Activer le chiffrement double au repos pour les disques managés
Article
S’applique à : ✔️ Machines virtuelles Linux ✔️ Machines virtuelles Windows
Le Stockage sur disque Azure prend en charge le double chiffrement au repos pour les disques managés. Pour obtenir des informations conceptuelles sur le chiffrement double au repos ainsi que sur d’autres types de chiffrement de disque managé, consultez la section Double chiffrement au repos dans notre article sur le chiffrement de disque.
Restrictions
Le double chiffrement au repos n’est actuellement pas pris en charge avec les Disques Ultra ou les disques SSD Premium v2.
Prérequis
Si vous allez utiliser l’interface Azure CLI, installez la dernière version d’Azure CLI et connectez-vous à un compte Azure avec az login.
Recherchez Jeux de chiffrement de disque, puis sélectionnez le résultat.
Sélectionnez + Créer.
Sélectionnez une des régions prises en charge.
Pour Type de chiffrement, sélectionnez Double chiffrement avec les clés gérées par la plateforme et gérées par le client.
Notes
Une fois que vous avez créé un jeu de chiffrement de disque avec un type de chiffrement particulier, il n’est plus possible de le modifier. Si vous souhaitez utiliser un type de chiffrement différent, vous devez créer un nouveau jeu de chiffrement de disque.
Entrez les informations restantes.
Sélectionnez un Azure Key Vault et une clé, ou créez-en une si nécessaire.
Notes
Lorsque vous créez une instance Key Vault, vous devez activer la suppression réversible et la protection contre le vidage. Ces paramètres sont obligatoires lors de l’utilisation d’un Key Vault pour le chiffrement des disques managés, et vous protègent contre la perte de données en raison d’une suppression accidentelle.
Sélectionnez Create (Créer).
Accédez au jeu de chiffrement de disque que vous avez créé, puis sélectionnez l’erreur qui s’affiche. Cela a pour effet de configurer votre jeu de chiffrement de disque pour travailler.
Une notification doit s’afficher. Cela vous permettra d’utiliser le jeu de chiffrement de disque avec votre coffre de clés.
Accédez à votre disque.
Sélectionnez Chiffrement.
Pour la Gestion des clés, sélectionnez l’une des clés sous Clés gérées par la plateforme et par le client.
Sélectionnez Enregistrer.
Vous avez maintenant activé le double chiffrement au repos sur votre disque managé.
Créer une instance Azure Key Vault et une clé de chiffrement.
Lorsque vous créez l’instance Key Vault, vous devez activer la suppression réversible et la protection de purge. La suppression réversible permet de s’assurer que Key Vault contient une clé supprimée pour une période de rétention donnée (90 jours par défaut). La protection contre la suppression définitive permet de vérifier qu’une clé supprimée ne peut pas être supprimée définitivement tant que la période de conservation n’est pas arrivée à expiration. Ces paramètres vous protègent contre la perte de données en raison d’une suppression accidentelle. Ces paramètres sont obligatoires lors de l’utilisation d’un coffre de clés Key Vault pour le chiffrement des disques managés.
subscriptionId=yourSubscriptionID
rgName=yourResourceGroupName
location=westcentralus
keyVaultName=yourKeyVaultName
keyName=yourKeyName
diskEncryptionSetName=yourDiskEncryptionSetName
diskName=yourDiskName
az account set --subscription $subscriptionId
az keyvault create -n $keyVaultName -g $rgName -l $location --enable-purge-protection true --enable-soft-delete true
az keyvault key create --vault-name $keyVaultName -n $keyName --protection software
Obtenez l’URL de la clé que vous avez créée avec az keyvault key show.
az keyvault key show --name $keyName --vault-name $keyVaultName
Créez un DiskEncryptionSet avec encryptionType défini sur EncryptionAtRestWithPlatformAndCustomerKeys. Remplacez yourKeyURL par l’URL que vous avez reçue de az keyvault key show.
Accorder à la ressource DiskEncryptionSet l’accès au coffre de clés.
Remarque
La création de l’identité de votre DiskEncryptionSet dans Microsoft Entra ID peut prendre quelques minutes à Azure. Si vous recevez une erreur comme « Impossible de trouver l’objet Active Directory » lors de l’exécution de la commande suivante, attendez quelques minutes et réessayez.
desIdentity=$(az disk-encryption-set show -n $diskEncryptionSetName -g $rgName --query [identity.principalId] -o tsv)
az keyvault set-policy -n $keyVaultName -g $rgName --object-id $desIdentity --key-permissions wrapkey unwrapkey get
Créer une instance Azure Key Vault et une clé de chiffrement.
Lorsque vous créez l’instance Key Vault, vous devez activer la suppression réversible et la protection de purge. La suppression réversible permet de s’assurer que Key Vault contient une clé supprimée pour une période de rétention donnée (90 jours par défaut). La protection contre la suppression définitive permet de vérifier qu’une clé supprimée ne peut pas être supprimée définitivement tant que la période de conservation n’est pas arrivée à expiration. Ces paramètres vous protègent contre la perte de données en raison d’une suppression accidentelle. Ces paramètres sont obligatoires lors de l’utilisation d’un coffre de clés Key Vault pour le chiffrement des disques managés.
Récupérez l’URL de la clé que vous avez créée. Vous en aurez besoin pour les commandes suivantes. La sortie de l’ID à partir de Get-AzKeyVaultKey est l’URL de la clé.
Obtenez l’ID de ressource pour l’instance Key Vault que vous avez créée. Vous en aurez besoin pour les commandes suivantes.
Get-AzKeyVault -VaultName $keyVaultName
Créez un DiskEncryptionSet avec encryptionType défini sur EncryptionAtRestWithPlatformAndCustomerKeys. Remplacez yourKeyURL et yourKeyVaultURL par les valeurs que vous avez récupérées précédemment.
Accorder à la ressource DiskEncryptionSet l’accès au coffre de clés.
Remarque
La création de l’identité de votre DiskEncryptionSet dans Microsoft Entra ID peut prendre quelques minutes à Azure. Si vous recevez une erreur comme « Impossible de trouver l’objet Active Directory » lors de l’exécution de la commande suivante, attendez quelques minutes et réessayez.
