Włączanie podwójnego szyfrowania magazynowanych dla dysków zarządzanych
Artykuł
Dotyczy: ✔️ Maszyny wirtualne z systemem Linux maszyny ✔️ wirtualne z ✔️ systemem Windows
Usługa Azure Disk Storage obsługuje podwójne szyfrowanie magazynowane dla dysków zarządzanych. Aby uzyskać informacje koncepcyjne na temat podwójnego szyfrowania magazynowanych i innych typów szyfrowania dysków zarządzanych, zobacz sekcję Podwójne szyfrowanie magazynowane w artykule dotyczącym szyfrowania dysków.
Ograniczenia
Podwójne szyfrowanie magazynowane nie jest obecnie obsługiwane w przypadku dysków w warstwie Ultra Lub dysków SSD w warstwie Premium w wersji 2.
Wymagania wstępne
Jeśli zamierzasz używać interfejsu wiersza polecenia platformy Azure, zainstaluj najnowszy interfejs wiersza polecenia platformy Azure i zaloguj się do konta platformy Azure przy użyciu polecenia az login.
Jeśli zamierzasz użyć modułu Azure PowerShell, zainstaluj najnowszą wersję programu Azure PowerShell i zaloguj się do konta platformy Azure przy użyciu polecenia Connect-AzAccount.
Wyszukaj i wybierz pozycję Zestawy szyfrowania dysków.
Wybierz + Utwórz.
Wybierz jeden z obsługiwanych regionów.
W polu Typ szyfrowania wybierz pozycję Podwójne szyfrowanie z kluczami zarządzanymi przez platformę i kluczami zarządzanymi przez klienta.
Uwaga
Po utworzeniu zestawu szyfrowania dysku z określonym typem szyfrowania nie można go zmienić. Jeśli chcesz użyć innego typu szyfrowania, musisz utworzyć nowy zestaw szyfrowania dysków.
Wypełnij pozostałe informacje.
W razie potrzeby wybierz usługę Azure Key Vault i klucz lub utwórz nowy.
Uwaga
Jeśli tworzysz wystąpienie usługi Key Vault, musisz włączyć usuwanie nietrwałe i ochronę przed przeczyszczeniem. Te ustawienia są obowiązkowe w przypadku używania usługi Key Vault do szyfrowania dysków zarządzanych i ochrony przed utratą danych z powodu przypadkowego usunięcia.
Wybierz pozycję Utwórz.
Przejdź do utworzonego zestawu szyfrowania dysków i wybierz wyświetlany błąd. Spowoduje to skonfigurowanie zestawu szyfrowania dysku w taki sposób, aby działało.
Powiadomienie powinno pojawić się i zakończyć się powodzeniem. Dzięki temu można używać zestawu szyfrowania dysków z magazynem kluczy.
Przejdź do dysku.
Wybierz pozycję Szyfrowanie.
W obszarze Zarządzanie kluczami wybierz jeden z kluczy w obszarze Klucze zarządzane przez platformę i zarządzane przez klienta.
wybierz pozycję Zapisz.
Teraz włączono podwójne szyfrowanie magazynowane na dysku zarządzanym.
Utwórz wystąpienie usługi Azure Key Vault i klucza szyfrowania.
Podczas tworzenia wystąpienia usługi Key Vault należy włączyć ochronę usuwania nietrwałego i przeczyszczania. Usuwanie nietrwałe gwarantuje, że usługa Key Vault przechowuje usunięty klucz dla danego okresu przechowywania (domyślna 90 dni). Ochrona przed przeczyszczeniem gwarantuje, że usunięty klucz nie może zostać trwale usunięty, dopóki okres przechowywania nie wygaśnie. Te ustawienia chronią cię przed utratą danych z powodu przypadkowego usunięcia. Te ustawienia są obowiązkowe w przypadku używania usługi Key Vault do szyfrowania dysków zarządzanych.
subscriptionId=yourSubscriptionID
rgName=yourResourceGroupName
location=westcentralus
keyVaultName=yourKeyVaultName
keyName=yourKeyName
diskEncryptionSetName=yourDiskEncryptionSetName
diskName=yourDiskName
az account set --subscription $subscriptionId
az keyvault create -n $keyVaultName -g $rgName -l $location --enable-purge-protection true --enable-soft-delete true
az keyvault key create --vault-name $keyVaultName -n $keyName --protection software
Pobierz adres URL klucza utworzonego za pomocą az keyvault key showpolecenia .
az keyvault key show --name $keyName --vault-name $keyVaultName
Utwórz element DiskEncryptionSet z ustawioną wartością EncryptionAtRestWithPlatformAndCustomerKeys. Zastąp ciąg yourKeyURL adresem URL otrzymany z az keyvault key showadresu .
Udziel zasobowi DiskEncryptionSet dostępu do magazynu kluczy.
Uwaga
Utworzenie tożsamości elementu DiskEncryptionSet na platformie Azure w identyfikatorze Entra firmy Microsoft może potrwać kilka minut. Jeśli podczas uruchamiania następującego polecenia wystąpi błąd, taki jak "Nie można odnaleźć obiektu usługi Active Directory", zaczekaj kilka minut i spróbuj ponownie.
desIdentity=$(az disk-encryption-set show -n $diskEncryptionSetName -g $rgName --query [identity.principalId] -o tsv)
az keyvault set-policy -n $keyVaultName -g $rgName --object-id $desIdentity --key-permissions wrapkey unwrapkey get
Utwórz wystąpienie usługi Azure Key Vault i klucza szyfrowania.
Podczas tworzenia wystąpienia usługi Key Vault należy włączyć ochronę usuwania nietrwałego i przeczyszczania. Usuwanie nietrwałe gwarantuje, że usługa Key Vault przechowuje usunięty klucz dla danego okresu przechowywania (domyślna 90 dni). Ochrona przed przeczyszczeniem gwarantuje, że usunięty klucz nie może zostać trwale usunięty, dopóki okres przechowywania nie wygaśnie. Te ustawienia chronią cię przed utratą danych z powodu przypadkowego usunięcia. Te ustawienia są obowiązkowe w przypadku używania usługi Key Vault do szyfrowania dysków zarządzanych.
Pobierz adres URL utworzonego klucza. Będzie on potrzebny dla kolejnych poleceń. Dane wyjściowe identyfikatora z Get-AzKeyVaultKey programu to kluczowy adres URL.
Pobierz identyfikator zasobu dla utworzonego wystąpienia usługi Key Vault. Będzie on potrzebny dla kolejnych poleceń.
Get-AzKeyVault -VaultName $keyVaultName
Utwórz element DiskEncryptionSet z ustawioną wartością EncryptionAtRestWithPlatformAndCustomerKeys. Zastąp yourKeyURL wartości i yourKeyVaultURL adresami URL pobranymi wcześniej.
Udziel zasobowi DiskEncryptionSet dostępu do magazynu kluczy.
Uwaga
Utworzenie tożsamości elementu DiskEncryptionSet na platformie Azure w identyfikatorze Entra firmy Microsoft może potrwać kilka minut. Jeśli podczas uruchamiania następującego polecenia wystąpi błąd, taki jak "Nie można odnaleźć obiektu usługi Active Directory", zaczekaj kilka minut i spróbuj ponownie.
