Partilhar via

Criar uma versão de imagem criptografada com chaves gerenciadas pelo cliente

  • Artigo

Aplica-se a: ✔️ VMs ✔️ Linux VMs ✔️ do Windows Conjuntos ✔️ de escala flexíveis Conjuntos de balanças uniformes

As imagens em uma Galeria de Computação do Azure (anteriormente conhecida como Galeria de Imagens Compartilhadas) são armazenadas como instantâneos. Estas imagens são automaticamente encriptadas através da encriptação AES de 256 bits do lado do servidor. A criptografia do lado do servidor também é compatível com FIPS 140-2. Para obter mais informações sobre os módulos criptográficos subjacentes aos discos gerenciados do Azure, consulte API de criptografia: próxima geração.

Você pode confiar em chaves gerenciadas pela plataforma para a criptografia de suas imagens ou usar suas próprias chaves. Você também pode usar esses dois recursos juntos para criptografia dobrada. Se você optar por gerenciar a criptografia com suas próprias chaves, poderá especificar uma chave gerenciada pelo cliente a ser usada para criptografar e descriptografar todos os discos em suas imagens.

A criptografia do lado do servidor por meio de chaves gerenciadas pelo cliente usa o Cofre de Chaves do Azure. Pode importar as chaves RSA para o cofre de chaves ou gerar novas chaves RSA no Cofre de Chaves do Azure.

Pré-requisitos

Este artigo requer que você já tenha um conjunto de criptografia de disco em cada região onde deseja replicar sua imagem:

  • Para usar apenas uma chave gerenciada pelo cliente, consulte os artigos sobre como habilitar chaves gerenciadas pelo cliente com criptografia do lado do servidor usando o portal do Azure ou o PowerShell.

  • Para usar chaves gerenciadas pela plataforma e gerenciadas pelo cliente (para criptografia dupla), consulte os artigos sobre como habilitar a criptografia dupla em repouso usando o portal do Azure ou o PowerShell.

    Importante

    Você deve usar o link https://aka.ms/diskencryptionupdates para acessar o portal do Azure. A criptografia dupla em repouso não está atualmente visível no portal público do Azure, a menos que você use esse link.

Limitações

Quando utiliza chaves geridas pelo cliente para encriptar imagens num Azure Compute Gallery, aplicam-se estas limitações:

  • Os conjuntos de chaves de criptografia devem estar na mesma assinatura que sua imagem.

  • Os conjuntos de chaves de criptografia são recursos regionais, portanto, cada região requer um conjunto de chaves de criptografia diferente.

  • Depois de usar suas próprias chaves para criptografar uma imagem, você não pode voltar a usar chaves gerenciadas pela plataforma para criptografar essas imagens.

  • A fonte da versão da imagem do ACG criptografada com CMK não pode ser usada como fonte para criar outra versão da imagem do ACG.

  • Alguns dos recursos, como replicar uma imagem SSE+CMK, criar uma imagem a partir de disco criptografado SSE+CMK, etc., não são suportados pelo portal.

Criando a imagem

Para especificar um conjunto de criptografia de disco para uma versão de imagem, use New-AzGalleryImageVersion com o -TargetRegion parâmetro:

$sourceId = <ID of the image version source>
$osDiskImageEncryption = @{DiskEncryptionSetId='subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myRG/providers/Microsoft.Compute/diskEncryptionSets/myDESet'}
$dataDiskImageEncryption1 = @{DiskEncryptionSetId='subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myRG/providers/Microsoft.Compute/diskEncryptionSets/myDESet1';Lun=1}
$dataDiskImageEncryption2 = @{DiskEncryptionSetId='subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myRG/providers/Microsoft.Compute/diskEncryptionSets/myDESet2';Lun=2}
$dataDiskImageEncryptions = @($dataDiskImageEncryption1,$dataDiskImageEncryption2)
$encryption1 = @{OSDiskImage=$osDiskImageEncryption;DataDiskImages=$dataDiskImageEncryptions}
$region1 = @{Name='West US';ReplicaCount=1;StorageAccountType=Standard_LRS;Encryption=$encryption1}
$eastUS2osDiskImageEncryption = @{DiskEncryptionSetId='subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myRG/providers/Microsoft.Compute/diskEncryptionSets/myEastUS2DESet'}
$eastUS2dataDiskImageEncryption1 = @{DiskEncryptionSetId='subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myRG/providers/Microsoft.Compute/diskEncryptionSets/myEastUS2DESet1';Lun=1}
$eastUS2dataDiskImageEncryption2 = @{DiskEncryptionSetId='subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myRG/providers/Microsoft.Compute/diskEncryptionSets/myEastUS2DESet2';Lun=2}
$eastUS2DataDiskImageEncryptions = @($eastUS2dataDiskImageEncryption1,$eastUS2dataDiskImageEncryption2)
$encryption2 = @{OSDiskImage=$eastUS2osDiskImageEncryption;DataDiskImages=$eastUS2DataDiskImageEncryptions}
$region2 = @{Name='East US 2';ReplicaCount=1;StorageAccountType=Standard_LRS;Encryption=$encryption2}
$targetRegion = @($region1, $region2)

Criar a imagem

New-AzGalleryImageVersion `
   -ResourceGroupName $rgname `
   -GalleryName $galleryName `
   -GalleryImageDefinitionName $imageDefinitionName `
   -Name $versionName -Location $location `
   -SourceImageId $sourceId `
   -ReplicaCount 2 `
   -StorageAccountType Standard_LRS `
   -PublishingProfileEndOfLifeDate '2020-12-01' `
   -TargetRegion $targetRegion

Criar a VM

Você pode criar uma máquina virtual (VM) a partir de uma Galeria de Computação do Azure e usar chaves gerenciadas pelo cliente para criptografar os discos. A sintaxe é a mesma que criar uma VM generalizada ou especializada a partir de uma imagem. Use o conjunto de parâmetros estendido e adicione Set-AzVMOSDisk -Name $($vmName +"_OSDisk") -DiskEncryptionSetId $diskEncryptionSet.Id -CreateOption FromImage à configuração da VM.

Para discos de dados, adicione o -DiskEncryptionSetId $setID parâmetro quando você usar Add-AzVMDataDisk.

Próximos passos

Saiba mais sobre a encriptação de disco do lado do servidor.

Para obter informações sobre como fornecer informações do plano de compra, consulte Fornecer informações do plano de compra do Azure Marketplace ao criar imagens.