Przenoszenie zaszyfrowanych maszyn wirtualnych platformy Azure między regionami
Usługa Azure Resource Mover ułatwia przenoszenie zasobów platformy Azure między regionami świadczenia usługi Azure. W tym artykule omówiono sposób przenoszenia zaszyfrowanych maszyn wirtualnych platformy Azure do innego regionu świadczenia usługi Azure przy użyciu usługi Azure Resource Mover.
Zaszyfrowane maszyny wirtualne można opisać jako:
- Maszyny wirtualne, które mają dyski z włączoną usługą Azure Disk Encryption. Aby uzyskać więcej informacji, zobacz Tworzenie i szyfrowanie maszyny wirtualnej z systemem Windows przy użyciu witryny Azure Portal.
- Maszyny wirtualne korzystające z kluczy zarządzanych przez klienta (CMK) do szyfrowania magazynowanych lub szyfrowania po stronie serwera. Aby uzyskać więcej informacji, zobacz Używanie witryny Azure Portal do włączania szyfrowania po stronie serwera przy użyciu kluczy zarządzanych przez klienta dla dysków zarządzanych.
Z tego samouczka dowiesz się, jak wykonywać następujące czynności:
- Przenieś zaszyfrowane maszyny wirtualne platformy Azure i ich zasoby zależne do innego regionu świadczenia usługi Azure.
Uwaga
W samouczkach przedstawiono najszybszą ścieżkę do wypróbowanego scenariusza i użyj opcji domyślnych, jeśli to możliwe.
Logowanie się do platformy Azure
Jeśli nie masz subskrypcji platformy Azure, przed rozpoczęciem i zaloguj się do witryny Azure Portal utwórz bezpłatne konto.
Wymagania wstępne
Przed rozpoczęciem sprawdź następujące kwestie:
| Wymaganie | Szczegóły |
|---|---|
| Uprawnienia subskrypcji | Upewnij się, że masz dostęp właściciela do subskrypcji zawierającej zasoby, które chcesz przenieść. Dlaczego potrzebuję dostępu właściciela? Przy pierwszym dodaniu zasobu dla określonej pary źródłowej i docelowej w subskrypcji platformy Azure usługa Resource Mover tworzy tożsamość zarządzaną przypisaną przez system, wcześniej znaną jako tożsamość usługi zarządzanej (MSI). Ta tożsamość jest zaufana przez subskrypcję. Przed utworzeniem tożsamości i przypisaniem jej wymaganych ról (administrator dostępu współautora i użytkownika w subskrypcji źródłowej) konto używane do dodawania zasobów wymaga uprawnień właściciela w subskrypcji. Aby uzyskać więcej informacji, zobacz Role platformy Azure, Role firmy Microsoft Entra i klasyczne role administratora subskrypcji. |
| Obsługa maszyn wirtualnych | Upewnij się, że maszyny wirtualne, które chcesz przenieść, są obsługiwane, wykonując następujące czynności: |
| Wymagania dotyczące magazynu kluczy (Azure Disk Encryption) | Jeśli masz włączoną usługę Azure Disk Encryption dla maszyn wirtualnych, musisz mieć magazyn kluczy zarówno w regionach źródłowych, jak i docelowych. Aby uzyskać więcej informacji, zobacz Tworzenie magazynu kluczy. W przypadku magazynów kluczy w regionach źródłowych i docelowych wymagane są następujące uprawnienia: |
| Zestaw szyfrowania dysków (szyfrowanie po stronie serwera za pomocą klucza zarządzanego przez klienta) | Jeśli używasz maszyn wirtualnych z szyfrowaniem po stronie serwera, które używa klucza cmK, wymagane jest szyfrowanie dysku w regionach źródłowych i docelowych. Aby uzyskać więcej informacji, zobacz Tworzenie zestawu szyfrowania dysku. Przenoszenie między regionami nie jest obsługiwane, jeśli używasz sprzętowego modułu zabezpieczeń (kluczy HSM) dla kluczy zarządzanych przez klienta. |
| Przydział regionu docelowego | Subskrypcja wymaga wystarczającego limitu przydziału, aby utworzyć zasoby przenoszone w regionie docelowym. Jeśli nie ma limitu przydziału, zażądaj dodatkowych limitów. |
| Opłaty za region docelowy | Sprawdź ceny i opłaty skojarzone z regionem docelowym, do którego przenosisz maszyny wirtualne. Użyj kalkulatora cen. |
Weryfikowanie uprawnień w magazynie kluczy
Jeśli przenosisz maszyny wirtualne z włączoną usługą Azure Disk Encryption, musisz uruchomić skrypt. Użytkownicy wykonujący skrypt powinni mieć odpowiednie uprawnienia, aby to zrobić. Aby dowiedzieć się, które uprawnienia są wymagane, zapoznaj się z poniższą tabelą. Opcje zmiany uprawnień można znaleźć, przechodząc do magazynu kluczy w witrynie Azure Portal. W obszarze Ustawienia wybierz pozycję Zasady dostępu.
Jeśli uprawnienia użytkownika nie są dostępne, wybierz pozycję Dodaj zasady dostępu i określ uprawnienia. Jeśli konto użytkownika ma już zasady w obszarze Użytkownik, ustaw uprawnienia zgodnie z instrukcjami w poniższej tabeli.
Maszyny wirtualne platformy Azure korzystające z usługi Azure Disk Encryption mogą mieć następujące odmiany i należy ustawić uprawnienia zgodnie z odpowiednimi składnikami. Maszyny wirtualne mogą mieć:
- Domyślna opcja, w której dysk jest szyfrowany tylko przy użyciu wpisów tajnych.
- Dodano zabezpieczenia korzystające z klucza szyfrowania kluczy (KEK).
Magazyn kluczy regionu źródłowego
W przypadku użytkowników, którzy wykonują skrypt, ustaw uprawnienia dla następujących składników:
| Składnik | Wymagane uprawnienia |
|---|---|
| Wpisy tajne | Pobierz Wybierz pozycję Tajne uprawnienia>Operacje zarządzania wpisami tajnymi i wybierz pozycję Pobierz. |
| Klucze Jeśli używasz klucza KEK, oprócz uprawnień do wpisów tajnych wymagane są te uprawnienia. |
Pobieranie i odszyfrowywanie Wybierz pozycję Operacje zarządzania kluczami uprawnień>klucza, a następnie wybierz pozycję Pobierz. W obszarze Operacje kryptograficzne wybierz pozycję Odszyfruj. |
Magazyn kluczy regionu docelowego
Na karcie Zasady dostępu upewnij się, że usługa Azure Disk Encryption dla szyfrowania woluminów jest włączona.
W przypadku użytkowników, którzy wykonują skrypt, ustaw uprawnienia dla następujących składników:
| Składnik | Wymagane uprawnienia |
|---|---|
| Wpisy tajne | Zestaw Wybierz pozycję Tajne uprawnienia>Operacje zarządzania wpisami tajnymi i wybierz pozycję Ustaw. |
| Klucze Jeśli używasz klucza KEK, oprócz uprawnień do wpisów tajnych wymagane są te uprawnienia. |
Pobieranie, tworzenie i szyfrowanie Wybierz pozycję Kluczowe uprawnienia>Operacje zarządzania kluczami, a następnie wybierz pozycję Pobierz i utwórz. W obszarze Operacje kryptograficzne wybierz pozycję Szyfruj. |
Oprócz powyższych uprawnień w docelowym magazynie kluczy należy dodać uprawnienia dla tożsamości systemu zarządzanego używanej przez usługę Resource Mover w celu uzyskania dostępu do zasobów platformy Azure w Twoim imieniu.
Dodawanie uprawnień do tożsamości zarządzanego systemu
Aby dodać uprawnienia tożsamości systemu zarządzanego (MSI), wykonaj następujące kroki:
W obszarze Ustawienia wybierz pozycję Dodaj zasady dostępu.
W obszarze Wybierz podmiot zabezpieczeń wyszukaj tożsamość usługi zarządzanej. Nazwa tożsamości usługi zarządzanej to
movecollection-<sourceregion>-<target-region>-<metadata-region>.W przypadku tożsamości usługi zarządzanej dodaj następujące uprawnienia:
Składnik Wymagane uprawnienia Wpisy tajne Pobieranie i wyświetlanie listy
Wybierz pozycję Tajne uprawnienia>Operacje zarządzania wpisami tajnymi, a następnie wybierz pozycję Pobierz i wyświetl.Klucze
Jeśli używasz klucza KEK, oprócz uprawnień do wpisów tajnych wymagane są te uprawnienia.Pobieranie i wyświetlanie listy
Wybierz pozycję Operacje zarządzania kluczami uprawnień>klucza, a następnie wybierz pozycję Pobierz i wyświetl listę.
Kopiowanie kluczy do docelowego magazynu kluczy
Skopiuj wpisy tajne i klucze szyfrowania ze źródłowego magazynu kluczy do docelowego magazynu kluczy przy użyciu podanego skryptu.
Aby skopiować klucze ze źródłowego magazynu kluczy do docelowego magazynu kluczy, wykonaj następujące kroki:
- Uruchom skrypt w programie PowerShell. Zalecamy używanie najnowszej wersji programu PowerShell.
- W szczególności skrypt wymaga następujących modułów:
- Az.Compute
- Az.KeyVault (wersja 3.0.0)
- Az.Accounts (wersja 2.2.3)
Aby uruchomić skrypt, wykonaj następujące czynności:
Otwórz skrypt w usłudze GitHub.
Skopiuj zawartość skryptu do pliku lokalnego i nadaj mu nazwę Copy-keys.ps1.
Uruchom skrypt.
Zaloguj się w witrynie Azure Portal.
W oknie Dane wejściowe użytkownika wybierz subskrypcję źródłową, grupę zasobów, źródłową maszynę wirtualną, lokalizację docelową i magazyny docelowe na potrzeby szyfrowania dysków i kluczy.
Użyj przycisku Wybierz, aby uruchomić skrypt.
Po zakończeniu działania skryptu zostanie wyświetlony komunikat z powiadomieniem, że klucz kopiowania zakończył się pomyślnie.
Przygotowywanie maszyn wirtualnych
Aby przygotować maszyny wirtualne do przeniesienia, wykonaj następujące kroki:
- Po sprawdzeniu, czy maszyny wirtualne spełniają wymagania wstępne, upewnij się, że maszyny wirtualne, które chcesz przenieść, są włączone. Wszystkie dyski maszyn wirtualnych, które mają być dostępne w regionie docelowym, muszą być dołączone i zainicjowane na maszynie wirtualnej.
- Aby upewnić się, że maszyny wirtualne mają najnowsze zaufane certyfikaty główne i zaktualizowaną listę odwołania certyfikatów (CRL), wykonaj następujące czynności:
- Na maszynach wirtualnych z systemem Windows zainstaluj najnowsze aktualizacje systemu Windows.
- Na maszynach wirtualnych z systemem Linux postępuj zgodnie ze wskazówkami dotyczącymi dystrybutora, aby maszyny miały najnowsze certyfikaty i listę CRL.
- Aby zezwolić na łączność wychodzącą z maszyn wirtualnych, wykonaj jedną z następujących czynności:
- Jeśli używasz serwera proxy zapory opartego na adresach URL do kontrolowania łączności wychodzącej, zezwól na dostęp do adresów URL.
- Jeśli używasz reguł sieciowej grupy zabezpieczeń do kontrolowania łączności wychodzącej, utwórz te reguły tagów usługi.
Wybierz zasoby do przeniesienia
Możesz wybrać dowolny obsługiwany typ zasobu w dowolnej z wybranych grup zasobów w wybranym regionie źródłowym. Zasoby można przenieść do regionu docelowego, który znajduje się w tej samej subskrypcji co region źródłowy. Jeśli chcesz zmienić subskrypcję, możesz to zrobić po przeniesieniu zasobów.
Aby wybrać zasoby, wykonaj następujące czynności:
W witrynie Azure Portal wyszukaj pozycję mover zasobów. W obszarze Usługi wybierz pozycję Azure Resource Mover.
W okienku Przegląd usługi Azure Resource Mover wybierz pozycję Przenieś między regionami.
Na karcie Przenoszenie zasobów>Źródło i lokalizacja docelowa wykonaj następujące czynności:
- Wybierz subskrypcję źródłową i region.
- W obszarze Miejsce docelowe wybierz region, w którym chcesz przenieść maszyny wirtualne, wybierz pozycję Dalej.
Na karcie Zasoby do przeniesienia wybierz opcję Wybierz zasoby, aby otworzyć nową kartę z dostępną maszyną wirtualną.
Na karcie Wybierz zasoby wybierz maszyny wirtualne, które chcesz przenieść. Jak wspomniano w sekcji Wybieranie zasobów do przeniesienia , można dodawać tylko zasoby obsługiwane dla przeniesienia.
Uwaga
W tym samouczku wybierasz maszynę wirtualną korzystającą z szyfrowania po stronie serwera (rayne-vm) z kluczem zarządzanym przez klienta oraz maszyną wirtualną z włączonym szyfrowaniem dysku (rayne-vm-ade).
Wybierz pozycję Gotowe.
Wybierz kartę Zasoby do przeniesienia , a następnie wybierz pozycję Dalej.
Wybierz kartę Przegląd i sprawdź ustawienia źródła i miejsca docelowego.
Wybierz pozycję Kontynuuj , aby rozpocząć dodawanie zasobów.
Wybierz ikonę powiadomień, aby śledzić postęp. Po pomyślnym zakończeniu procesu w okienku Powiadomienia wybierz pozycję Dodano zasoby do przeniesienia.
Po wybraniu powiadomienia przejrzyj zasoby na stronie Między regionami .
Uwaga
- Dodane zasoby są umieszczane w stanie Oczekiwanie na przygotowanie.
- Grupa zasobów dla maszyn wirtualnych jest dodawana automatycznie.
- Jeśli zmodyfikujesz wpisy konfiguracji Docelowej, aby użyć zasobu, który już istnieje w regionie docelowym, stan zasobu zostanie ustawiony na Zatwierdzenie oczekujące, ponieważ nie musisz inicjować przeniesienia.
- Jeśli chcesz usunąć dodany zasób, metoda, której użyjesz, zależy od tego, gdzie jesteś w procesie przenoszenia. Aby uzyskać więcej informacji, zobacz Zarządzanie kolekcjami przenoszenia i grupami zasobów.
Rozwiązywanie problemów z zależnościami
Aby rozwiązać problemy z zależnościami przed przeniesieniem, wykonaj następujące kroki:
Zależności są weryfikowane w tle po ich dodaniu. Jeśli zostanie wyświetlony przycisk Weryfikuj zależności , wybierz go, aby wyzwolić ręczną walidację.
Rozpoczyna się proces weryfikacji.
Jeśli zależności zostaną znalezione, wybierz pozycję Dodaj zależności.
W okienku Dodawanie zależności zachowaj domyślną opcję Pokaż wszystkie zależności .
- Pokaż wszystkie zależności iterują wszystkie zależności bezpośrednio i pośrednie dla zasobu. Na przykład w przypadku maszyny wirtualnej jest wyświetlana karta sieciowa, sieć wirtualna, sieciowe grupy zabezpieczeń itd.
- Pokaż zależności pierwszego poziomu tylko pokazuje tylko bezpośrednie zależności. Na przykład dla maszyny wirtualnej jest wyświetlana karta sieciowa, ale nie sieć wirtualna.
Wybierz zasoby zależne, które chcesz dodać, i wybierz pozycję Dodaj zależności.
Zależności są automatycznie weryfikowane w tle po dodaniu. Jeśli zostanie wyświetlona opcja Weryfikuj zależności , wybierz ją, aby wyzwolić ręczną walidację.
Przypisywanie zasobów docelowych
Należy ręcznie przypisać zasoby docelowe skojarzone z szyfrowaniem.
Jeśli przenosisz maszynę wirtualną z włączoną usługą Azure Disk Encryption, magazyn kluczy w regionie docelowym jest wyświetlany jako zależność. Jeśli przenosisz maszynę wirtualną z szyfrowaniem po stronie serwera, które używa cmKs, szyfrowanie dysku ustawione w regionie docelowym jest wyświetlane jako zależność.
Ponieważ w tym samouczku przedstawiono przenoszenie maszyny wirtualnej z włączoną usługą Azure Disk Encryption i korzystającą z klucza zarządzanego przez klienta, zarówno docelowy magazyn kluczy, jak i konfiguracja szyfrowania dysków są wyświetlane jako zależności.
Aby ręcznie przypisać zasoby docelowe, wykonaj następujące czynności:
We wpisie zestawu szyfrowania dysku wybierz pozycję Zasób, który nie został przypisany w kolumnie Konfiguracja docelowa.
W obszarze Ustawienia konfiguracji wybierz zestaw szyfrowania dysku docelowego, a następnie wybierz pozycję Zapisz zmiany.
Możesz zapisywać i weryfikować zależności dla modyfikowanych zasobów lub zapisywać tylko zmiany i weryfikować wszystko, co modyfikujesz w tym samym czasie.
Po dodaniu zasobu docelowego stan zestawu szyfrowania dysku zostanie zmieniony na Commit move pending (Zatwierdzanie przeniesienia oczekujące).
We wpisie magazynu kluczy wybierz pozycję Zasób, który nie został przypisany w kolumnie Konfiguracja docelowa. W obszarze Ustawienia konfiguracji wybierz docelowy magazyn kluczy i zapisz zmiany.
Na tym etapie zestaw szyfrowania dysku i stan magazynu kluczy są zmieniane na Zatwierdzanie przeniesienia oczekujące.
Aby zatwierdzić i zakończyć proces przenoszenia zasobów szyfrowania, wykonaj następujące czynności:
- W obszarze Między regionami wybierz zasób (zestaw szyfrowania dysku lub magazyn kluczy), a następnie wybierz pozycję Zatwierdź przenoszenie.
- W obszarze Przenoszenie zasobów wybierz pozycję Zatwierdź.
Uwaga
Po zatwierdzeniu przeniesienia stan zasobu zmieni się na Usuń źródło oczekujące.
Przygotowywanie zasobów do przeniesienia
Teraz, gdy zasoby szyfrowania i źródłowa grupa zasobów zostaną przeniesione, możesz przygotować się do przeniesienia innych zasobów, których bieżący stan to Przygotowanie oczekujące.
W okienku Między regionami zweryfikuj ponownie przenoszenie i rozwiąż wszelkie problemy.
Jeśli chcesz edytować ustawienia docelowe przed rozpoczęciem przenoszenia, wybierz link w kolumnie Konfiguracja docelowa zasobu i edytuj ustawienia. W przypadku edytowania ustawień docelowej maszyny wirtualnej docelowy rozmiar maszyny wirtualnej nie powinien być mniejszy niż rozmiar źródłowej maszyny wirtualnej.
W przypadku zasobów ze stanem Przygotuj oczekujące , który chcesz przenieść, wybierz pozycję Przygotuj.
W okienku Przygotowywanie zasobów wybierz pozycję Przygotuj.
- Podczas przygotowywania agent mobilności usługi Azure Site Recovery jest instalowany na maszynach wirtualnych w celu ich replikowania.
- Dane maszyny wirtualnej są okresowo replikowane do regionu docelowego. Nie ma to wpływu na źródłową maszynę wirtualną.
- Usługa Resource Move generuje szablony usługi ARM dla innych zasobów źródłowych.
Uwaga
Po przygotowaniu zasobów ich stan zmieni się na Inicjuj oczekujące przeniesienie.
Inicjowanie przeniesienia
Po przygotowaniu przygotowanych zasobów możesz zainicjować przeniesienie.
W okienku Między regionami wybierz zasoby, których stan to Inicjowanie przenoszenia oczekujące, a następnie wybierz pozycję Zainicjuj przenoszenie.
W okienku Przenoszenie zasobów wybierz pozycję Zainicjuj przenoszenie.
Śledź postęp przenoszenia na pasku powiadomień.
- W przypadku maszyn wirtualnych maszyny wirtualne repliki są tworzone w regionie docelowym. Źródłowa maszyna wirtualna jest zamykana i występuje pewien przestój (zazwyczaj minuty).
- Zasób Mover ponownie tworzy inne zasoby przy użyciu przygotowanych szablonów usługi ARM. Zwykle nie ma przestoju.
- Po przeniesieniu zasobów ich stan zmieni się na Zatwierdzenie przeniesienia oczekujące.
Odrzuć lub zatwierdź przeniesienie
Po początkowym przeniesieniu możesz zdecydować, czy zatwierdzić przeniesienie, czy go odrzucić.
- Odrzuć: możesz odrzucić przeniesienie, jeśli testujesz go i nie chcesz rzeczywiście przenosić zasobu źródłowego. Odrzucenie przeniesienia zwraca zasób do inicjowania stanu oczekiwania na przeniesienie.
- Zatwierdzenie: zatwierdzenie kończy przenoszenie do regionu docelowego. Po zatwierdzeniu zasobu źródłowego jego stan zmieni się na Usuń źródło oczekujące i możesz zdecydować, czy chcesz go usunąć.
Odrzuć przeniesienie
Aby odrzucić przeniesienie, wykonaj następujące czynności:
- W okienku Między regionami wybierz zasoby, których stan to Zatwierdzenie przeniesienia oczekujące, a następnie wybierz pozycję Odrzuć przenieś.
- W okienku Odrzuć przenoszenie wybierz pozycję Odrzuć.
- Śledź postęp przenoszenia na pasku powiadomień.
Uwaga
Po odrzuceniu zasobów stan maszyny wirtualnej zmieni się na Inicjuj oczekujące przeniesienie.
Zatwierdzanie przeniesienia
Aby ukończyć proces przenoszenia, należy zatwierdzić przeniesienie, wykonując następujące czynności:
W okienku Między regionami wybierz zasoby, których stan to Zatwierdzanie przenoszenia oczekujące, a następnie wybierz pozycję Zatwierdź przeniesienie.
W okienku Zatwierdź zasoby wybierz pozycję Zatwierdź.
Śledź postęp zatwierdzania na pasku powiadomień.
Uwaga
- Po zatwierdzeniu przeniesienia maszyny wirtualne przestają replikować. Na źródłową maszynę wirtualną nie ma wpływu zatwierdzenie.
- Proces zatwierdzania nie ma wpływu na zasoby sieci źródłowej.
- Po zatwierdzeniu przeniesienia stan zasobu zmieni się na Usuń źródło oczekujące.
Konfigurowanie ustawień po przeniesieniu
Następujące ustawienia można skonfigurować po zakończeniu procesu przenoszenia:
- Usługa mobilności nie zostanie automatycznie odinstalowana z maszyn wirtualnych. Odinstaluj go ręcznie lub pozostaw go, jeśli planujesz ponownie przenieść serwer.
- Zmodyfikuj reguły kontroli dostępu opartej na rolach (RBAC) platformy Azure po przeniesieniu.
Usuwanie zasobów źródłowych po zatwierdzeniu
Po przeniesieniu możesz opcjonalnie usunąć zasoby w regionie źródłowym.
- W okienku Między regionami wybierz każdy zasób źródłowy, który chcesz usunąć, a następnie wybierz pozycję Usuń źródło.
- W obszarze Usuń źródło sprawdź, co zamierzasz usunąć, a następnie w polu Potwierdź usunięcie wpisz tak.
Uwaga
Akcja jest nieodwracalna, więc dokładnie sprawdź!
- Po wpisaniu pozycji Tak wybierz pozycję Usuń źródło.
Uwaga
W portalu przenoszenia zasobów nie można usuwać grup zasobów, magazynów kluczy ani wystąpień programu SQL Server. Należy usunąć poszczególne każdą z nich z poziomu strony właściwości dla każdego zasobu.
Usuwanie zasobów utworzonych na potrzeby przenoszenia
Po przeniesieniu możesz ręcznie usunąć kolekcję przenoszenia i zasoby usługi Site Recovery utworzone podczas tego procesu.
- Kolekcja przenoszenia jest domyślnie ukryta. Aby go zobaczyć, należy włączyć ukryte zasoby.
- Magazyn pamięci podręcznej ma blokadę, którą należy usunąć przed usunięciem.
Aby usunąć zasoby, wykonaj następujące czynności:
Znajdź zasoby w grupie
RegionMoveRG-<sourceregion>-<target-region>zasobów .Upewnij się, że wszystkie maszyny wirtualne i inne zasoby źródłowe w regionie źródłowym zostały przeniesione lub usunięte. Ten krok gwarantuje, że nie są używane żadne oczekujące zasoby.
Usuń zasoby:
- Przenieś nazwę kolekcji:
movecollection-<sourceregion>-<target-region> - Nazwa konta magazynu pamięci podręcznej:
resmovecache<guid> - Nazwa magazynu:
ResourceMove-<sourceregion>-<target-region>-GUID
- Przenieś nazwę kolekcji:
Następne kroki
Dowiedz się więcej na temat przenoszenia baz danych Azure SQL Database i elastycznych pul do innego regionu.