Condividi tramite

Crittografia dischi di Azure per Linux (Microsoft.Azure.Security.AzureDiskEncryptionForLinux)

  • Articolo

Panoramica

Crittografia dischi di Azure sfrutta il sottosistema di dm-crypt di Linux per fornire la crittografia completa del disco nelle distribuzioni di Linux Azure selezionate. Questa soluzione è integrata con Azure Key Vault per gestire le chiavi e i segreti di crittografia dei dischi.

Prerequisiti

Per un elenco completo dei prerequisiti, vedere Crittografia dischi di Azure per le macchine virtuali Linux, in particolare le sezioni seguenti:

Schema dell'estensione

Esistono due versioni dello schema di estensione per Crittografia dischi di Azure (ADE):

  • v1.1 - Schema consigliato più recente che non usa le proprietà di Microsoft Entra.
  • v0.1: schema precedente che richiede le proprietà di Microsoft Entra.

Per selezionare uno schema di destinazione, la typeHandlerVersion proprietà deve essere impostata come uguale alla versione dello schema da usare.

Lo schema v1.1 è consigliato e non richiede le proprietà di Microsoft Entra.

Nota

Il DiskFormatQuery parametro è deprecato. La funzionalità è stata sostituita dall'opzione EncryptFormatAll, che è invece il modo consigliato per formattare i dischi dati al momento della crittografia.

{
  "type": "extensions",
  "name": "[name]",
  "apiVersion": "2019-07-01",
  "location": "[location]",
  "properties": {
        "publisher": "Microsoft.Azure.Security",
        "type": "AzureDiskEncryptionForLinux",
        "typeHandlerVersion": "1.1",
        "autoUpgradeMinorVersion": true,
        "settings": {
          "DiskFormatQuery": "[diskFormatQuery]",
          "EncryptionOperation": "[encryptionOperation]",
          "KeyEncryptionAlgorithm": "[keyEncryptionAlgorithm]",
          "KeyVaultURL": "[keyVaultURL]",
          "KeyVaultResourceId": "[KeyVaultResourceId]",
          "KeyEncryptionKeyURL": "[keyEncryptionKeyURL]",
          "KekVaultResourceId": "[KekVaultResourceId",
          "SequenceVersion": "sequenceVersion]",
          "VolumeType": "[volumeType]"
        }
  }
}

Schema v0.1: con Microsoft Entra ID

Lo schema 0.1 richiede AADClientID e AADClientSecret o AADClientCertificate.

Utilizzo di AADClientSecret:

{
  "type": "extensions",
  "name": "[name]",
  "apiVersion": "2019-07-01",
  "location": "[location]",
  "properties": {
    "protectedSettings": {
      "AADClientSecret": "[aadClientSecret]",
      "Passphrase": "[passphrase]"
    },
    "publisher": "Microsoft.Azure.Security",
    "type": "AzureDiskEncryptionForLinux",
    "typeHandlerVersion": "0.1",
    "settings": {
      "AADClientID": "[aadClientID]",
      "DiskFormatQuery": "[diskFormatQuery]",
      "EncryptionOperation": "[encryptionOperation]",
      "KeyEncryptionAlgorithm": "[keyEncryptionAlgorithm]",
      "KeyEncryptionKeyURL": "[keyEncryptionKeyURL]",
      "KeyVaultURL": "[keyVaultURL]",
      "SequenceVersion": "sequenceVersion]",
      "VolumeType": "[volumeType]"
    }
  }
}

Utilizzo di AADClientCertificate:

{
  "type": "extensions",
  "name": "[name]",
  "apiVersion": "2019-07-01",
  "location": "[location]",
  "properties": {
    "protectedSettings": {
      "AADClientCertificate": "[aadClientCertificate]",
      "Passphrase": "[passphrase]"
    },
    "publisher": "Microsoft.Azure.Security",
    "type": "AzureDiskEncryptionForLinux",
    "typeHandlerVersion": "0.1",
    "settings": {
      "AADClientID": "[aadClientID]",
      "DiskFormatQuery": "[diskFormatQuery]",
      "EncryptionOperation": "[encryptionOperation]",
      "KeyEncryptionAlgorithm": "[keyEncryptionAlgorithm]",
      "KeyEncryptionKeyURL": "[keyEncryptionKeyURL]",
      "KeyVaultURL": "[keyVaultURL]",
      "SequenceVersion": "sequenceVersion]",
      "VolumeType": "[volumeType]"
    }
  }
}

Valori delle proprietà

Nota: tutti i valori delle proprietà fanno distinzione tra maiuscole e minuscole.

Nome Valore/Esempio Tipo di dati
apiVersion 2019-07-01 data
publisher Microsoft.Azure.Security stringa
Tipo AzureDiskEncryptionForLinux stringa
typeHandlerVersion 1.1, 0.1 int
(schema 0.1) AADClientID xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx guid
(schema 0.1) AADClientSecret password stringa
(schema 0.1) AADClientCertificate thumbprint stringa
(facoltativo) (schema 0.1) Passphrase password stringa
DiskFormatQuery {"dev_path":"","name":"","file_system":""} Dizionario JSON
EncryptionOperation EnableEncryption, EnableEncryptionFormatAll stringa
(facoltativo : impostazione predefinita RSA-OAEP ) KeyEncryptionAlgorithm "RSA-OAEP", "RSA-OAEP-256", "RSA1_5" stringa
KeyVaultURL URL. stringa
KeyVaultResourceId URL. stringa
(facoltativo) KeyEncryptionKeyURL URL. stringa
(facoltativo) KekVaultResourceId URL. stringa
(facoltativo) SequenceVersion uniqueidentifier stringa
VolumeType Sistema operativo, dati, tutti stringa

Distribuzione del modello

Per un esempio di distribuzione di modelli basata sullo schema v1.1, vedere il modello di avvio rapido di Azure encrypt-running-linux-vm-without-aad.

Per un esempio di distribuzione di modelli basata sullo schema v0.1, vedere il modello di avvio rapido di Azure encrypt-running-linux-vm.

Avviso

  • Se in precedenza è stato usato Crittografia dischi di Azure con Microsoft Entra ID per crittografare una macchina virtuale, è necessario continuare a usare questa opzione per crittografare la macchina virtuale.
  • Durante la crittografia dei volumi del sistema operativo Linux, la macchina virtuale deve essere considerata non disponibile. È consigliabile evitare accessi SSH mentre è in corso la crittografia per evitare che eventuali file aperti a cui è necessario accedere durante il processo di crittografia risultino bloccati. Per controllare lo stato di avanzamento, usare il cmdlet Get-AzVMDiskEncryptionStatus di PowerShell o il comando vm encryption show cli. Questo processo può richiedere alcune ore per un volume di sistema operativo da 30 GB, più un tempo aggiuntivo per la crittografia dei volumi di dati. Il tempo di crittografia del volume dei dati sarà proporzionale alle dimensioni e alla quantità dei volumi di dati; l'opzione encrypt format all è più veloce della crittografia sul posto, ma comporterà la perdita di tutti i dati nei dischi.
  • La disabilitazione della crittografia nelle macchine virtuali Linux è supportata solo per i volumi di dati. Non è supportata nei dati o nei volumi del sistema operativo, se il volume del sistema operativo è stato crittografato.

Nota

Inoltre, se VolumeType il parametro è impostato su Tutti, i dischi dati verranno crittografati solo se sono montati correttamente.

Risoluzione dei problemi e supporto

Risoluzione dei problemi

Per la risoluzione di problemi, consultare la guida alla risoluzione dei problemi di Crittografia dischi di Azure.

Supporto tecnico

Per ricevere assistenza in relazione a qualsiasi punto di questo articolo, contattare gli esperti di Azure nei forum MSDN e Stack Overflow relativi ad Azure.

In alternativa, è possibile archiviare un evento imprevisto di supporto tecnico di Azure. Passare a supporto tecnico di Azure e selezionare Ottieni supporto. Per informazioni sull'uso del Supporto tecnico di Azure, leggere le Domande frequenti sul supporto tecnico di Azure.

Passaggi successivi