سيناريوهات تشفير قرص Azure على أجهزة ظاهرية تعمل بنظام Windows

هام

من المقرر إيقاف تشفير الأقراص Azure في 15 سبتمبر 2028. حتى ذلك التاريخ، يمكنك الاستمرار في استخدام تشفير الأقراص Azure دون انقطاع. في 15 سبتمبر 2028، ستستمر أحمال العمل المفعلة ب ADE، لكن الأقراص المشفرة ستفشل في فتح التشغيل بعد إعادة تشغيل الجهاز الافتراضي، مما يؤدي إلى تعطيل الخدمة.

استخدم التشفير في المضيف للأجهزة الافتراضية الجديدة، أو فكر في أحجام المحركات الافتراضية السرية مع تشفير قرص نظام التشغيل لأحمال عمل الحوسبة السرية. يجب على جميع الأجهزة الافتراضية المفعلة بدعم ADE (بما في ذلك النسخ الاحتياطية) الانتقال إلى التشفير عند المضيف قبل تاريخ التقاعد لتجنب تعطيل الخدمة. راجع Migrationate from تشفير قرص Azure إلى Encryption في المضيف لمزيد من التفاصيل.

ينطبق على: ✔️ أجهزة Linux الظاهرية ✔️ مجموعات مقياس مرنة

يستخدم تشفير قرص Azure للأجهزة الظاهرية (VMs) التي تستخدم نظام تشغيل Linux ميزة DM-Crypt من Linux لتوفير تشفير القرص الكامل من قرص نظام التشغيل وأقراص البيانات. بالإضافة إلى ذلك، فإنه يقوم بتشفير القرص المؤقت عند استخدام ميزة EncryptFormatAll.

تم دمج تشفير قرص Azure مع Azure Key Vault لمساعدتك على التحكم في مفاتيح تشفير القرص والأسرار وإدارتها. للحصول على نظرة عامة على الخدمة، راجع تشفير قرص Azure لأجهزة Linux الظاهرية.

المتطلبات الأساسية

يمكنك تطبيق تشفير القرص فقط على الأجهزة الظاهرية لأحجام الأجهزة الظاهرية المدعومة وأنظمة التشغيل. يجب عليك أيضاً تلبية المتطلبات الأساسية التالية:

• متطلبات الأجهزة الظاهرية
• متطلبات الشبكات
• متطلبات تخزين مفتاح التشفير

في جميع الحالات، أخذ لقطة أو إنشاء نسخة احتياطية أو كليهما قبل تشفير الأقراص. تضمن النسخ الاحتياطية إمكانية خيار الاسترداد في حال حدوث فشل غير متوقع في أثناء التشفير. تتطلب الأجهزة الظاهرية ذات الأقراص المدارة نسخة احتياطية لما قبل حدوث التشفير. بمجرد إجراء نسخة احتياطية، يمكنك استخدام cmdlet Set-AzVMDiskEncryptionExtension لتشفير الأقراص المدارة عن طريق تحديد المعلمة -skipVmBackup. لمزيدٍ من المعلومات حول كيفية عمل نسخة احتياطية من الأجهزة الظاهرية المشفرة واستعادتها، راجع مقالة النسخ الاحتياطي في Azure.

القيود

إذا استخدمت تشفير قرص Azure مسبقا مع Microsoft Entra ID لتشفير جهاز ظاهري، يجب الاستمرار في استخدام هذا الخيار لتشفير جهازك الظاهري. راجع تشفير قرص Azure باستخدام معرف Microsoft Entra (الإصدار السابق) للحصول على التفاصيل.

عند تشفير وحدات تخزين نظام التشغيل Linux، لا يتوفر الجهاز الظاهري. تجنب عمليات تسجيل الدخول إلى SSH أثناء تقدم التشفير لمنع المشكلات التي تمنع أي ملفات مفتوحة تحتاج إلى الوصول إليها أثناء عملية التشفير. للتحقق من التقدم، استخدم أمر cmdlet لـPowerShellGet-AzVMDiskEncryptionStatus أو أمر CLI إظهار التشفير VM. يمكنك توقع أن تستغرق هذه العملية بضع ساعات لوحدات تخزين نظام التشغيل 30 جيجابايت، بالإضافة إلى وقت إضافي لتشفير وحدات تخزين البيانات. يتناسب وقت تشفير وحدة تخزين البيانات مع حجم وكمية وحدات تخزين البيانات ما لم encrypt format all يتم استخدام الخيار.

تعطيل التشفير على أجهزة Linux الظاهرية مدعوم فقط لوحدات تخزين البيانات. تعطيل التشفير غير مدعوم على البيانات أو وحدات تخزين نظام التشغيل إذا تم تشفير وحدة تخزين نظام التشغيل.

لا يعمل تشفير قرص Azure مع سيناريوهات Linux والميزات والتقنيات التالية:

• تشفير الأجهزة الظاهرية الأساسية للطبقة أو الأجهزة الظاهرية التي تم إنشاؤها من خلال طريقة إنشاء الأجهزة الظاهرية الكلاسيكية.
• تشفير الأجهزة الظاهرية من سلسلة v6 باستخدام أقراص مؤقتة (Ddsv6 أو Dldsv6 أو Edsv6 أو Dadsv6 أو Daldsv6 أو Eadsv6 أو Dpdsv6 أو Dpldsv6 أو Endsv6). لمزيد من المعلومات، راجع الصفحات الفردية لكل من أحجام الأجهزة الظاهرية المذكورة في أحجام الأجهزة الظاهرية في Azure
• تشفير سلسلة V7 وأحجام الأجهزة الافتراضية الأحدث.
• تعطيل التشفير على محرك أقراص نظام التشغيل أو محرك أقراص البيانات الخاص بجهاز Linux الظاهري عند تشفير محرك أقراص نظام التشغيل.
• تشفير محرك أقراص نظام التشغيل لمجموعات مقياس الجهاز الظاهري Linux.
• تشفير الصور المخصصة على أجهزة Linux الظاهرية.
• التكامل مع نظام إدارة المفاتيح المحلية.
• ملفات Azure (نظام الملفات المشترك).
• بروتوكول Network File System (NFS).
• وحدات تخزين ديناميكية.
• أقراص نظام التشغيل سريعة الزوال.
• تشفير أنظمة الملفات المشتركة/الموزعة مثل (على سبيل المثال لا الحصر): DFS وGFS وDRDB وCephFS.
• نقل جهاز ظاهري مشفر إلى اشتراك أو منطقة أخرى.
• إنشاء صورة أو لقطة لجهاز ظاهري مشفر واستخدامه لنشر المزيد من الأجهزة الظاهرية.
• تفريغ تحطم النواة (kdump).
• Oracle ACFS (نظام ملفات الكتلة ASM).
• أقراص NVMe مثل تلك الموجودة على أحجام الأجهزة الظاهرية للحوسبة عالية الأداء أو أحجام الأجهزة الظاهرية المحسنة للتخزين.
• جهاز ظاهري مع "نقاط التحميل المتداخلة"، وهي نقاط تحميل متعددة في مسار واحد (مثل "/1stmountpoint/data/2ndmountpoint").
• جهاز ظاهري مزود بمحرك أقراص بيانات مثبت أعلى مجلد نظام التشغيل.
• جهاز ظاهري يتم توسيع وحدة التخزين المنطقية للجذر (قرص نظام التشغيل) عليه باستخدام قرص بيانات.
• تغيير حجم قرص نظام التشغيل.
• سلسلة أحجام الجهاز الظاهري المحسنة للتخزين العائلي 'L'.
• الأجهزة الظاهرية من الفئة M المزودة بأقراص مسرع الكتابة.
• تطبيق ADE على جهاز ظاهري يحتوي على أقراص مشفرة باستخدام التشفير في المضيف أو التشفير من جانب الخادم باستخدام مفاتيح يديرها العميل (SSE + CMK). تطبيق SSE + CMK على قرص بيانات أو إضافة قرص بيانات مع SSE + CMK تم تكوينه إلى جهاز ظاهري مشفر باستخدام ADE هو سيناريو غير مدعوم أيضا.
• ترحيل جهاز ظاهري مشفر باستخدام ADE، أو تم تشفيره باستخدام ADE، إلى التشفير في المضيف أو التشفير من جانب الخادم باستخدام المفاتيح التي يديرها العميل.
• تشفير الأجهزة الظاهرية في مجموعات تجاوز الفشل.
• تشفير Azure Ultra Disks.
• تشفير أقراص Premium SSD v2.
• يجب أن يكون لتشفير الأجهزة الظاهرية في الاشتراكات التي تحتوي على البيانات السرية نهج فترة الصلاحية القصوى المحددة الممكنة مع تأثير DENY.

تثبيت الأدوات والاتصال بـ Azure

يمكنك تمكين تشفير قرص Azure وإدارتها من خلال Azure CLIAzure PowerShell. للقيام بذلك، يجب عليك تثبيت الأدوات محلياً والاتصال باشتراك Azure الخاص بك.

إن Azure CLI 2.0 هي أداة سطر أوامر لإدارة موارد Azure. تم تصميم واجهة سطر الأوامر (CLI) للاستعلام عن البيانات بمرونة، ودعم العمليات طويلة المدى كعمليات غير معطلة، وتسهيل البرمجة النصية. يمكنك تثبيته محلياً باتباع الخطوات الواردة في تثبيت Azure CLI.

من أجل تسجيل الدخول إلى حساب Azure الخاص بك باستخدام Azure CLI، استخدم الأمر az login.

az login

إذا كنت تريد تحديد مستأجر لتسجيل الدخول ضمن، فاستخدم:

az login --tenant <tenant>

إذا كانت لديك اشتراكات متعددة وترغب في تحديد اشتراك معين، فاحصل على قائمة الاشتراك الخاصة بك مع قائمة حسابات az وحددها باستخدام مجموعة حساب az.

az account list
az account set --subscription "<subscription name or ID>"

لمزيدٍ من المعلومات، راجع بدء استخدام Azure CLI 2.0.

توفر وحدة Azure PowerShell az مجموعة من أوامر cmdlets التي تستخدم نموذج Azure Resource Manager لإدارة موارد Azure. يمكنك استخدامه في المستعرض مع Azure Cloud Shell، أو يمكنك تثبيته على جهازك المحلي باستخدام الإرشادات الموجودة في تثبيت الوحدة النمطية Azure PowerShell.

إذا قمت بالفعل بتثبيته محليا، فتأكد من استخدام أحدث إصدار من إصدار Azure PowerShell SDK لتكوين تشفير قرص Azure. قم بتنزيل أحدث إصدار من Azure PowerShell.

من أجل تسجيل الدخول إلى حسابك في Azure باستخدام Azure PowerShell، استخدم الأمر Connect-AzAccount cmdlet.

Connect-AzAccount

إذا كانت لديك اشتراكات متعددة وتريد تحديد واحد، فاستخدم الأمر Get-AzSubscription cmdlet لإدراجه، متبوعاً بـ Set-AzContext cmdlet:

Set-AzContext -Subscription <SubscriptionId>

يؤدي تشغيل Get-AzContext cmdlet إلى التحقق من تحديد الاشتراك الصحيح.

لتأكيد تثبيت أوامر cmdlets لتشفير قرص Azure، استخدم الأمر Get-command cmdlet:

Get-command *diskencryption*

لمزيدٍ من المعلومات، راجع بدء استخدام Azure PowerShell.

تمكين التشفير على جهاز Linux ظاهري موجود أو قيد التشغيل

في هذا السيناريو، يمكنك تمكين التشفير باستخدام أوامر قالب Resource Manager أو أوامر PowerShell cmdlets أو CLI. إذا كنت بحاجة إلى معلومات المخطط لملحق الجهاز الظاهري، فراجع مقالة تشفير قرص Azure لملحق Linux.

هام

أخذ لقطة أو إجراء نسخ احتياطي لمثيل جهاز ظاهري مدار يستند إلى القرص خارج وقبل تمكين تشفير قرص Azure. يمكنك أخذ لقطة من القرص المدار من المدخل أو استخدام النسخ الاحتياطي في Azure. تضمن النسخ الاحتياطية إمكانية خيار الاسترداد في حال حدوث فشل غير متوقع في أثناء التشفير. بعد إجراء نسخة احتياطية، استخدم Set-AzVMDiskEncryptionExtension cmdlet لتشفير الأقراص المدارة عن طريق تحديد المعلمة -skipVmBackup. يفشل الأمر Set-AzVMDiskEncryptionExtension مقابل الأجهزة الظاهرية المدارة المستندة إلى القرص حتى تقوم بعمل نسخة احتياطية وتحديد هذه المعلمة.

قد يؤدي التشفير أو تعطيل التشفير إلى إعادة تشغيل جهاز ظاهري.

لتعطيل التشفير، راجع تعطيل التشفير وإزالة ملحق التشفير.

استخدام Azure CLI

يمكنك تمكين تشفير القرص على جهاز VHD المشفر بتثبيت واستخدام أداة سطر الأوامر Azure CLI. يمكنك استخدامه في متصفحك مع Azure Cloud Shell، أو تثبيته على جهازك المحلي واستخدامه في أي جلسة PowerShell. لتمكين التشفير على أجهزة Linux الظاهرية الموجودة أو قيد التشغيل في Azure، استخدم أوامر CLI التالية:

استخدم الأمر تمكين تشفير az vm لتمكين التشفير على جهاز ظاهري قيد التشغيل في Azure.

• تشفير جهاز ظاهري قيد التشغيل:

  az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault "MySecureVault" --volume-type [All|OS|Data]
  

• تشفير جهاز ظاهري قيد التشغيل باستخدام KEK:

  az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault  "MySecureVault" --key-encryption-key "MyKEK_URI" --key-encryption-keyvault "MySecureVaultContainingTheKEK" --volume-type [All|OS|Data]
  

  إشعار

  بناء جملة قيمة المعلمة keyvault لتشفير القرص هي سلسلة المعرف الكاملة: /subscriptions/[subscription-id-guid]/resourceGroups/[resource-group-name]/providers/Microsoft.KeyVault/[keyvault-name] بناء جملة قيمة معلمة مفتاح تشفير المفتاح هي عنوان URI الكامل لـ KEK كما في: https://[keyvault-name].vault.azure.net/keys/[kekname]/[kek-unique-id]
  

• تحقق من تشفير الأقراص: للتحقق من حالة تشفير جهاز ظاهري، استخدم الأمر إظهار تشفير az vm.

  az vm encryption show --name "MySecureVM" --resource-group "MyVirtualMachineResourceGroup"
  

لتعطيل التشفير، راجع تعطيل التشفير وإزالة ملحق التشفير.

استخدام PowerShell

استخدم cmdlet Set-AzVMDiskEncryptionExtension لتمكين التشفير على جهاز ظاهري قيد التشغيل في Azure. قبل تشفير الأقراص، خذ لقطة وقم بنسخ الجهاز الظاهري احتياطيا باستخدام النسخ الاحتياطي في Azure. تحدد البرامج النصية PowerShell لتشفير Linux VM قيد التشغيل المعلمة -skipVmBackup بالفعل.

• تشفير جهاز ظاهري قيد التشغيل: يقوم البرنامج النصي التالي بتهيئة المتغيرات الخاصة بك وتشغيل Set-AzVMDiskEncryptionExtension cmdlet. تم إنشاء مجموعة الموارد والجهاز الظاهري والمخزن الرئيسي كمتطلبات أساسية. استبدل MyVirtualMachineResourceGroup، وMySecureVM، وMySecureVault بقيمك. قم بتعديل المعلمة -VolumeType لتحديد الأقراص التي تقوم بتشفيرها.

   $KVRGname = 'MyKeyVaultResourceGroup';
   $VMRGName = 'MyVirtualMachineResourceGroup';
   $vmName = 'MySecureVM';
   $KeyVaultName = 'MySecureVault';
   $KeyVault = Get-AzKeyVault -VaultName $KeyVaultName -ResourceGroupName $KVRGname;
   $diskEncryptionKeyVaultUrl = $KeyVault.VaultUri;
   $KeyVaultResourceId = $KeyVault.ResourceId;
   $sequenceVersion = [Guid]::NewGuid();
  
   Set-AzVMDiskEncryptionExtension -ResourceGroupName $VMRGName -VMName $vmName -DiskEncryptionKeyVaultUrl $diskEncryptionKeyVaultUrl -DiskEncryptionKeyVaultId $KeyVaultResourceId -VolumeType '[All|OS|Data]' -SequenceVersion $sequenceVersion -skipVmBackup;
  

• تشفير جهاز ظاهري قيد التشغيل باستخدام KEK: قد تحتاج إلى إضافة المعلمة -VolumeType إذا كنت تقوم بتشفير أقراص البيانات وليس قرص نظام التشغيل.

   $KVRGname = 'MyKeyVaultResourceGroup';
   $VMRGName = 'MyVirtualMachineResourceGroup';
   $vmName = 'MyExtraSecureVM';
   $KeyVaultName = 'MySecureVault';
   $keyEncryptionKeyName = 'MyKeyEncryptionKey';
   $KeyVault = Get-AzKeyVault -VaultName $KeyVaultName -ResourceGroupName $KVRGname;
   $diskEncryptionKeyVaultUrl = $KeyVault.VaultUri;
   $KeyVaultResourceId = $KeyVault.ResourceId;
   $keyEncryptionKeyUrl = (Get-AzKeyVaultKey -VaultName $KeyVaultName -Name $keyEncryptionKeyName).Key.kid;
   $sequenceVersion = [Guid]::NewGuid();
  
   Set-AzVMDiskEncryptionExtension -ResourceGroupName $VMRGName -VMName $vmName -DiskEncryptionKeyVaultUrl $diskEncryptionKeyVaultUrl -DiskEncryptionKeyVaultId $KeyVaultResourceId -KeyEncryptionKeyUrl $keyEncryptionKeyUrl -KeyEncryptionKeyVaultId $KeyVaultResourceId -VolumeType '[All|OS|Data]' -SequenceVersion $sequenceVersion -skipVmBackup;
  

  إشعار

  بناء جملة قيمة المعلمة keyvault لتشفير القرص هي سلسلة المعرف الكاملة: /subscriptions/[subscription-id-guid]/resourceGroups/[resource-group-name]/providers/Microsoft.KeyVault/[keyvault-name] بناء جملة قيمة معلمة مفتاح تشفير المفتاح هي عنوان URI الكامل لـ KEK كما في: https://[keyvault-name].vault.azure.net/keys/[kekname]/[kek-unique-id]
  

• تحقق من تشفير الأقراص: للتحقق من حالة تشفير جهاز ظاهري، استخدم cmdlet Get-AzVmDiskEncryptionStatus.

  Get-AzVmDiskEncryptionStatus -ResourceGroupName 'MyVirtualMachineResourceGroup' -VMName 'MySecureVM'
  

لتعطيل التشفير، راجع تعطيل التشفير وإزالة ملحق التشفير.

استخدام قالب Resource Manager

يمكنك تمكين تشفير القرص على جهاز Linux ظاهري موجود أو قيد التشغيل في Azure باستخدام قالب Resource Manager.

1. حدد Deploy to Azure في قالب التشغيل السريع Azure.

2. حدد الاشتراك ومجموعة الموارد وموقع مجموعة الموارد والمعلمات والمصطلحات القانونية والاتفاق. حدد Create لتمكين التشفير على الجهاز الظاهري الموجود أو قيد التشغيل.

يسرد الجدول التالي معلمات قالب Resource Manager للأجهزة الظاهرية الموجودة أو قيد التشغيل:

المعلمة	‏‏الوصف‬
vmName	اسم الجهاز الظاهري لتشغيل عملية التشفير.
keyVaultName	اسم مخزن المفاتيح الذي يجب تحميل مفتاح التشفير إليه. يمكنك الحصول عليه باستخدام الأمر cmdlet (Get-AzKeyVault -ResourceGroupName <MyKeyVaultResourceGroupName>). Vaultname أو أمر Azure CLI az keyvault list --resource-group "MyKeyVaultResourceGroupName".
keyVaultResourceGroup	اسم مجموعة الموارد التي تحتوي على المخزن الرئيسي.
keyEncryptionKeyURL	عنوان URL لمفتاح تشفير المفتاح المستخدم لتشفير مفتاح التشفير. هذه المعلمة اختيارية إذا قمت بتحديد nokek في القائمة المنسدلة UseExistingKek. إذا قمت بتحديد kek في القائمة المنسدلة UseExistingKek، فيجب عليك إدخال قيمة keyEncryptionKeyURL.
نوع وحدة التخزين	نوع وحدة التخزين التي يتم تنفيذ عملية التشفير عليها. القيم الصالحة هي نظام التشغيلوالبياناتوالكل.
علامة تعريف فرض	قم بتمرير قيمة فريدة مثل GUID في كل مرة تحتاج فيها العملية إلى التشغيل القسري.
مكان	موقع كافة الموارد.

لمزيدٍ من المعلومات حول تكوين قالب تشفير قرص جهاز Linux الظاهري، راجع تشفير قرص Azure لنظام التشغيل Linux.

لتعطيل التشفير، راجع تعطيل التشفير وإزالة ملحق التشفير.

استخدام ميزة EncryptFormatAll لأقراص البيانات على أجهزة Linux الظاهرية

تقلل المعلمة EncryptFormatAll من وقت تشفير أقراص بيانات Linux. يتم تنسيق الأقسام التي تلبي معايير معينة ، جنبا إلى جنب مع أنظمة الملفات الحالية الخاصة بها ، ثم إعادة تحميلها مرة أخرى إلى حيث كانت قبل تنفيذ الأوامر. إذا كنت ترغب في استبعاد قرص بيانات يفي بالمعايير، فيمكنك إلغاء تحميله قبل تشغيل الأمر.

عند تشغيل هذا الأمر، يقوم تشفير قرص Azure بتنسيق أي محركات أقراص تم تحميلها مسبقا ويبدأ طبقة التشفير أعلى محرك الأقراص الفارغ الآن. عند تحديد هذا الخيار، يقوم تشفير قرص Azure أيضا بتشفير القرص المؤقت المرفق بالجهاز الظاهري. إذا تمت إعادة تعيين القرص المؤقت، تشفير قرص Azure إعادة تنسيق القرص المؤقت للجهاز الظاهري وإعادة تشفيره في الفرصة التالية. بعد تشفير قرص المورد، لا يمكن لعامل Microsoft Azure Linux إدارة قرص المورد وتمكين ملف التبديل، ولكن يمكنك تكوين ملف التبديل يدويا.

تحذير

لا تستخدم EncryptFormatAll عند وجود البيانات المطلوبة على وحدات تخزين بيانات الجهاز الظاهري. يمكنك استبعاد الأقراص من التشفير عن طريق إلغاء تحميلها. جرب المعلمة EncryptFormatAll على جهاز ظاهري تجريبي أولا لفهم معلمة الميزة وآثارها قبل تجربتها على الجهاز الظاهري للإنتاج. يقوم الخيار EncryptFormatAll بتنسيق قرص البيانات ويتم فقدان جميع البيانات الموجودة عليه. قبل المتابعة، تحقق من إلغاء تحميل الأقراص التي تريد استبعادها بشكل صحيح.

إذا كنت تقوم بتعيين هذه المعلمة أثناء تحديث إعدادات التشفير، فقد يؤدي ذلك إلى إعادة التشغيل قبل التشفير الفعلي. في هذه الحالة ، يجب عليك إزالة القرص الذي لا تريد تهيئته من ملف fstab. وبالمثل، يجب إضافة القسم الذي تريد تنسيقه مشفراً إلى ملف fstab قبل بدء عملية التشفير.

معيار EncryptFormatAll

تمر المعلمة عبر جميع الأقسام وتشفيرها طالما أنها تفي بجميع المعايير أدناه:

• ليس قسم الجذر/نظام التشغيل/التمهيد
• غير مشفر بالفعل
• ليست وحدة تخزين BEK
• ليست وحدة تخزين RAID
• ليست وحدة تخزين LVM
• مثبت

تشفير الأقراص التي تتكون منها وحدة تخزين RAID أو LVM بدلاً من وحدة تخزين RAID أو LVM.

استخدام المعلمة EncryptFormatAll مع Azure CLI

استخدم الأمر تمكين تشفير az vm لتمكين التشفير على جهاز ظاهري قيد التشغيل في Azure.

• تشفير جهاز ظاهري قيد التشغيل باستخدام EncryptFormatAll:

  az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault "MySecureVault" --volume-type "data" --encrypt-format-all
  

استخدام المعلمة EncryptFormatAll مع PowerShell cmdlet

استخدم الأمر cmdlet Set-AzVMDiskEncryptionExtension مع المعلمة EncryptFormatAll.

تشفير جهاز ظاهري قيد التشغيل باستخدام EncryptFormatAll: على سبيل المثال، يقوم البرنامج النصي التالي بتهيئة المتغيرات الخاصة بك وتشغيل Set-AzVMDiskEncryptionExtension cmdlet باستخدام المعلمة EncryptFormatAll. مجموعة الموارد، الجهاز الظاهري، وخزنة المفاتيح هي متطلبات أساسية. استبدل MyVirtualMachineResourceGroup، MySecureVM، و MySecureVault بقيمك.

$KVRGname = 'MyKeyVaultResourceGroup';
$VMRGName = 'MyVirtualMachineResourceGroup';
$vmName = 'MySecureVM';
$KeyVaultName = 'MySecureVault';
$KeyVault = Get-AzKeyVault -VaultName $KeyVaultName -ResourceGroupName $KVRGname;
$diskEncryptionKeyVaultUrl = $KeyVault.VaultUri;
$KeyVaultResourceId = $KeyVault.ResourceId;

Set-AzVMDiskEncryptionExtension -ResourceGroupName $VMRGName -VMName $vmName -DiskEncryptionKeyVaultUrl $diskEncryptionKeyVaultUrl -DiskEncryptionKeyVaultId $KeyVaultResourceId -VolumeType "data" -EncryptFormatAll

استخدام المعلمة EncryptFormatAll مع إدارة وحدة التخزين المنطقية (LVM)

نوصي بإعداد LVM-on-crypt. للحصول على إرشادات مفصلة حول LVM على تكوين التشفير، راجع تكوين LVM و RAID على الأجهزة المشفرة ADE.

الأجهزة الظاهرية الجديدة التي تم إنشاؤها من VHD المشفرة من قبل العميل ومفاتيح التشفير

في هذا السيناريو، يمكنك تمكين التشفير باستخدام أوامر PowerShell cmdlets أو CLI.

استخدم الإرشادات الموجودة في نماذج البرامج النصية تشفير قرص Azure لإعداد الصور المشفرة مسبقا Azure. بعد إنشاء الصورة، يمكنك استخدام الخطوات الواردة في القسم التالي لإنشاء جهاز Azure ظاهري مشفر.

• إعداد Linux VHD مشفر مسبقاً

هام

أخذ لقطة أو إجراء نسخ احتياطي لمثيل جهاز ظاهري مدار يستند إلى القرص خارج وقبل تمكين تشفير قرص Azure. يمكنك التقاط لقطة للقرص المُدار من المدخل، أو يمكنك استخدام النسخ الاحتياطي في Azure. تضمن النسخ الاحتياطية إمكانية خيار الاسترداد في حال حدوث فشل غير متوقع في أثناء التشفير. بعد إجراء نسخة احتياطية، استخدم Set-AzVMDiskEncryptionExtension cmdlet لتشفير الأقراص المدارة عن طريق تحديد المعلمة -skipVmBackup . يفشل الأمر Set-AzVMDiskEncryptionExtension مقابل الأجهزة الظاهرية المدارة المستندة إلى القرص حتى تقوم بعمل نسخة احتياطية وتحديد هذه المعلمة.

قد يؤدي التشفير أو تعطيل التشفير إلى إعادة تشغيل جهاز ظاهري.

استخدم Azure PowerShell لتشفير الأجهزة الظاهرية باستخدام VHDs المشفرة مسبقاً

يمكنك تمكين تشفير القرص على VHD المشفر باستخدام PowerShell cmdlet Set-AzVMOSDisk. يمنحك هذا المثال بعض المعلمات الشائعة.

$VirtualMachine = New-AzVMConfig -VMName "MySecureVM" -VMSize "Standard_A1"
$VirtualMachine = Set-AzVMOSDisk -VM $VirtualMachine -Name "SecureOSDisk" -VhdUri "os.vhd" Caching ReadWrite -Linux -CreateOption "Attach" -DiskEncryptionKeyUrl "https://mytestvault.vault.azure.net/secrets/Test1/514ceb769c984379a7e0230bddaaaaaa" -DiskEncryptionKeyVaultId "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myresourcegroup/providers/Microsoft.KeyVault/vaults/mytestvault"
New-AzVM -VM $VirtualMachine -ResourceGroupName "MyVirtualMachineResourceGroup"

تمكين التشفير على قرص بيانات تمت إضافته حديثاً

يمكنك إضافة قرص بيانات جديد باستخدام إرفاق قرص az vm، أو من خلال مدخل Azure. قبل أن تتمكن من التشفير، تحتاج أولاً إلى تحميل قرص البيانات المرفق حديثاً. يجب عليك طلب تشفير محرك أقراص البيانات لأن محرك الأقراص غير قابل للاستخدام أثناء تقدم التشفير.

استخدام Azure CLI

إذا تم تشفير الجهاز الظاهري مسبقا باستخدام "الكل"، فيجب أن تظل المعلمة --volume-type "الكل". تتضمن جميعها كلاً من أقراص البيانات ونظام التشغيل. إذا تم تشفير الجهاز الظاهري مسبقا بنوع وحدة تخزين من "نظام التشغيل"، فقم بتغيير المعلمة --volume-type إلى "الكل" بحيث يتم تضمين كل من نظام التشغيل وقرص البيانات الجديد. إذا تم تشفير الجهاز الظاهري بنوع وحدة التخزين فقط من "البيانات"، فيمكن أن يبقى "البيانات" كما هو موضح في المثال التالي. لا تعد إضافة قرص بيانات جديد وإرفاقه بجهاز ظاهري إعداداً كافياً للتشفير. يجب عليك أيضا تنسيق القرص المرفق حديثا وتثبيته بشكل صحيح داخل الجهاز الظاهري قبل تمكين التشفير. على Linux، يجب تحميل القرص في /etc/fstabمع اسم جهاز كتلة ثابتة.

على النقيض من بناء جملة PowerShell، لا يتطلب منك CLI توفير إصدار تسلسل فريد عند تمكين التشفير. يقوم CLI تلقائياً بإنشاء واستخدام قيمة إصدار التسلسل الفريد الخاص به.

• تشفير وحدات تخزين البيانات الخاصة بجهاز ظاهري قيد التشغيل:

  az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault "MySecureVault" --volume-type "Data"
  

• تشفير وحدات تخزين البيانات لجهاز ظاهري قيد التشغيل باستخدام KEK:

  az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault  "MySecureVault" --key-encryption-key "MyKEK_URI" --key-encryption-keyvault "MySecureVaultContainingTheKEK" --volume-type "Data"
  

استخدام Azure PowerShell

عند استخدام PowerShell لتشفير قرص جديد ل Linux، حدد إصدار تسلسل جديد. يجب أن يكون إصدار التسلسل فريدا. يقوم البرنامج النصي التالي بإنشاء GUID لإصدار التسلسل. قبل تشفير الأقراص، خذ لقطة وقم بنسخ الجهاز الظاهري احتياطيا باستخدام النسخ الاحتياطي في Azure. تحدد البرامج النصية PowerShell لتشفير قرص بيانات تمت إضافته حديثا المعلمة -skipVmBackup بالفعل.

• تشفير وحدات تخزين البيانات لجهاز ظاهري قيد التشغيل: يقوم البرنامج النصي التالي بتهيئة المتغيرات الخاصة بك وتشغيل Set-AzVMDiskEncryptionExtension cmdlet. قم بإنشاء مجموعة الموارد والجهاز الظاهري ومخزن المفاتيح كمتطلبات أساسية قبل تشغيل البرنامج النصي. استبدل MyVirtualMachineResourceGroup، وMySecureVM، وMySecureVault بقيمك. القيم المقبولة لمعلمة volume-yype هي الكل ونظام التشغيل والبيانات. إذا تم تشفير الجهاز الظاهري مسبقا باستخدام نوع وحدة تخزين "OS" أو "All"، فيجب تغيير المعلمة -VolumeType إلى "الكل" بحيث يتم تضمين كل من نظام التشغيل وقرص البيانات الجديد.

  $KVRGname = 'MyKeyVaultResourceGroup';
  $VMRGName = 'MyVirtualMachineResourceGroup';
  $vmName = 'MySecureVM';
  $KeyVaultName = 'MySecureVault';
  $KeyVault = Get-AzKeyVault -VaultName $KeyVaultName -ResourceGroupName $KVRGname;
  $diskEncryptionKeyVaultUrl = $KeyVault.VaultUri;
  $KeyVaultResourceId = $KeyVault.ResourceId;
  $sequenceVersion = [Guid]::NewGuid();
  
  Set-AzVMDiskEncryptionExtension -ResourceGroupName $VMRGName -VMName $vmName -DiskEncryptionKeyVaultUrl $diskEncryptionKeyVaultUrl -DiskEncryptionKeyVaultId $KeyVaultResourceId -VolumeType 'data' –SequenceVersion $sequenceVersion -skipVmBackup;
  

• تشفير وحدات تخزين البيانات لجهاز ظاهري قيد التشغيل باستخدام KEK: القيم المقبولة للمعلمة -VolumeType هي Allو OSو.Data إذا تم تشفير الجهاز الظاهري مسبقا بنوع وحدة تخزين من أو OS، فقم بتغيير المعلمة All إلى -VolumeType بحيث يتم تضمين كل من All نظام التشغيل وقرص البيانات الجديد.

   $KVRGname = 'MyKeyVaultResourceGroup';
   $VMRGName = 'MyVirtualMachineResourceGroup';
   $vmName = 'MyExtraSecureVM';
   $KeyVaultName = 'MySecureVault';
   $keyEncryptionKeyName = 'MyKeyEncryptionKey';
   $KeyVault = Get-AzKeyVault -VaultName $KeyVaultName -ResourceGroupName $KVRGname;
   $diskEncryptionKeyVaultUrl = $KeyVault.VaultUri;
   $KeyVaultResourceId = $KeyVault.ResourceId;
   $keyEncryptionKeyUrl = (Get-AzKeyVaultKey -VaultName $KeyVaultName -Name $keyEncryptionKeyName).Key.kid;
   $sequenceVersion = [Guid]::NewGuid();
  
   Set-AzVMDiskEncryptionExtension -ResourceGroupName $VMRGName -VMName $vmName -DiskEncryptionKeyVaultUrl $diskEncryptionKeyVaultUrl -DiskEncryptionKeyVaultId $KeyVaultResourceId -KeyEncryptionKeyUrl $keyEncryptionKeyUrl -KeyEncryptionKeyVaultId $KeyVaultResourceId -VolumeType 'data' –SequenceVersion $sequenceVersion -skipVmBackup;
  

  إشعار

  بناء جملة قيمة معلمة keyvault لتشفير القرص هو سلسلة المعرف الكاملة: /subscriptions/[subscription-id-guid]/resourceGroups/[KVresource-group-name]/providers/Microsoft.KeyVault/vaults/[keyvault-name]
  بناء الجملة لقيمة معلمة مفتاح تشفير المفتاح هو عنوان URI الكامل لـ KEK كما في: https://[keyvault-name].vault.azure.net/keys/[kekname]/[kek-unique-id]

تعطيل التشفير وإزالة ملحق التشفير

يمكنك تعطيل تشفير قرص Azure، ويمكنك إزالة ملحق تشفير قرص Azure. التعطيل والإزالة عمليتان متميزتان.

لإزالة ADE، قم أولا بتعطيل التشفير ثم قم بإزالة الملحق. إذا قمت بإزالة ملحق التشفير دون تعطيل ADE، فستظل الأقراص مشفرة. إذا قمت بتعطيل التشفير بعد إزالة الملحق، تتم إعادة تثبيت الملحق (لتنفيذ عملية فك التشفير) ويجب إزالته مرة ثانية.

تحذير

لا يمكنك تعطيل التشفير إذا تم تشفير قرص نظام التشغيل. (يتم تشفير أقراص نظام التشغيل عند تحديد volumeType=ALL عملية التشفير الأصلية أو volumeType=OS.)

يعمل تعطيل التشفير فقط عندما تكون أقراص البيانات مشفرة ولكن قرص نظام التشغيل ليس كذلك.

تعطيل التشفير

يمكنك تعطيل التشفير باستخدام Azure PowerShell أو Azure CLI أو باستخدام قالب Resource Manager. لا يؤدي تعطيل التشفير إلى إزالة الملحق (راجع إزالة ملحق التشفير).

• تعطيل تشفير القرص باستخدام Azure PowerShell: لتعطيل التشفير، استخدم Disable-AzVMDiskEncryption cmdlet.

  Disable-AzVMDiskEncryption -ResourceGroupName "MyVirtualMachineResourceGroup" -VMName "MySecureVM" -VolumeType "data"
  

• تعطيل التشفير باستخدام Azure CLI: لتعطيل التشفير، استخدم الأمر تعطيل تشفير az vm.

  az vm encryption disable --name "MySecureVM" --resource-group "MyVirtualMachineResourceGroup" --volume-type "data"
  

• تعطيل التشفير باستخدام قالب Resource Manager:

  1. حدد Deploy to Azure من قالب Disable disk encryption on running Linux VM.
  2. حدد الاشتراك ومجموعة الموارد والموقع والجهاز الظاهري ونوع وحدة التخزين والشروط القانونية والاتفاق.
  3. حدد شراء لتعطيل تشفير القرص على جهاز Linux ظاهري قيد التشغيل.

تحذير

بعد بدء فك التشفير، لا تتداخل مع العملية.

للتحقق من تقدم فك التشفير، استخدم الأمر Get-AzVMDiskEncryptionStatus PowerShell cmdlet أو الأمر az vm encryption show CLI. بعد اكتمال عملية فك التشفير، يمكنك إزالة ملحق التشفير.

إزالة ملحق التشفير

إذا كنت ترغب في فك تشفير الأقراص الخاصة بك وإزالة ملحق التشفير، فيجب عليك تعطيل التشفير قبل إزالة الملحق؛ انظر تعطيل التشفير.

استخدم Azure PowerShell أو Azure CLI لإزالة ملحق التشفير.

• إزالة ملحق التشفير باستخدام Azure PowerShell: استخدم الأمر Cmdlet Remove-AzVMDiskEncryptionExtension.

  Remove-AzVMDiskEncryptionExtension -ResourceGroupName "MyVirtualMachineResourceGroup" -VMName "MySecureVM"
  

• قم بإزالة ملحق التشفير باستخدام Azure CLI: استخدم الأمر az vm extension delete.

  az vm extension delete -g "MyVirtualMachineResourceGroup" --vm-name "MySecureVM" -n "AzureDiskEncryptionForLinux"
  

الخطوات التالية

• نظرة عامة على تشفير قرص Azure
• برامج نصية لنموذج تشفير قرص Azure
• استكشاف أخطاء تشفير قرص Azure وإصلاحها