Migrasi dari Azure Disk Encryption ke enkripsi di host

Penting

Azure Disk Encryption dijadwalkan untuk penghentian pada 15 September 2028. Hingga tanggal tersebut, Anda dapat terus menggunakan Azure Disk Encryption tanpa gangguan. Pada 15 September 2028, beban kerja berkemampuan ADE akan terus berjalan, tetapi disk terenkripsi akan gagal dibuka setelah reboot VM, mengakibatkan gangguan layanan.

Gunakan enkripsi di host untuk VM baru, atau pertimbangkan ukuran VM Rahasia dengan enkripsi disk OS untuk beban kerja komputasi rahasia. Semua VM yang diaktifkan ADE (termasuk cadangan) harus bermigrasi ke enkripsi di host sebelum tanggal penghentian untuk menghindari gangguan layanan. Lihat Migrasi dari Azure Disk Encryption ke enkripsi di host untuk detailnya.

Artikel ini menyediakan panduan langkah demi langkah untuk memigrasikan komputer virtual Anda dari Azure Disk Encryption (ADE) ke enkripsi di host. Proses migrasi mengharuskan pembuatan disk dan VM baru karena konversi di tempat tidak didukung.

Gambaran umum migrasi

Azure Disk Encryption (ADE) mengenkripsi data dalam VM dengan menggunakan BitLocker (Windows) atau dm-crypt (Linux), sementara enkripsi di host mengenkripsi data di tingkat host VM tanpa menggunakan sumber daya CPU VM. Enkripsi di host meningkatkan enkripsi sisi server (SSE) default Azure dengan menyediakan enkripsi end-to-end untuk semua data VM, termasuk disk sementara, cache, dan aliran data antara komputasi dan penyimpanan.

Untuk informasi selengkapnya, lihat Gambaran Umum opsi enkripsi disk terkelola dan Mengaktifkan enkripsi end-to-end menggunakan enkripsi di host.

Batasan dan pertimbangan migrasi

Sebelum Anda memulai proses migrasi, tinjau batasan dan pertimbangan penting ini yang memengaruhi strategi migrasi Anda:

  • Tidak ada migrasi di tempat: Anda tidak dapat langsung mengonversi disk terenkripsi ADE ke enkripsi di host. Migrasi memerlukan pembuatan disk dan VM baru.

  • Batasan disk OS Linux: Azure tidak mendukung penonaktifan ADE pada disk OS Linux. Untuk VM Linux dengan disk OS terenkripsi ADE, buat VM baru dengan disk OS baru.

  • Windows pola enkripsi ADE: Pada VM Windows, Azure Disk Encryption hanya dapat mengenkripsi disk OS saja atau semua disk (OS + disk data). Anda tidak hanya dapat mengenkripsi disk data pada VM Windows.

  • Persistensi bendera UDE: Disk yang dienkripsi dengan Azure Disk Encryption memiliki bendera Enkripsi Data Terpadu (UDE) yang bertahan bahkan setelah dekripsi. Baik snapshot maupun salinan disk yang menggunakan opsi Salin tetap mempertahankan tanda UDE ini. Migrasi mengharuskan pembuatan disk terkelola baru dengan menggunakan metode Unggah dan menyalin data blob VHD, yang membuat objek disk baru tanpa metadata apa pun dari disk sumber.

  • Waktu henti yang diperlukan: Proses migrasi memerlukan waktu henti VM untuk operasi disk dan rekreasi VM.

  • VM yang bergabung dengan domain: Jika VM Anda adalah bagian dari domain Direktori Aktif, diperlukan lebih banyak langkah:

    • Hapus VM asli dari domain sebelum penghapusan.
    • Setelah membuat VM baru, gabungkan kembali ke domain.
    • Untuk VM Linux, gabungkan VM ke domain terkelola secara manual.

    Untuk informasi selengkapnya, lihat Apa itu Microsoft Entra Domain Services?

Prasyarat

Sebelum memulai migrasi:

  1. Mencadangkan data Anda: Buat cadangan semua data penting sebelum memulai proses migrasi.

  2. Uji proses: Jika memungkinkan, uji proses migrasi pada VM nonproduksi terlebih dahulu.

  3. Siapkan sumber daya enkripsi: Pastikan ukuran VM Anda mendukung enkripsi di host. Sebagian besar ukuran VM saat ini mendukung fitur ini. Untuk informasi selengkapnya tentang persyaratan ukuran VM, lihat Mengaktifkan enkripsi end-to-end menggunakan enkripsi di host.

  4. Konfigurasi dokumen: Rekam konfigurasi VM Anda saat ini, termasuk pengaturan jaringan, ekstensi, dan sumber daya terlampir.

Langkah-langkah migrasi

Langkah-langkah migrasi berikut berfungsi untuk sebagian besar skenario, dengan perbedaan spesifik yang dicatat untuk setiap sistem operasi.

Penting

Anda tidak dapat mendekripsi VM Linux dengan disk OS terenkripsi secara langsung. Untuk VM ini, buat VM baru dengan disk OS baru dan migrasikan data Anda. Lihat bagian Memigrasikan VM Linux dengan disk OS terenkripsi setelah meninjau proses umum di bawah ini.

Menonaktifkan Azure Disk Encryption

Pertama, nonaktifkan Azure Disk Encryption yang ada jika memungkinkan:

Setelah menjalankan perintah nonaktifkan ADE, status enkripsi VM di portal Microsoft Azure segera berubah menjadi "SSE + PMK". Namun, proses dekripsi aktual di tingkat OS membutuhkan waktu dan tergantung pada jumlah data yang dienkripsi. Anda harus memverifikasi bahwa dekripsi tingkat OS selesai sebelum melanjutkan ke langkah berikutnya.

Untuk VM Windows:

  • Buka Prompt Perintah sebagai administrator, lalu jalankan: manage-bde -status.
  • Verifikasi bahwa semua volume menunjukkan status "Sepenuhnya Didekripsi".
  • Konfirmasikan bahwa persentase dekripsi menunjukkan 100% untuk semua volume terenkripsi.

Untuk VM Linux (hanya disk data):

  • Jalankan: sudo cryptsetup status /dev/mapper/<device-name>.
  • Verifikasi bahwa perangkat terenkripsi tidak lagi aktif.
  • Jalankan lsblk untuk mengonfirmasi bahwa tidak ada pemetaan terenkripsi yang tersisa.

Tunggu dekripsi lengkap sebelum melanjutkan migrasi disk untuk memastikan integritas data.

Membuat disk terkelola baru

Buat disk baru yang tidak membawa metadata enkripsi ADE. Proses ini berfungsi untuk VM Windows dan Linux, dengan pertimbangan khusus untuk disk OS Linux.

Penting

Tambahkan offset 512 byte saat Anda menyalin disk terkelola dari Azure. Azure menghilangkan footer saat melaporkan ukuran disk. Salinan gagal jika Anda tidak menambahkan offset ini. Skrip berikut menambahkan offset ini untuk Anda.

Jika Anda membuat disk OS, tambahkan --hyper-v-generation <yourGeneration> ke az disk create.

# Set variables
sourceDiskName="MySourceDisk"
sourceRG="MyResourceGroup"
targetDiskName="MyTargetDisk"
targetRG="MyResourceGroup"
targetLocation="eastus"
# For OS disks, specify either "Windows" or "Linux"
# For data disks, omit the targetOS variable and --os-type parameter
targetOS="Windows"

# Get source disk size in bytes
sourceDiskSizeBytes=$(az disk show -g $sourceRG -n $sourceDiskName --query '[diskSizeBytes]' -o tsv)

# Create a new empty target disk with upload capability
az disk create -g $targetRG -n $targetDiskName -l $targetLocation --os-type $targetOS --for-upload --upload-size-bytes $(($sourceDiskSizeBytes+512)) --sku standard_lrs

# Generate SAS URIs for both disks
targetSASURI=$(az disk grant-access -n $targetDiskName -g $targetRG --access-level Write --duration-in-seconds 86400 --query [accessSas] -o tsv)

sourceSASURI=$(az disk grant-access -n $sourceDiskName -g $sourceRG --access-level Read --duration-in-seconds 86400 --query [accessSas] -o tsv)

# Copy the disk data by using AzCopy
azcopy copy $sourceSASURI $targetSASURI --blob-type PageBlob

# Revoke SAS access when complete
az disk revoke-access -n $sourceDiskName -g $sourceRG

az disk revoke-access -n $targetDiskName -g $targetRG

Metode ini membuat disk baru tanpa metadata Azure Disk Encryption (bendera UDE), yang penting untuk migrasi bersih.

Membuat VM baru dengan enkripsi

Buat VM baru dengan menggunakan disk yang baru dibuat dengan metode enkripsi yang Anda pilih.

Anda dapat memilih dari beberapa opsi enkripsi, tergantung pada persyaratan keamanan Anda. Artikel ini menyediakan langkah-langkah untuk membuat VM baru dengan enkripsi di host, yang merupakan jalur migrasi yang paling umum. Untuk opsi enkripsi lainnya, lihat Gambaran Umum opsi enkripsi disk terkelola.

Membuat VM baru dengan enkripsi di host

Enkripsi pada host memberikan padanan yang paling mendekati cakupan Azure Disk Encryption. Bagian ini mencakup enkripsi di host.

Untuk disk OS:

# For Windows OS disks
az vm create
  --resource-group "MyResourceGroup"
  --name "MyVM-New"
  --os-type "Windows"
  --attach-os-disk "MyTargetDisk"
  --encryption-at-host true

# For Linux OS disks
# az vm create
#   --resource-group "MyResourceGroup"
#   --name "MyVM-New"
#   --os-type "Linux"
#   --attach-os-disk "MyTargetDisk"
#   --encryption-at-host true

Untuk disk data:

# Enable encryption at host on the VM
az vm update
  --resource-group "MyResourceGroup"
  --name "MyVM-New"
  --encryption-at-host true

# Attach the newly created data disk
az vm disk attach
  --resource-group "MyResourceGroup"
  --vm-name "MyVM-New"
  --name "MyTargetDisk"

Memverifikasi dan mengonfigurasi disk baru

Setelah membuat VM baru dengan enkripsi di host, verifikasi dan konfigurasikan disk dengan benar untuk sistem operasi Anda.

Untuk VM Windows:

  • Pastikan huruf drive ditetapkan dengan benar.
  • Periksa apakah aplikasi dapat mengakses disk dengan benar.
  • Perbarui aplikasi atau skrip apa pun yang mereferensikan ID disk tertentu.

Untuk VM Linux:

  • Perbarui /etc/fstab dengan UUID disk baru.
  • Pasang disk data ke titik pemasangan yang benar.
# Get UUIDs of all disks
sudo blkid

# Mount all disks defined in fstab
sudo mount -a

Baik Windows maupun Linux mungkin memerlukan lebih banyak langkah konfigurasi khusus untuk aplikasi atau beban kerja Anda.

Memverifikasi enkripsi dan pembersihan

Verifikasi bahwa enkripsi di host dikonfigurasi dengan benar pada VM Windows dan Linux.

# Check encryption at host status
az vm show --resource-group "MyResourceGroup" --name "MyVM-New" --query "securityProfile.encryptionAtHost"

Setelah mengonfirmasi bahwa enkripsi di host berfungsi dengan baik:

  1. Uji fungsionalitas VM untuk memastikan aplikasi berfungsi dengan benar.
  2. Verifikasi bahwa data dapat diakses dan utuh.
  3. Hapus sumber daya asli saat Anda puas dengan migrasi:
# Delete the original VM
az vm delete --resource-group "MyResourceGroup" --name "MyVM-Original" --yes

# Delete the original disk
az disk delete --resource-group "MyResourceGroup" --name "MySourceDisk" --yes

Memigrasikan VM Linux dengan disk OS terenkripsi

Karena Anda tidak dapat menonaktifkan enkripsi pada disk OS Linux, prosesnya berbeda dari Windows.

  1. Buat VM baru dengan enkripsi di host diaktifkan.

    az vm create \
  --resource-group "MyResourceGroup" \
  --name "MyVM-New" \
  --image "Ubuntu2204" \
  --encryption-at-host true \
  --admin-username "azureuser" \
  --generate-ssh-keys

  2. Untuk opsi migrasi data:

    • Data aplikasi: Gunakan SCP, rsync, atau metode transfer file lainnya untuk menyalin data.
    • Konfigurasi: Mereplikasi file dan pengaturan konfigurasi penting.
    • Aplikasi kompleks: Gunakan prosedur pencadangan dan pemulihan yang sesuai untuk aplikasi Anda.
    # Example of using SCP to copy files from source to new VM
az vm run-command invoke -g MyResourceGroup -n MyVM-Original --command-id RunShellScript \
  --scripts "scp -r /path/to/data azureuser@new-vm-ip:/path/to/destination"

Setelah membuat VM baru:

  1. Konfigurasikan VM baru agar sesuai dengan lingkungan asli.

    • Siapkan konfigurasi jaringan yang sama.
    • Instal aplikasi dan layanan yang sama.
    • Terapkan pengaturan keamanan yang sama.

  2. Uji secara menyeluruh sebelum menonaktifkan VM asli.

Pendekatan ini berfungsi untuk VM Windows dan Linux, tetapi sangat penting untuk VM Linux dengan disk OS terenkripsi yang tidak dapat Anda dekripsi di tempat.

Untuk panduan tentang migrasi data, lihat Mengunggah VHD ke Azure dan Menyalin file ke VM Linux dengan menggunakan SCP.

Untuk lingkungan Azure Virtual Desktop (AVD), pendekatan yang disarankan adalah menerapkan ulang host sesi daripada mencoba migrasi pada tingkat disk.

Untuk kumpulan host yang dikumpulkan dan pribadi, pendekatan yang didukung adalah mengganti host sesi yang didukung Azure Disk Encryption (ADE) dengan komputer virtual baru yang mengaktifkan enkripsi di host.

Steps

  1. Buat gambar emas baru.

    • Pastikan Azure Disk Encryption tidak diaktifkan.
    • Memvalidasi aplikasi dan konfigurasi.

  2. Sebarkan host sesi baru.

  3. Tambahkan host sesi baru ke kumpulan host.

    • Pastikan bahwa host sesi sehat dan menerima koneksi.

  4. Memvalidasi beban kerja.

    • Konfirmasi akses profil pengguna, seperti FSLogix.
    • Memvalidasi aplikasi dan kebijakan.

  5. Kosongkan host sesi yang mendukung ADE.

    • Aktifkan mode pengurasan untuk memblokir sesi baru.
    • Tunggu hingga sesi yang ada berakhir, atau keluarkan pengguna secara manual.

  6. Hapus dan nonaktifkan host sesi lama.

    • Hapus host sesi dari kumpulan host.
    • Hapus komputer virtual dan disk terkait.

Pertimbangan untuk VM yang terhubung dengan domain

Jika VM Anda adalah anggota domain Direktori Aktif, diperlukan lebih banyak langkah selama proses migrasi:

Langkah-langkah pramigrasi domain

  1. Keanggotaan domain dokumen: Catat domain saat ini, unit organisasi (OU), dan keanggotaan grup khusus apa pun.
  2. Catatan akun komputer: Kelola akun komputer di Direktori Aktif.
  3. Cadangkan konfigurasi spesifik domain: Simpan pengaturan, kebijakan grup, atau sertifikat yang spesifik untuk domain.

Proses penghapusan domain

  1. Hapus dari domain: Sebelum menghapus VM asli, hapus dari domain dengan menggunakan salah satu metode ini.

    • Remove-Computer Gunakan cmdlet PowerShell pada Windows.
    • Gunakan dialog Properti Sistem untuk mengubah ke grup kerja.
    • Hapus akun komputer secara manual dari Active Directory Users and Computers.

  2. Bersihkan Direktori Aktif: Hapus semua akun komputer yatim atau entri DNS yatim.

Penggabungan ulang domain setelah migrasi

  1. Gabungkan VM baru ke domain: Setelah membuat VM baru dengan enkripsi di host, gabungkan ke domain.

    • Windows: Gunakan Add-Computer Cmdlet PowerShell atau Properti Sistem.
    • Linux: Gunakan konfigurasi manual untuk layanan domain yang menghosting domain Anda.

  2. Memulihkan pengaturan domain: Terapkan kembali konfigurasi, kebijakan grup, atau sertifikat khusus domain apa pun.

  3. Verifikasi fungsionalitas domain: Menguji autentikasi domain, aplikasi kebijakan grup, dan akses sumber daya jaringan.

Bergabung dengan domain Linux

Untuk VM Linux yang menggunakan Microsoft Entra Domain Services, gabungkan VM ke domain terkelola dengan menggunakan langkah-langkah gabungan domain Linux manual. Untuk informasi selengkapnya, lihat Menggabungkan komputer virtual Linux Ubuntu ke domain terkelola Microsoft Entra Domain Services.

Pertimbangan domain penting

  • VM baru memiliki SID komputer yang berbeda, yang mungkin memengaruhi beberapa aplikasi.
  • Segarkan tiket Kerberos dan kredensial yang di-cache.
  • Beberapa aplikasi terintegrasi domain mungkin memerlukan konfigurasi ulang.
  • Rencanakan potensi kehilangan sementara layanan domain selama migrasi.

Verifikasi pascamigrasi

Setelah menyelesaikan migrasi, verifikasi bahwa enkripsi di host berfungsi dengan benar:

  1. Periksa enkripsi pada status host: Verifikasi bahwa enkripsi di host diaktifkan.

    az vm show --resource-group "MyResourceGroup" --name "MyVM-New" --query "securityProfile.encryptionAtHost"

  2. Menguji fungsionalitas VM: Pastikan aplikasi dan layanan Anda berfungsi dengan benar.

  3. Verifikasi enkripsi disk: Konfirmasikan bahwa disk dienkripsi dengan benar:

    Get-AzDisk -ResourceGroupName "MyResourceGroup" -DiskName "MyVM-OS-New" | Select-Object Name, DiskState

  4. Memantau performa: Bandingkan performa sebelum dan sesudah migrasi untuk mengonfirmasi peningkatan yang diharapkan.

Untuk informasi selengkapnya tentang verifikasi enkripsi, lihat Mengaktifkan enkripsi end-to-end menggunakan enkripsi di host.

Cleanup

Setelah migrasi dan verifikasi berhasil:

  1. Menghapus VM lama: Hapus VM asli yang dienkripsi ADE.

  2. Menghapus disk lama: Hapus disk terenkripsi asli.

  3. Memperbarui kebijakan akses Key Vault: Solusi enkripsi disk lainnya menggunakan mekanisme otorisasi Key Vault standar. Jika Anda tidak lagi memerlukan Key Vault untuk Azure Disk Encryption, perbarui kebijakan aksesnya untuk menonaktifkan pengaturan enkripsi disk khusus:

    az keyvault update --name "YourKeyVaultName" --resource-group "YourResourceGroup" --enabled-for-disk-encryption false
  1. Membersihkan sumber daya: Hapus sumber daya sementara yang dibuat selama migrasi.
  2. Dokumentasi pembaruan: Perbarui dokumentasi infrastruktur Anda untuk mencerminkan migrasi ke enkripsi di host.

Masalah umum dan solusinya

Ukuran VM tidak mendukung enkripsi di host

Solusi: Periksa daftar ukuran VM yang didukung dan mengubah ukuran VM Anda jika perlu.

VM gagal dimulai setelah migrasi

Solusi: Periksa apakah semua disk terpasang dengan benar dan disk OS diatur sebagai disk boot.

Enkripsi di host tidak diaktifkan

Solusi: Verifikasi bahwa VM dibuat dengan --encryption-at-host true parameter dan langganan Anda mendukung fitur ini.

Masalah performa berlanjut

Solusi: Verifikasi bahwa enkripsi di host diaktifkan dengan benar dan bahwa ukuran VM mendukung performa yang diharapkan.

Langkah selanjutnya

  • Last updated on