が検出されるのは、VM の作成時のみです。これにより、BEK を含むボリュームを自動的に追加できます。
修復 VM が作成されたら、VM にサインインし、ディスク管理 (Diskmgmt.msc) を開きます。ディスク管理内で、BEK ボリュームを見つけます。既定では、このボリュームにはドライブ文字は割り当てされません。
BEK ボリュームにドライブ文字を割り当てるには、BEK ボリュームを右クリックし、[ドライブ文字とパス 変更] を選択。
追加を選択して、BEK ボリュームにドライブ文字を割り当てます。このプロセスでは、既定の文字は最も頻繁に H です。[ OKを選択します。
エクスプローラーで、左側ウィンドウで [この PC を選択します。 BEK ボリュームが一覧表示されます。また、ロックアイコンでマークされているボリュームにも注意してください。これは、VM の作成時に接続した暗号化されたディスクです。 (次の例では、暗号化されたディスクにドライブ文字 G が割り当てられます)。
暗号化されたディスクのロックを解除するには、BEK ボリューム内に .bek ファイル名が必要です。ただし、既定では、BEK ボリューム内のファイルは非表示になります。コマンドプロンプトで、次のコマンドを入力して非表示のファイルを表示します。
```
dir <DRIVE LETTER ASSIGNED TO BEK VOLUME>: /a:h /b /s
```
たとえば、BEK ボリュームに割り当てられているドライブ文字が H の場合は、次のコマンドを入力します。
```
dir H: /a:h /b /s
```
次のような出力が表示されます。
```
H:\66ABF036-E331-4B67-A667-D1A8B47B4DAB.BEK
H:\System Volume Information
```
最初のエントリは BEK ファイルのパス名です。次の手順では、完全なパス名を使用します。
コマンドプロンプトで、次のコマンドを入力します。
```
manage-bde -unlock <ENCRYPTED DRIVE LETTER>: -RecoveryKey <.BEK FILE PATH>
```
たとえば、G が暗号化されたドライブで、BEK ファイルが前の例に記載されているものと同じである場合は、次のように入力します。
```
manage-bde -unlock G: -RecoveryKey H:\66ABF036-E331-4B67-A667-D1A8B47B4DAB.BEK
```
BEK ファイルで指定したボリュームのロックが正常に解除されたことを示すメッセージが表示されます。エクスプローラーでは、ドライブがロックされなくなったことがわかります。
ボリュームにアクセスできるようになったので、ログの読み取りやスクリプトの実行など、必要に応じてトラブルシューティングと軽減策を完了できます。
ディスクを修復、次の手順を使用してソース VM の OS ディスクを新しく修復されたディスクに置き換えます。

解決策 3: 修復 VM で暗号化されたディスクのロックを解除する手動の方法

デュアルパス暗号化ディスク (ADE バージョン 1) またはアンマネージドディスクのロックを解除する必要がある場合、または他の方法で障害が発生した場合は、この手順に従って、ディスクのロックを手動で解除できます。

修復 VM を作成し、ソース VM の OS ディスクを接続する

ソース VM の暗号化された OS ディスクがマネージドディスクである場合は、方法 2 の手順 1 から 4 に従って、ロックされたディスクのコピーを修復 VM に接続します。

接続された暗号化ディスクを含む新しい修復 VM を作成するプロセスがハングまたは失敗した場合 (たとえば、"暗号化設定が含まれているため、データディスクとして使用できません" というメッセージが返された場合)、暗号化されたディスクを接続せずに VM を作成できます。修復 VM が作成されたら、Azure portal を使用して暗号化されたディスクを VM に接続します。
ソース VM の暗号化された OS ディスクが非管理対象ディスクである場合は、「オフライン修復のために非管理対象ディスクを VM にアタッチする」を参照してください。

Az PowerShell モジュールを修復 VM にインストールする

オフラインで暗号化されたディスクのロックを解除する手動解決方法は、PowerShell の Az モジュールに依存します。そのため、修復 VM にこのモジュールをインストールする必要があります。

RDP 経由で修復 VM に接続します。
修復 VM のサーバーマネージャーで、ローカルサーバーを選択し、管理者IE セキュリティ強化構成をオフにします。
修復 VM で、管理者特権の PowerShell ウィンドウを開きます。
次のコマンドを入力して、現在のセッションの HTTP API セキュリティプロトコルを TLS 1.2 に設定します。
```
[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12
```
Note

現在のセッションを閉じると、セキュリティプロトコルは既定値に戻ります。
Nuget パッケージの最新バージョンをダウンロードします。
```
Install-PackageProvider -Name "Nuget" -Force
```
プロンプトが返されたら、最新バージョンの PowerShellGet パッケージをインストールします。
```
Install-Module -Name PowerShellGet -Force
```
プロンプトが返されたら、PowerShell ウィンドウを閉じます。次に、管理者特権で新しい PowerShell ウィンドウを開き、新しい PowerShell セッションを開始します。
PowerShell プロンプトで、最新バージョンの Azure Az モジュールをインストールします。
```
Install-Module -Name Az -Scope AllUsers -Repository PSGallery -Force
```

プロンプトが返されたら、Az.Account 1.9.4 パッケージをインストールします。

Install-Module -Name Az.Accounts -Scope AllUsers -RequiredVersion "1.9.4" -Repository PSGallery -Force

BEK ファイル名を取得する

Azure portal で、ソース VM の暗号化に使用されたキーコンテナーに移動します。キーコンテナーの名前がわからない場合は、Azure Cloud Shell のプロンプトで次のコマンドを入力し、出力で "sourceVault" の横にある値を探します。
```
az vm encryption show --name MyVM --resource-group MyResourceGroup
```
左側のメニューで、[ アクセスポリシーを選択します。
キーコンテナーのアクセスポリシーで、Azure サブスクリプションへのサインインに使用するユーザーアカウントに、 Key Management Operations: Get、List、Update、Create Cryptographic Operations: Unwrap key Secret Permissions: Get、List、Set のアクセス許可が付与されていることを確認します。
修復 VM と管理者特権の PowerShell ウィンドウに戻ります。
次のコマンドを入力して、現在のセッションの HTTP API セキュリティプロトコルを TLS 1.2 に設定します。
```
[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12
```
次のコマンドを入力して、Azure サブスクリプションにサインインするプロセスを開始します。"[SubscriptionID]" を Azure サブスクリプション ID に置き換えます。
```
Add-AzAccount -SubscriptionID <SubscriptionID>
```
プロンプトに従って、Azure サブスクリプションにサインインするプロセスを完了します。
修復 VM で、管理者特権の Windows PowerShell ISE ウィンドウを開き、スクリプト (上部) ウィンドウを展開します。

管理者特権の PowerShell ISE ウィンドウで、次のスクリプトを空のスクリプトウィンドウに貼り付けます。 "myVM" をソース (失敗) VM に置き換え、"myKeyVault" をキーコンテナーの名前に置き換えます。

    if ((Get-AzContext) -ne $Null)
{

$vmName = "MyVM"
$vault = "myKeyVault"

# Get the Secrets for all VM Drives from Azure Key Vault
Get-AzKeyVaultSecret -VaultName $vault | where {($_.Tags.MachineName -eq $vmName) -and ($_.ContentType -match 'BEK')} `
    | Sort-Object -Property Created `
    | ft  Created, `
        @{Label="Content Type";Expression={$_.ContentType}}, `
        @{Label ="Volume"; Expression = {$_.Tags.VolumeLetter}}, `
        @{Label ="DiskEncryptionKeyFileName"; Expression = {$_.Tags.DiskEncryptionKeyFileName}}, `
        @{Label ="URL"; Expression = {$_.Id}}
}
else 
{
    Write-Output "Please log in first with Add-AzAccount"
}

スクリプトの実行を選択してスクリプトを実行します。
出力で、BEK ファイルの名前 DiskEncryptionKeyFileName の下にある値を探します。

次の出力例では、BEK ファイル名 (シークレット名 + ".BEK" ファイル拡張子) は AB4FE364-4E51-4034-8E09-0087C3D51C18 です。BEK。この値は次の手順で使用されるため、この値を記録します。 (重複したボリュームが 2 つある場合、新しいタイムスタンプを持つボリュームは、修復 VM で使用されている現在の BEK ファイルです)。
出力の Content Type 値が Wrapped BEK の場合は、ダウンロードに移動し、BEK をラップ解除します。次の例のように、出力の Content Type 値が単に BEK の場合は、次のセクションに進み、次のセクションに進み、BEK を修復 VM にダウンロードします。

修復 VM に BEK をダウンロードする

修復 VM で、C ボリュームのルートに "BEK" という名前のフォルダー (引用符なし) を作成します。

次のサンプルスクリプトをコピーして、空の PowerShell ISE スクリプトウィンドウに貼り付けます。

Note

"$vault" と "$bek" の値を実際の環境の値に置き換えます。 $bek値には、最後の手順で取得したシークレット名を使用します。 (シークレット名は、".bek" ファイル名拡張子のない BEK ファイル名です)。

$vault = "myKeyVault"
$bek = "EF7B2F5A-50C6-4637-0001-7F599C12F85C"
$keyVaultSecret = Get-AzKeyVaultSecret -VaultName $vault -Name $bek
$bstr = [Runtime.InteropServices.Marshal]::SecureStringToBSTR($keyVaultSecret.SecretValue)
$bekSecretBase64 = [Runtime.InteropServices.Marshal]::PtrToStringAuto($bstr)
$bekFileBytes = [Convert]::FromBase64String($bekSecretbase64)
$path = "C:\BEK\DiskEncryptionKeyFileName.BEK"
[System.IO.File]::WriteAllBytes($path,$bekFileBytes)

PowerShell ISE ウィンドウで、 スクリプトの実行を選択します。スクリプトが正常に実行された場合、出力または完了メッセージは表示されません。ただし、 C:\BEK フォルダーに新しいファイルが作成されます。 ( C:\BEK フォルダーが既に存在している必要があります)。
スクリプトが正常に完了したことを確認します。

BEK をダウンロードしてラップを解除する

修復 VM で、C ボリュームのルートに "BEK" という名前のフォルダー (引用符なし) を作成します。
メモ帳に次の値を記録します。スクリプトの実行時に指定するように求められます。
- secretUrl。これは、キーコンテナーに格納されているシークレットの URL です。有効なシークレット URL は、次の形式を使用します: <<https://[key> コンテナー名].vault.azure.net/secrets/[BEK Name]/[バージョン ID]>
  
  Azure portal でこの値を見つけるには、キーコンテナーの Secrets ブレードに移動します。前の手順で決定した BEK 名を選択 BEK ファイル名を取得します。現在のバージョン識別子を選択し、以下のシークレット識別子 URL Propertiesを読み取ります。 (この URL はクリップボードにコピーできます)。
- keyVaultResourceGroup。キーコンテナーのリソースグループ。
- kekUrl。これは、BEK を保護するために使用されるキーの URL です。有効な kek URL は、次の形式を使用します: <<https://[key> コンテナー名].vault.azure.net/keys/[キー名]/[バージョン ID]>
  
  Azure portal でこの値を取得するには、キーコンテナーの Keys ブレードに移動し、KEK として使用されているキーの名前を選択し、現在のバージョン識別子を選択してから、Properties の下にある Key 識別子 URLを読み取ります。 (この URL はクリップボードにコピーできます)。
- secretFilePath。これは、BEK ファイルを格納する場所の完全なパス名です。たとえば、BEK ファイル名が AB4FE364-4E51-4034-8E06-0087C3D51C18 の場合です。BEK、 C:\BEK\AB4FE364-4E51-4034-8E06-0087C3D51C18 と入力できます。BEK. ( C:\BEK フォルダーが既に存在している必要があります。
次のページ移動して暗号化されたディスクのロックを解除するための BEK ファイルの生成に使用するスクリプトをダウンロードします。
ページで [ Raw を選択します。
スクリプトの内容をコピーし、修復 VM の管理者特権の PowerShell ISE ウィンドウの空のスクリプトウィンドウに貼り付けます。
スクリプトの実行を選択します。
メッセージが表示されたら、スクリプトを実行する前に記録した値を指定します。信頼されていないリポジトリメッセージが表示されたら、 Yes to All を選択します。スクリプトが正常に実行されると、 C:\BEK フォルダーに新しいファイルが作成されます。 (このフォルダーは既に存在している必要があります)。

スクリプトが正常に実行されたことを確認する

ローカルコンピューターの C:\BEK フォルダーに移動し、新しい出力ファイルを見つけます。
メモ帳でファイルを開きます。スクリプトが正常に実行された場合は、右にスクロールすると、ファイルの一番上の行に BitLocker 拡張キー保護機能 という語句が表示されます。

接続されているディスクのロックを解除する

これで、暗号化されたディスクのロックを解除する準備ができました。

修復 VM では、ディスク管理で、接続されている暗号化されたディスクがまだオンラインでない場合はオンラインになります。 BitLocker で暗号化されたボリュームのドライブ文字をメモします。
コマンドプロンプトで、次のコマンドを入力します。

Note

このコマンドでは、"<ENCRYPTED DRIVE LETTER>" を暗号化ボリュームの文字と "<" に置き換えます。C:\BEK フォルダー内の新しく作成された BEK ファイルへの完全なパスを含む BEK FILE PATH>" です。
```
manage-bde -unlock <ENCRYPTED DRIVE LETTER>: -RecoveryKey <.BEK FILE PATH>
```
たとえば、暗号化されたドライブが F で、BEK ファイル名が "DiskEncryptionKeyFileName.BEK" の場合は、次のコマンドを実行します。
```
manage-bde -unlock F: -RecoveryKey C:\BEK\DiskEncryptionKeyFileName.BEK
```
暗号化されたドライブが F で、BEK ファイル名が "EF7B2F5A-50C6-4637-9F13-7F599C12F85C" の場合。BEK"。次のコマンドを実行します。
```
manage-bde -unlock F: -RecoveryKey C:\BEK\EF7B2F5A-50C6-4637-9F13-7F599C12F85C.BEK
```
次の例のような出力が表示されます。
```
The file "C:\BEK\0D44E996-4BF3-4EB0-B990-C43C250614A4.BEK" successfully unlocked volume F:.
```
ボリュームにアクセスできるようになったので、ログの読み取りやスクリプトの実行など、必要に応じてトラブルシューティングと軽減を行うことができます。

重要

ロック解除プロセスではディスクにアクセスできますが、 ディスクの暗号化は解除されません。ディスクのロックを解除しても、ディスクは暗号化されたままになります。ディスクの暗号化を解除する必要がある場合は、コマンド manage-bde <volume> -off を使用して復号化プロセスを開始し、 manage-bde <drive> -status を使用して復号化の進行状況を確認します。
修復が完了し、ディスクが管理されている場合は、ソース VM の OS ディスク (マネージドディスク) を置き換えるに進むことができます。代わりにディスクが管理されていない場合は、次で説明する CLI ベースの手順を使用できます。ソース VM 上に OS ディスクを置き換える

ソース VM の OS ディスク (マネージドディスク) を交換する

ディスクを修復した後、Azure portal で修復 VM の [ディスク] ブレードを開きます。ソース VMOS ディスクのコピーをデタッチします。これを行うには、[データディスク] で関連するディスク名の行を見つけ、その行の右側にある [X] を選択して、[保存] を選択します。
Azure portal で、ソース (破損した) VM に移動し、 Disks ブレードを開きます。次に、 Swap OS ディスク を選択して、既存の OS ディスクを修復したディスクに置き換えます。
修復した新しいディスクを選択し、VM の名前を入力して変更を確認します。そのディスクがリストに表示されない場合は、トラブルシューティング用 VM からディスクをデタッチしてから 10 分から 15 分待ちます。
[OK] を選択します。

次のステップ

VM への接続の問題が発生した場合は、Azure VM へのリモートデスクトップ接続のトラブルシューティングに関する記事をご覧ください。 VM で実行されているアプリケーションへのアクセスに関する問題については、Windows VM でのアプリケーションの接続の問題のトラブルシューティングに関する記事をご覧ください。

お問い合わせはこちらから

質問がある場合やヘルプが必要な場合は、サポート要求を作成するか、Azure コミュニティサポートにお問い合わせください。 Azure フィードバックコミュニティに製品フィードバックを送信することもできます。

次の方法で共有

オフライン修復のために暗号化されたディスクのロックを解除する

現象

背景

目的

準備

ディスクで ADE が有効になっていることを確認する

Azure portal

PowerShell

Azure CLI

OS ディスクが ADE バージョン 1 (デュアルパス暗号化) または ADE バージョン 2 (シングルパス暗号化) を使用しているかどうかを判断する

OS ディスクが管理されているか管理されていないかを判断する

ディスクを修復 VM に接続し、ディスクのロックを解除する方法を選択します

解決策 1: 修復 VM で暗号化されたディスクのロックを解除する自動化された方法

解決策 2: 修復 VM で暗号化されたディスクのロックを解除する半自動化された方法

解決策 3: 修復 VM で暗号化されたディスクのロックを解除する手動の方法

修復 VM を作成し、ソース VM の OS ディスクを接続する

Az PowerShell モジュールを修復 VM にインストールする

BEK ファイル名を取得する

修復 VM に BEK をダウンロードする

BEK をダウンロードしてラップを解除する

スクリプトが正常に実行されたことを確認する

接続されているディスクのロックを解除する

ソース VM の OS ディスク (マネージドディスク) を交換する

次のステップ

お問い合わせはこちらから

フィードバック

その他のリソース

次の方法で共有

オフライン修復のために暗号化されたディスクのロックを解除する

現象

背景

目的

準備

ディスクで ADE が有効になっていることを確認する

Azure portal

PowerShell

Azure CLI

OS ディスクが ADE バージョン 1 (デュアルパス暗号化) または ADE バージョン 2 (シングルパス暗号化) を使用しているかどうかを判断する

OS ディスクが管理されているか管理されていないかを判断する

ディスクを修復 VM に接続し、ディスクのロックを解除する方法を選択します

解決策 1: 修復 VM で暗号化されたディスクのロックを解除する自動化された方法

解決策 2: 修復 VM で暗号化されたディスクのロックを解除する半自動化された方法

解決策 3: 修復 VM で暗号化されたディスクのロックを解除する手動の方法

修復 VM を作成し、ソース VM の OS ディスクを接続する

Az PowerShell モジュールを修復 VM にインストールする

BEK ファイル名を取得する

修復 VM に BEK をダウンロードする

BEK をダウンロードしてラップを解除する

スクリプトが正常に実行されたことを確認する

接続されているディスクのロックを解除する

ソース VM の OS ディスク (マネージド ディスク) を交換する

次のステップ

お問い合わせはこちらから

フィードバック

その他のリソース

ソース VM の OS ディスク (マネージドディスク) を交換する