Important
Azure Disk Encryption は、 2028 年 9 月 15 日に廃止される予定です。 その日まで、中断することなく Azure Disk Encryption を引き続き使用できます。 2028 年 9 月 15 日に、ADE 対応ワークロードは引き続き実行されますが、暗号化されたディスクは VM の再起動後にロック解除に失敗し、サービスが中断されます。
新しい VM の ホストで暗号化 を使用するか、 コンフィデンシャル コンピューティング ワークロード用の OS ディスク暗号化を使用して機密 VM サイズ を検討します。 サービスの中断を回避するために、すべての ADE 対応 VM (バックアップを含む) を提供終了日より前にホストで暗号化に移行する必要があります。 詳細については、「 Azure Disk Encryption からホストでの暗号化への移行 」を参照してください。
注意
CentOS の有効期間終了に関する通知: この記事では、有効期間が終了している CentOS を参照します。 CentOS を使用しているお客様は、デプロイ計画を再確認し、サポートされている Linux ディストリビューションへの移行を検討してください。 移行のガイダンスとタイムラインについては、 CentOS の終了ガイダンスを参照してください。
適用対象: ✔️ Linux VM ✔️ フレキシブル スケール セット
Azure Disk Encryptionは、組織のセキュリティとコンプライアンスのコミットメントを満たすためにデータを保護するのに役立ちます。 Linux の DM-Crypt 機能を使用して、Azure 仮想マシン (VM) の OS とデータ ディスクにボリューム暗号化が提供されます。これは、ディスク暗号化キーとシークレットを制御および管理できるように、Azure Key Vault に統合されています。
Azure Disk Encryptionはゾーンの回復性があり、Azure 仮想マシンと同じ方法です。 詳細については、「Availability Zones をサポートする Azure サービス」を参照してください。
Microsoft Defender for Cloud を使用している場合、暗号化されていない VM があると警告されます。 アラートは重大度が高く表示され、これらの VM を暗号化することをお勧めします。
警告
- これまで Azure Disk Encryption と Microsoft Entra ID を使って VM を暗号化していた場合は、引き続きこのオプションを使って VM を暗号化する必要があります。 詳細については、「Microsoft Entra ID での Azure Disk Encryption (以前のリリース)」を参照してください。
- 特定の推奨事項により、データ、ネットワーク、またはコンピューティング リソースの使用量が増加し、追加のライセンスまたはサブスクリプション コストが発生する可能性があります。 サポートされているリージョンにおいて Azure でリソースを作成するための有効なアクティブ Azure サブスクリプションが必要です。
「クイックスタート: Azure CLI で Linux VM を作成して暗号化する」または「クイックスタート: Azure PowerShell で Linux VM を作成して暗号化する」では、Linux 用 Azure Disk Encryption の基礎について数分で学習できます。
サポートされている VM とオペレーティング システム
サポート対象の VM
Linux VM は、さまざまなサイズで利用できます。 Azure Disk Encryption は、第 1 世代と第 2 世代の VM でサポートされています。 Azure Disk Encryption は、Premium Storage を使用した VM でも利用できます。
「ローカル一時ディスクを持たない Azure VM のサイズ」を参照してください。
Azure Disk Encryptionは、Basic、A シリーズ VM、v6 シリーズ VM、v7 シリーズ VM、またはそれ以降、またはこれらの最小メモリ要件を満たしていない仮想マシンでは使用できません。
メモリの要件
| 仮想マシン | 最小メモリ要件 |
|---|---|
| Linux VM (データ ボリュームのみを暗号化する場合) | 2 GB |
| Linux VM (データ ボリュームと OS ボリュームの両方を暗号化し、なおかつルート (/) ファイル システムの使用量が 4 GB 以下の場合) | 8 GB |
| Linux VM (データ ボリュームと OS ボリュームの両方を暗号化し、なおかつルート (/) ファイル システムの使用量が 4 GB を超える場合) | ルート ファイル システムの使用量 * 2。 たとえば、ルート ファイル システムの使用量が 16 GB の場合、32 GB 以上の RAM が必要になります |
Linux 仮想マシンで OS ディスク暗号化プロセスが完了したら、メモリを少なくして実行するように VM を構成できます。
例外の詳細については、「Azure Disk Encryption: 制限」を参照してください。
サポートされるオペレーティング システム
Azure Disk Encryptionは、Azure動作保証済み Linux ディストリビューションのサブセットでサポートされています。これは、それ自体が可能なすべての Linux サーバー ディストリビューションのサブセットです。
Azureが保証していない Linux サーバーディストリビューションでは、Azure Disk Encryptionはサポートされません。 保証Azureディストリビューションのうち、Azure Disk Encryptionをサポートするのは次のディストリビューションとバージョンのみです。
| 公開元 | プラン | SKU | URN | 暗号化がサポートされているボリュームの種類 |
|---|---|---|---|---|
| Canonical | Ubuntu | 24.04-LTS | Canonical:ubuntu-24_04-lts-daily:server-gen1:latest | OS とデータ ディスク |
| Canonical | Ubuntu | 24.04-LTS 第2世代 | Canonical:ubuntu-24_04-lts:server:latest | OS とデータ ディスク |
| Canonical | Ubuntu | 22.04-LTS | Canonical:0001-com-ubuntu-server-jammy:22_04-lts:latest | OS とデータ ディスク |
| Canonical | Ubuntu | 22.04-LTS Gen2 | Canonical:0001-com-ubuntu-server-jammy:22_04-lts-gen2:latest | OS とデータ ディスク |
| Canonical | Ubuntu | 20.04-LTS | Canonical:0001-com-ubuntu-server-focal:20_04-lts:latest | OS とデータ ディスク |
| Canonical | Ubuntu | 20.04-DAILY-LTS | Canonical:0001-com-ubuntu-server-focal-daily:20_04-daily-lts:latest | OS とデータ ディスク |
| Canonical | Ubuntu | 20.04-LTS Gen2 | Canonical:0001-com-ubuntu-server-focal:20_04-lts-gen2:latest | OS とデータ ディスク |
| Canonical | Ubuntu | 20.04-DAILY-LTS Gen2 | Canonical:0001-com-ubuntu-server-focal-daily:20_04-daily-lts-gen2:latest | OS とデータ ディスク |
| Canonical | Ubuntu | 18.04-LTS | Canonical:UbuntuServer:18.04-LTS:latest | OS とデータ ディスク |
| Canonical | Ubuntu 18.04 | 18.04-DAILY-LTS | Canonical:UbuntuServer:18.04-DAILY-LTS:latest | OS とデータ ディスク |
| MicrosoftCBLMariner | cbl-mariner | cbl-mariner-2 | MicrosoftCBLMariner:cbl-mariner:cbl-mariner-2:latest* | OS とデータ ディスク |
| MicrosoftCBLMariner | cbl-mariner | cbl-mariner-2-gen2 | MicrosoftCBLMariner:cbl-mariner:cbl-mariner-2-gen2:latest* | OS とデータ ディスク |
| OpenLogic | CentOS 8-LVM | 8-LVM | OpenLogic:CentOS-LVM:8-LVM:latest | OS とデータ ディスク |
| OpenLogic | CentOS 8.4 | 8_4 | OpenLogic:CentOS:8_4:latest | OS とデータ ディスク |
| OpenLogic | CentOS 8.3 | 8_3 | OpenLogic:CentOS:8_3:latest | OS とデータ ディスク |
| OpenLogic | CentOS 8.2 | 8_2 | OpenLogic:CentOS:8_2:latest | OS とデータ ディスク |
| OpenLogic | CentOS 7-LVM | 7-LVM | OpenLogic:CentOS-LVM:7-LVM:7.9.2021020400 | OS とデータ ディスク |
| OpenLogic | CentOS 7.9 | 7_9 | OpenLogic:CentOS:7_9:latest | OS とデータ ディスク |
| OpenLogic | CentOS 7.8 | 7_8 | OpenLogic:CentOS:7_8:latest | OS とデータ ディスク |
| OpenLogic | CentOS 7.7 | 7.7 | OpenLogic:CentOS:7.7:latest | OS とデータ ディスク |
| OpenLogic | CentOS 7.6 | 7.6 | OpenLogic:CentOS:7.6:latest | OS とデータ ディスク |
| OpenLogic | CentOS 7.5 | 7.5 | OpenLogic:CentOS:7.5:最新版 | OS とデータ ディスク |
| OpenLogic | CentOS 7.4 | 7.4 | OpenLogic:CentOS:7.4:最新 | OS とデータ ディスク |
| OpenLogic | CentOS 6.8 | 6.8 | OpenLogic:CentOS:6.8:最新 | データ ディスクのみ |
| オラクル | Oracle Linux 8.6 | 8.6 | Oracle:Oracle-Linux:ol86-lvm:latest | OS とデータ ディスク (注を参照) |
| オラクル | Oracle Linux 8.6 Gen 2 | 8.6 | Oracle:Oracle-Linux:ol86-lvm-gen2:latest | OS とデータ ディスク (注を参照) |
| オラクル | Oracle Linux 8.5 | 8.5 | Oracle:Oracle-Linux:ol85-lvm:latest | OS とデータ ディスク (注を参照) |
| オラクル | Oracle Linux 8.5 Gen 2 | 8.5 | Oracle:Oracle-Linux:ol85-lvm-gen2:latest | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 9.4 | 9.4 | RedHat:RHEL:9_4:最新 | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 9.4 Gen 2 | 9.4 | RedHat:RHEL:94_gen2:latest | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 9.3 | 9.3 | RedHat:RHEL:9_3:latest | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 9.3 Gen 2 | 9.3 | RedHat:RHEL:93-gen2:latest | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 9.2 | 9.2 | RedHat:RHEL:9_2:latest | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 9.2 Gen 2 | 9.2 | RedHat:RHEL:92-gen2:latest | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 9.0 | 9.0 | RedHat:RHEL:9_0:latest | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 9.0 Gen 2 | 9.0 | RedHat:RHEL:90-gen2:latest | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 9-lvm | 9-lvm | RedHat:RHEL:9-lvm:latest | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 9-lvm Gen 2 | 9-lvm-gen2 | RedHat:RHEL:9-lvm-gen2:latest | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 8.9 | 8.9 | RedHat:RHEL:8_9:latest | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 8.9 Gen 2 | 8.9 | RedHat:RHEL:89-gen2:latest | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 8.8 | 8.8 | RedHat:RHEL:8_8:latest | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 8.8 Gen 2 | 8.8 | RedHat:RHEL:88-gen2:latest | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 8.7 | 8.7 | RedHat:RHEL:8_7:最新バージョン | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 8.7 Gen 2 | 8.7 | RedHat:RHEL:87-gen2:latest | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 8.6 | 8.6 | RedHat:RHEL:8_6:latest | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 8.6 Gen 2 | 8.6 | RedHat:RHEL:86-gen2:latest | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 8.5 | 8.5 | RedHat:RHEL:8_5:latest | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 8.5 Gen 2 | 8.5 | RedHat:RHEL:85-gen2:latest | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 8.4 | 8.4 | RedHat:RHEL:8.4:最新バージョン | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 8.3 | 8.3 | RedHat:RHEL:8.3:latest | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 8-LVM | 8-LVM | RedHat:RHEL:8-LVM:latest | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 8-LVM Gen 2 | 8-lvm-gen2 | RedHat:RHEL:8-lvm-gen2:latest | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 8.2 | 8.2 | RedHat:RHEL:8.2:最新 | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 8.1 | 8.1 | RedHat:RHEL:8.1:最新 | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 7-LVM | 7-LVM | RedHat:RHEL:7-LVM:7.9.2020111202 | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 7.9 | 7_9 | RedHat:RHEL:7_9:latest | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 7.8 | 7.8 | RedHat:RHEL:7.8:latest | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 7.7 | 7.7 | RedHat:RHEL:7.7:latest | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 7.6 | 7.6 | RedHat:RHEL:7.6:latest | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 7.5 | 7.5 | RedHat:RHEL:7.5:latest | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 7.4 | 7.4 | RedHat:RHEL:7.4:latest | OS とデータ ディスク (注を参照) |
| RedHat | RHEL 6.8 | 6.8 | RedHat:RHEL:6.8:latest | データ ディスク (注を参照) |
| RedHat | RHEL 6.7 | 6.7 | RedHat:RHEL:6.7:latest | データ ディスク (注を参照) |
| SUSE | openSUSE 42.3 | 42.3 | SUSE:openSUSE-Leap:42.3:latest | データ ディスクのみ |
| SUSE | SLES 12-SP4 | 12-SP4 | SUSE:SLES:12-SP4:最新バージョン | データ ディスクのみ |
| SUSE | SLES HPC 12-SP3（SuSE Linux Enterprise Server High Performance Computing 12 Service Pack 3） | 12-SP3 | SUSE:SLES-HPC:12-SP3:latest | データ ディスクのみ |
* 2023 年 5 月以上のイメージ バージョンの場合。
注
RHEL:
- RHEL7 の従量課金制イメージについては、RHEL OS とデータ ディスクに新しい Azure Disk Encryption の実装がサポートされます。
- ADE は、RHEL Bring-Your-Own-Subscription Gold イメージについても、サブスクリプションが登録された 後 にのみサポートされています。 詳細については、「Azure での Red Hat Enterprise Linux のサブスクリプション持ち込み Gold Image」を参照してください。
すべてのディストリビューション:
- 特定のオファーの種類に対する ADE のサポートは、発行元によって提供される有効期間の終了日を超えることはありません。
- (Microsoft Entra資格情報を使用する) レガシ ADE ソリューションは、新しい VM には推奨されず、RHEL 7.8 より後の RHEL バージョンまたは Python 3 が既定の RHEL バージョンと互換性がありません。
追加の VM 要件
Azure Disk Encryption では、dm-crypt モジュールと vfat モジュールがシステムに存在している必要があります。 vfat を既定のイメージから削除したり無効にしたりすると、システムはキー ボリュームを読み取って、その後のリブートでディスクのロックを解除するために必要なキーを取得できなくなります。 vfat モジュールをシステムから削除する、またはデータ ドライブ上の OS マウントポイント/フォルダーの拡張を強制するシステムの強化手順は、Azure Disk Encryptionと互換性がありません。
暗号化を有効にする前に、暗号化するデータ ディスクを /etc/fstabに適切に一覧表示する必要があります。 エントリを作成するときに "nofail" オプションを使用し、永続的なブロック デバイス名を選択します ("/dev/sdX" 形式のデバイス名は、再起動後、特に暗号化後に同じディスクに関連付けられていない可能性があります。この動作の詳細については、「 Linux VM デバイス名の変更のトラブルシューティング」を参照してください)。
/etc/fstab 設定がマウント用に正しく構成されていることを確認します。 これらの設定を構成するには、 mount -a コマンドを実行するか、VM を再起動して、その方法で再マウントをトリガーします。 その手順が完了したら、 lsblk コマンドの出力を確認して、ドライブがまだマウントされていることを確認します。
- 暗号化を有効にする前に /etc/fstab ファイルによってドライブが適切にマウントされない場合、Azure Disk Encryption Azure でそれを適切にマウントできません。
- Azure Disk Encryption プロセスは、暗号化プロセスの一部として、/etc/fstab から独自の構成ファイルにマウント情報を移動します。 データ ドライブの暗号化が完了した後、/etc/fstab からそのエントリがなくなっても気にする必要はありません。
- 暗号化を開始する前に、マウントされたデータ ディスクに書き込む可能性があるすべてのサービスとプロセスを停止し、それらを無効にして、再起動後に自動的に再起動しないようにします。 これらのプロセスでは、これらのパーティションでファイルを開いたままにしておき、暗号化手順を再マウントできず、暗号化が失敗する可能性があります。
- 再起動後、Azure Disk Encryption プロセスでは、新しく暗号化されたディスクのマウントに時間がかかります。 再起動後すぐには利用できません。 プロセスには、他のプロセスがドライブにアクセスする前に、暗号化されたドライブを開始、ロック解除、マウントする時間が必要です。 システムの特性によっては、再起動後にこのプロセスが 1 分以上かかる場合があります。
次の例は、データ ディスクをマウントし、必要な /etc/fstab エントリを作成するために使用されるコマンドを示しています。
sudo UUID0="$(blkid -s UUID -o value /dev/sda1)"
sudo UUID1="$(blkid -s UUID -o value /dev/sda2)"
sudo mkdir /data0
sudo mkdir /data1
sudo echo "UUID=$UUID0 /data0 ext4 defaults,nofail 0 0" >>/etc/fstab
sudo echo "UUID=$UUID1 /data1 ext4 defaults,nofail 0 0" >>/etc/fstab
sudo mount -a
ネットワーク要件
Azure Disk Encryption 機能を有効にするには、Linux VM で次のネットワーク エンドポイントの構成要件が満たされている必要があります。
- Linux VM では、Azure 拡張リポジトリがホストされている Azure ストレージ エンドポイントと、VHD ファイルがホストされている Azure ストレージ アカウントに接続できる必要があります。
- セキュリティ ポリシーで Azure VM からインターネットへのアクセスが制限されている場合は、上記の URI を解決し、IP への送信接続を許可するための特定のルールを構成することができます。 詳細については、「ファイアウォールの内側にある Azure Key Vault へのアクセス」を参照してください。
暗号化キーのストレージ要件
Azure Disk Encryption では、ディスク暗号化キーとシークレットを制御および管理するために、Azure Key Vault が必要です。 ご利用のキー コンテナーと VM は、同じ Azure リージョンおよびサブスクリプションに存在している必要があります。
詳細については、「Azure Disk Encryption 用のキー コンテナーの作成と構成」をご覧ください。
用語
次の表では、Azure Disk Encryptionドキュメントで使用される一般的な用語を定義します。
| 用語 | 定義 |
|---|---|
| Azure Key Vault | Azure Key Vaultは、Federal Information Processing Standards (FIPS) で検証されたハードウェア セキュリティ モジュールに基づく暗号化キー管理サービスです。 これらの標準は、暗号化キーと機密性の高いシークレットを保護するために役立ちます。 詳細については、Azure Key Vault のドキュメントと「Azure Disk Encryption 用のキー コンテナーの作成と構成」をご覧ください。 |
| Azure CLI | Azure CLI は、コマンド ラインから Azure リソースを管理できるように最適化されています。 |
| DM-Crypt | DM-Crypt は、Linux VM でディスク暗号化を有効にするために使用される Linux ベースの透過的なディスク暗号化サブシステムです。 |
| キー暗号化キー (KEK) | シークレットを保護またはラップするために使用できる非対称キー (RSA 2048) です。 ハードウェア セキュリティ モジュール (HSM) で保護されたキーまたはソフトウェアで保護されたキーを指定できます。 詳細については、Azure Key Vault のドキュメントと「Azure Disk Encryption 用のキー コンテナーの作成と構成」をご覧ください。 |
| PowerShell コマンドレット | 詳しくは、Azure PowerShell コマンドレットに関するページをご覧ください。 |
次のステップ
- クイック スタート - Azure CLI を使用して Linux VM を作成、暗号化する
- クイック スタート - Azure PowerShell を使用して Linux VM を作成、暗号化する
- Linux VM での Azure Disk Encryption シナリオ
- Azure Disk Encryption からホストでの暗号化に移行する
- Azure Disk Encryption の前提条件の CLI スクリプト
- Azure Disk Encryption の前提条件の PowerShell スクリプト
- Azure Disk Encryption 用のキー コンテナーの作成と構成