重要
Azure Disk Encryption は、 2028 年 9 月 15 日に廃止される予定です。 その日まで、中断することなく Azure Disk Encryption を引き続き使用できます。 2028 年 9 月 15 日に、ADE 対応ワークロードは引き続き実行されますが、暗号化されたディスクは VM の再起動後にロック解除に失敗し、サービスが中断されます。
新しい VM の ホストで暗号化 を使用するか、 コンフィデンシャル コンピューティング ワークロード用の OS ディスク暗号化を使用して機密 VM サイズ を検討します。 サービスの中断を回避するために、すべての ADE 対応 VM (バックアップを含む) を提供終了日より前にホストで暗号化に移行する必要があります。 詳細については、「 Azure Disk Encryption からホストでの暗号化への移行 」を参照してください。
適用対象: ✔️ Windows VM
Azure PowerShell モジュールを使用して、PowerShell コマンド ラインまたはスクリプトからAzureリソースを作成および管理します。 このクイックスタートでは、Azure PowerShell モジュールを使用して、Windows仮想マシン (VM) を作成し、暗号化キーのストレージ用のKey Vaultを作成し、VM を暗号化する方法について説明します。
Azure サブスクリプションをお持ちでない場合は、開始する前に 無料アカウント を作成してください。
リソース グループを作成する
New-AzResourceGroup を使用して Azure リソース グループを作成します。 リソース グループとは、Azure リソースの展開と管理に使用する論理コンテナーです。
New-AzResourceGroup -Name "myResourceGroup" -Location "EastUS"
仮想マシンの作成
New-AzVM を使用して、Azure 仮想マシンを作成します。 コマンドレットに資格情報を指定します。
$cred = Get-Credential
New-AzVM -Name MyVm -Credential $cred -ResourceGroupName MyResourceGroup -Image win2016datacenter -Size Standard_D2S_V3
VM のデプロイには数分かかります。
暗号化キー用に構成されたキー コンテナーを作成する
Azure Disk Encryptionは、その暗号化キーをAzure Key Vaultに格納します。
New-AzKeyVault を使用してキー コンテナーを作成します。 キー コンテナーで暗号化キーを格納できるようにするには、 -EnabledForDiskEncryption パラメーターを使用します。
重要
各キー ボールトには一意の名前が必要です。 次の例では 、myKV という名前のキー コンテナーを作成しますが、別の名前を付けなければなりません。
New-AzKeyVault -name MyKV -ResourceGroupName myResourceGroup -Location EastUS -EnabledForDiskEncryption
仮想マシンを暗号化する
Set-AzVmDiskEncryptionExtension を使用して VM を暗号化します。
Set-AzVmDiskEncryptionExtension には、キー コンテナー オブジェクトの値がいくつか必要です。 これらの値を取得するには、キー コンテナーの一意の名前を Get-AzKeyVault に渡します。
$KeyVault = Get-AzKeyVault -VaultName MyKV -ResourceGroupName MyResourceGroup
Set-AzVMDiskEncryptionExtension -ResourceGroupName MyResourceGroup -VMName MyVM -DiskEncryptionKeyVaultUrl $KeyVault.VaultUri -DiskEncryptionKeyVaultId $KeyVault.ResourceId
数分後、プロセスは次の出力を返します。
RequestId IsSuccessStatusCode StatusCode ReasonPhrase
--------- ------------------- ---------- ------------
True OK OK
暗号化プロセスを検証するには、Get-AzVmDiskEncryptionStatus を実行します。
Get-AzVmDiskEncryptionStatus -VMName MyVM -ResourceGroupName MyResourceGroup
暗号化を有効にすると、返される出力に次のフィールドが表示されます。
OsVolumeEncrypted : Encrypted
DataVolumesEncrypted : NoDiskFound
OsVolumeEncryptionSettings : Microsoft.Azure.Management.Compute.Models.DiskEncryptionSettings
ProgressMessage : Provisioning succeeded
リソースをクリーンアップする
これらのリソースが不要になったら、 Remove-AzResourceGroup コマンドレットを使用して、リソース グループ、VM、およびすべての関連リソースを削除します。
Remove-AzResourceGroup -Name "myResourceGroup"
次のステップ
このクイック スタートでは、仮想マシンを作成し、暗号化キーが有効になっているキー コンテナーを作成し、VM を暗号化しました。 IaaS VM の前提条件Azure Disk Encryption詳細については、次の記事を参照してください。