Veelgestelde vragen over Azure Disk Encryption voor virtuele Windows-machines

Azure Disk Encryption voor Windows-VM's maakt gebruik van de BitLocker-functie van Windows om volledige schijfversleuteling van de besturingssysteemschijf en gegevensschijven te bieden. Daarnaast biedt het versleuteling van de tijdelijke schijf wanneer de parameter VolumeType All is. De inhoud stroomt versleuteld van de VIRTUELE machine naar de back-end van Storage. Zo biedt u end-to-end-versleuteling met een door de klant beheerde sleutel.

Zie Ondersteunde VM's en besturingssystemen.

Azure Disk Encryption is algemeen beschikbaar in alle openbare Azure-regio's.

Azure Disk Encryption GA ondersteunt Azure Resource Manager-sjablonen, Azure PowerShell en Azure CLI. De verschillende gebruikerservaringen bieden u flexibiliteit. U hebt drie verschillende opties voor het inschakelen van schijfversleuteling voor uw VM's. Zie Azure Disk Encryption-scenario's voor Windows voor meer informatie over de gebruikerservaring en stapsgewijze richtlijnen die beschikbaar zijn in Azure Disk Encryption.

Er worden geen kosten in rekening gebracht voor het versleutelen van VM-schijven met Azure Disk Encryption, maar er zijn kosten verbonden aan het gebruik van Azure Key Vault. Zie de pagina met prijzen voor Key Vault voor meer informatie over azure Key Vault-kosten.

Lees het overzicht van Azure Disk Encryption om aan de slag te gaan.

In het overzichtsartikel over Azure Disk Encryption worden de VM-grootten en VM-besturingssystemen vermeld die Ondersteuning bieden voor Azure Disk Encryption.

U kunt zowel opstart- als gegevensvolumes versleutelen, maar u kunt de gegevens niet versleutelen zonder eerst het besturingssysteemvolume te versleutelen.

Nee, Azure Disk Encryption versleutelt alleen gekoppelde volumes.

Versleuteling aan de serverzijde versleutelt Azure Managed Disks in Azure Storage. Beheerde schijven worden standaard versleuteld met versleuteling aan de serverzijde met een door het platform beheerde sleutel (vanaf 10 juni 2017). U kunt versleuteling van beheerde schijven beheren met uw eigen sleutels door een door de klant beheerde sleutel op te geven. Zie Versleuteling aan de serverzijde van beheerde Azure-schijven voor meer informatie.

Azure Disk Encryption biedt end-to-end-versleuteling voor de besturingssysteemschijf, gegevensschijven en de tijdelijke schijf met een door de klant beheerde sleutel.

• Als uw vereisten omvatten het versleutelen van alle bovenstaande en end-to-end-versleuteling, gebruikt u Azure Disk Encryption.
• Als uw vereisten bestaan uit het versleutelen van alleen data-at-rest met door de klant beheerde sleutel, gebruikt u versleuteling aan de serverzijde met door de klant beheerde sleutels. U kunt een schijf met zowel Azure Disk Encryption als Storage-versleuteling aan de serverzijde niet versleutelen met door de klant beheerde sleutels.
• Als u een scenario gebruikt dat wordt beschreven in Beperkingen, kunt u versleuteling aan de serverzijde overwegen met door de klant beheerde sleutels.
• Als u met het beleid van uw organisatie inactieve inhoud kunt versleutelen met een door Azure beheerde sleutel, is er geen actie nodig. De inhoud wordt standaard versleuteld. Voor beheerde schijven wordt de inhoud in de opslag standaard versleuteld met versleuteling aan de serverzijde met een door het platform beheerde sleutel. De sleutel wordt beheerd door de Azure Storage-service.

Als u geheimen wilt draaien, roept u dezelfde opdracht aan die u oorspronkelijk hebt gebruikt om schijfversleuteling in te schakelen, waarbij u een andere Sleutelkluis opgeeft. Als u de sleutelversleutelingssleutel wilt draaien, roept u dezelfde opdracht aan die u oorspronkelijk hebt gebruikt om schijfversleuteling in te schakelen, waarbij u de nieuwe sleutelversleuteling opgeeft.

Als u een sleutelversleutelingssleutel wilt toevoegen, roept u de opdracht Enable opnieuw aan en geeft u de parameter voor de sleutelversleutelingssleutel door. Als u een sleutelversleutelingssleutel wilt verwijderen, roept u de opdracht Inschakelen opnieuw aan zonder de parameter voor de sleutelversleutelingssleutel.

Windows Server 2022 en Windows 11 bevatten een nieuwere versie van BitLocker en werkt momenteel niet met RSA 2048-bits sleutelversleutelingssleutels. Gebruik totdat dit is opgelost een RSA 3072- of RSA 4096-bits sleutels, zoals beschreven in ondersteunde besturingssystemen.

Voor eerdere versies van Windows kunt u in plaats daarvan RSA 2048-sleutelversleutelingssleutels gebruiken.

Ja, u kunt uw eigen sleutelversleutelingssleutels opgeven. Deze sleutels worden beveiligd in Azure Key Vault. Dit is het sleutelarchief voor Azure Disk Encryption. Zie Een sleutelkluis voor Azure Disk Encryption maken en configureren voor meer informatie over de ondersteuningsscenario's voor sleutelversleutelingssleutels.

Ja, u kunt Azure Key Vault gebruiken om een sleutelversleutelingssleutel te genereren voor azure-schijfversleuteling. Deze sleutels worden beveiligd in Azure Key Vault. Dit is het sleutelarchief voor Azure Disk Encryption. Zie Een sleutelkluis maken en configureren voor Azure Disk Encryption voor meer informatie over de sleutelversleutelingssleutel.

U kunt de on-premises sleutelbeheerservice of HSM niet gebruiken om de versleutelingssleutels te beveiligen met Azure Disk Encryption. U kunt de Azure Key Vault-service alleen gebruiken om de versleutelingssleutels te beveiligen. Zie Voor meer informatie over de ondersteuningsscenario's voor sleutelversleutelingssleutels een sleutelkluis maken en configureren voor Azure Disk Encryption.

Er zijn vereisten voor Azure Disk Encryption. Zie het artikel Een sleutelkluis maken en configureren voor Azure Disk Encryption om een nieuwe sleutelkluis te maken of stel een bestaande sleutelkluis in voor toegang tot schijfversleuteling om versleuteling in te schakelen en geheimen en sleutels te beveiligen. Zie Voor meer informatie over de ondersteuningsscenario's voor sleutelversleutelingssleutels een sleutelkluis maken en configureren voor Azure Disk Encryption.

Er zijn vereisten voor Azure Disk Encryption. Zie azure Disk Encryption met Microsoft Entra ID-inhoud om een Microsoft Entra-toepassing te maken, een nieuwe sleutelkluis te maken of een bestaande sleutelkluis in te stellen voor toegang tot schijfversleuteling om versleuteling in te schakelen en geheimen en sleutels te beveiligen. Zie Voor meer informatie over de ondersteuningsscenario's voor sleutelversleutelingssleutels een sleutelkluis maken en configureren voor Azure Disk Encryption met Microsoft Entra-id.

Ja. Schijfversleuteling met behulp van een Microsoft Entra-app wordt nog steeds ondersteund. Bij het versleutelen van nieuwe VM's is het echter raadzaam om de nieuwe methode te gebruiken in plaats van te versleutelen met een Microsoft Entra-app.

Er is momenteel geen directe migratiepad voor machines die zijn versleuteld met een Microsoft Entra-app voor versleuteling zonder een Microsoft Entra-app. Daarnaast is er geen direct pad van versleuteling zonder een Microsoft Entra-app naar versleuteling met een AD-app.

Gebruik de nieuwste versie van de Azure PowerShell SDK om Azure Disk Encryption te configureren. Download de nieuwste versie van Azure PowerShell. Azure Disk Encryption wordt niet ondersteund door Azure SDK-versie 1.1.0.

Het 'Bek-volume' is een lokaal gegevensvolume waarmee de versleutelingssleutels voor versleutelde Azure-VM's veilig worden opgeslagen.

Azure Disk Encryption selecteert de versleutelingsmethode in BitLocker op basis van de versie van Windows als volgt:

* AES 256-bits met Diffuser wordt niet ondersteund in Windows 2012 en hoger.

Als u de versie van het Windows-besturingssysteem wilt bepalen, voert u het hulpprogramma winver uit op uw virtuele machine.

Azure Backup biedt een mechanisme voor het maken en herstellen van versleutelde VM's binnen hetzelfde abonnement en dezelfde regio. Zie Back-up maken en terugzetten van versleutelde virtuele machines met Azure Backup voor instructies. Het herstellen van een versleutelde VM naar een andere regio wordt momenteel niet ondersteund.

U kunt vragen stellen of feedback geven op de microsoft Q&A-vragenpagina voor Azure Disk Encryption.

Volgende stappen

In dit document hebt u meer geleerd over de meest voorkomende vragen met betrekking tot Azure Disk Encryption. Zie de volgende artikelen voor meer informatie over deze service:

• Overzicht van Azure Disk Encryption
• Schijfversleuteling toepassen in Azure Security Center
• Versleuteling van inactieve gegevens in Azure