Použití portálu Azure k povolení šifrování na straně serveru pomocí klíčů spravovaných zákazníkem pro spravované disky

Platí pro: ✔️ virtuální počítače s Linuxem ✔️ virtuální počítače s Windows

Azure Disk Storage umožňuje spravovat vlastní klíče při použití šifrování na straně serveru (SSE) pro spravované disky, pokud se rozhodnete. Koncepční informace o službě SSE s klíči spravovanými zákazníkem a další typy šifrování disků najdete v části Klíče spravované zákazníkem v článku o šifrování disků.

Restrictions

Klíče spravované zákazníkem mají prozatím následující omezení:

  • Pokud je tato funkce povolená pro disk s přírůstkovými snímky, není možné ji na tomto disku ani jeho snímky zakázat. Pokud chcete tento problém obejít, zkopírujte všechna data na zcela jiný spravovaný disk, který nepoužívá klíče spravované zákazníkem. Můžete to udělat pomocí modulu Azure CLI nebo modulu Azure PowerShell.
  • Disk a všechny přidružené přírůstkové snímky musí mít stejnou sadu šifrování disku.
  • Podporovány jsou pouze softwarové a HSM RSA klíče o velikostech 2 048 bitů, 3 072 bitů a 4 096 bitů, žádné jiné klíče ani velikosti.
    • Klíče HSM vyžadují úroveň Premium trezorů klíčů Azure.
  • Pouze pro disky Úrovně Ultra a disky SSD úrovně Premium v2:
    • (Preview) Spravované identity přiřazené uživatelem jsou k dispozici pro Ultra Disks a Premium SSD v2 disky šifrované pomocí klíčů spravovaných zákazníkem.
  • Většina prostředků souvisejících s klíči spravovanými zákazníkem (sady šifrování disků, virtuální počítače, disky a snímky) musí být ve stejném předplatném a oblasti.
  • Disky šifrované pomocí klíčů spravovaných zákazníkem se můžou přesunout jenom do jiné skupiny prostředků, pokud je virtuální počítač, ke kterému jsou připojeny, dealokován.
  • Disky, snímky a image šifrované pomocí klíčů spravovaných zákazníkem se mezi předplatnými nedají přesouvat.
  • Spravované disky aktuálně nebo dříve šifrované pomocí služby Azure Disk Encryption se nedají šifrovat pomocí klíčů spravovaných zákazníkem.
  • Může vytvořit až 5 000 sad šifrování disků pro každou oblast na předplatné.
  • Další informace o používání klíčů spravovaných zákazníkem se sdílenými galeriemi obrazů najdete v tématu Preview: Použití klíčů spravovaných zákazníkem pro šifrování obrazů.

V následujících částech se dozvíte, jak povolit a používat klíče spravované zákazníkem pro spravované disky:

Nastavení klíčů spravovaných zákazníkem pro vaše disky vyžaduje, abyste vytvořili prostředky v určitém pořadí, pokud to děláte poprvé. Nejprve budete muset vytvořit a nastavit Azure Key Vault.

Nastavení služby Azure Key Vault

  1. Přihlaste se do Azure Portalu.

  2. Vyhledejte a vyberte trezory klíčů.

    Snímek obrazovky webu Azure Portal s rozbaleným dialogovým oknem hledání

    Important

    Aby bylo nasazení úspěšné, musí být vaše sada šifrování disků, virtuální počítač, disky a snímky ve stejné oblasti a předplatné.

  3. Vyberte +Vytvořit a vytvořte nový Key Vault.

  4. Vytvořte novou skupinu prostředků.

  5. Zadejte název trezoru klíčů, vyberte oblast a vyberte cenovou úroveň.

    Note

    Při vytváření instance služby Key Vault musíte povolit ochranu obnovitelného odstranění a vymazání. Soft delete zajišťuje, že Key Vault uchovává smazaný klíč po určitou dobu uchovávání (výchozí nastavení je 90 dnů). Ochrana před vymazáním zajistí, že odstraněný klíč nebude možné trvale odstranit, dokud doba uchovávání nepřesběne. Tato nastavení chrání před ztrátou dat z důvodu náhodného odstranění. Tato nastavení jsou povinná při použití služby Key Vault pro šifrování spravovaných disků.

  6. Vyberte Zkontrolovat a vytvořit, ověřte své volby a pak vyberte Vytvořit.

    Screenshot prostředí pro vytváření Azure Key Vault zobrazující konkrétní hodnoty, které vytvoříte.

  7. Jakmile trezor klíčů dokončí nasazení, vyberte ho.

  8. V části Objekty vyberte klíče.

  9. Vyberte Generovat/importovat.

    Snímek obrazovky panelu nastavení prostředku Key Vault zobrazuje tlačítko generovat/importovat uvnitř nastavení.

  10. U obou typů klíčů ponechte nastavenou hodnotu RSA a velikost klíče RSA nastavenou na hodnotu 2048.

  11. Vyplňte zbývající výběry podle potřeby a pak vyberte Vytvořit.

    Snímek obrazovky s podoknem vytvořit klíč, které se zobrazí po výběru tlačítka vygenerovat/importovat

Přidejte roli Azure RBAC

Teď, když jste vytvořili trezor klíčů Azure a klíč, musíte přidat roli Azure RBAC, abyste mohli použít trezor klíčů Azure se sadou šifrování disků.

  1. Vyberte Řízení přístupu (IAM) a přidejte roli.
  2. Přidejte role správce, vlastníka nebo přispěvatele služby Key Vault.

Nastavení sady šifrování disku

  1. Vyhledejte sady šifrování disků a vyberte je.

  2. V podokně Sady šifrování disků vyberte +Vytvořit.

  3. Vyberte skupinu prostředků, pojmenujte sadu šifrování a vyberte stejnou oblast jako trezor klíčů.

  4. Jako typ šifrování vyberte šifrování v klidu pomocí klíče spravovaného zákazníkem.

    Note

    Jakmile vytvoříte sadu šifrování disku s určitým typem šifrování, nedá se změnit. Pokud chcete použít jiný typ šifrování, musíte vytvořit novou sadu šifrování disku.

  5. Ujistěte se, že je vybrána volba trezoru a klíče služby Azure.

  6. Vyberte trezor klíčů a klíč, který jste vytvořili dříve, a verzi.

    Note

    U spravovaných disků s klíči spravovanými zákazníkem, které jsou použitelné napříč tenanty, může být vybraný klíč v trezoru klíčů v jiném Microsoft Entra tenantovi.

  7. Pokud chcete povolit automatickou obměnu klíčů spravovaných zákazníkem, vyberte Automatické obměně klíčů.

  8. Vyberte Zkontrolovat a vytvořit a pak Vytvořit.

    Snímek obrazovky s podoknem vytvoření šifrování disku Zobrazuje se předplatné, skupina prostředků, název sady šifrování disků, oblast a trezor klíčů + selektor klíčů.

  9. Po nasazení přejděte na sadu šifrování disku a vyberte zobrazenou výstrahu.

    Snímek obrazovky uživatele, který vybere upozornění

  10. Tím udělíte vašemu trezoru klíčů oprávnění k sadě šifrování disku.

    Snímek obrazovky s potvrzením, že byla udělena oprávnění

Nasazení virtuálního počítače

Teď, když jste vytvořili a nastavili trezor klíčů a sadu šifrování disků, můžete virtuální počítač nasadit pomocí šifrování. Proces nasazení virtuálního počítače se podobá standardnímu procesu nasazení. Jedinými rozdíly jsou, že virtuální počítač musíte nasadit ve stejné oblasti jako ostatní prostředky a rozhodnete se použít klíč spravovaný zákazníkem.

  1. Vyhledejte Virtual Machines a vyberte + Vytvořit a vytvořte virtuální počítač.

  2. V podokně Basic vyberte stejnou oblast jako sada šifrování disků a Azure Key Vault.

  3. Vyplňte další hodnoty v podokně Základní podle potřeby.

    Snímek obrazovky z rozhraní pro vytváření virtuálních počítačů se zvýrazněnou hodnotou oblasti

  4. V podokně Disky pro správu klíčů vyberte v rozevíracím seznamu sadu šifrování disků, trezor klíčů a klíč.

  5. Proveďte zbývající výběry podle potřeby.

    Snímek obrazovky s prostředím pro vytváření virtuálních počítačů, podoknem disků a vybraným klíčem spravovaným zákazníkem

Povolit na existujícím disku

Caution

Povolení šifrování disků na všech discích připojených k virtuálnímu počítači vyžaduje zastavení virtuálního počítače.

  1. Přejděte na virtuální počítač, který je ve stejné oblasti jako jedna ze sad šifrování disků.

  2. Otevřete virtuální počítač a vyberte Zastavit.

Snímek obrazovky s hlavním překryvem vašeho ukázkového virtuálního počítače se zvýrazněným tlačítkem Zastavit

  1. Jakmile se virtuální počítač zastaví, vyberte Disky a pak vyberte disk, který chcete šifrovat.

Snímek obrazovky s ukázkovým virtuálním počítačem s otevřeným podoknem Disky je disk s operačním systémem zvýrazněný jako ukázkový disk, který můžete vybrat.

  1. Vyberte Šifrování a v části Správa klíčů vyberte trezor klíčů a klíč v rozevíracím seznamu v části Klíč spravovaný zákazníkem.

  2. Vyberte Uložit.

Snímek obrazovky vašeho ukázkového disku operačního systému, otevřené je podokno šifrování, vybrané je šifrování neaktivních dat pomocí klíče spravovaného zákazníkem, stejně jako váš ukázkový trezor klíčů Azure.

  1. Tento postup opakujte pro všechny ostatní disky připojené k virtuálnímu počítači, který chcete šifrovat.

  2. Po dokončení přechodu disků na klíče spravované zákazníkem spusťte virtuální počítač, pokud neexistují žádné další připojené disky, které byste chtěli zašifrovat.

Important

Klíče spravované zákazníkem spoléhají na spravované identity pro prostředky Azure, což je funkce Microsoft Entra ID. Při konfiguraci klíčů spravovaných zákazníkem je spravovaná identita automaticky přiřazena vašim prostředkům na pozadí. Pokud následně přesunete předplatné, skupinu prostředků nebo spravovaný disk z jednoho Microsoft Entra adresáře do jiného, spravovaná identita přidružená ke spravovaným diskům se nepřenese do nového tenanta, takže klíče spravované zákazníkem už nemusí fungovat. Další informace najdete v tématu Přenos předplatného mezi adresáři Microsoft Entra.

Povolení automatické obměně klíčů u existující sady šifrování disku

  1. Přejděte na sadu šifrování disku, u které chcete povolit automatické obměně klíčů.

  2. V části Nastavení vyberte Klíč.

  3. Vyberte Automatické otáčení klíčů a vyberte Uložit.

Související obsah

  • Last updated on