Dubbele versleuteling-at-rest inschakelen voor beheerde schijven
Artikel
Van toepassing op: ✔️ Virtuele Linux-machines ✔️ van Windows ✔️
Azure Disk Storage ondersteunt dubbele versleuteling-at-rest voor beheerde schijven. Voor conceptuele informatie over dubbele versleuteling at rest en andere typen beheerde schijfversleuteling raadpleegt u de sectie Dubbele versleuteling-at-rest van ons artikel over schijfversleuteling.
Beperkingen
Dubbele versleuteling-at-rest wordt momenteel niet ondersteund met Ultra Disks of Premium SSD v2-schijven.
Vereisten
Als u Azure CLI gaat gebruiken, installeert u de nieuwste Azure CLI en meldt u zich aan bij een Azure-account met az login.
Als u de Azure PowerShell-module gaat gebruiken, installeert u de nieuwste Versie van Azure PowerShell en meldt u zich aan bij een Azure-account met behulp van Connect-AzAccount.
Selecteer voor het versleutelingstype dubbele versleuteling met door het platform beheerde en door de klant beheerde sleutels.
Notitie
Wanneer u een schijfversleutelingsset met een bepaald versleutelingstype hebt gemaakt, kan deze niet worden gewijzigd. Als u een ander versleutelingstype wilt gebruiken, moet u een nieuwe schijfversleutelingsset maken.
Vul de resterende gegevens in.
Selecteer een Azure Key Vault en sleutel of maak indien nodig een nieuwe sleutel.
Notitie
Als u een Key Vault-exemplaar maakt, moet u voorlopig verwijderen en beveiliging tegen opschonen inschakelen. Deze instellingen zijn verplicht bij het gebruik van een Sleutelkluis voor het versleutelen van beheerde schijven en beschermen u tegen het verlies van gegevens vanwege onbedoelde verwijdering.
Selecteer Maken.
Navigeer naar de schijfversleutelingsset die u hebt gemaakt en selecteer de fout die wordt weergegeven. Hiermee configureert u de schijfversleutelingsset zodat deze werkt.
Er wordt een melding weergegeven en geslaagd. Hierdoor kunt u de schijfversleutelingsset gebruiken met uw sleutelkluis.
Navigeer naar uw schijf.
Selecteer Versleuteling.
Voor sleutelbeheer selecteert u een van de sleutels onder Door platform beheerde en door de klant beheerde sleutels.
selecteer Opslaan.
U hebt nu dubbele versleuteling in rust ingeschakeld op uw beheerde schijf.
Maak een exemplaar van Azure Key Vault en versleutelingssleutel.
Wanneer u het Key Vault-exemplaar maakt, moet u voorlopig verwijderen en beveiliging tegen opschonen inschakelen. Voorlopig verwijderen zorgt ervoor dat de Sleutelkluis een verwijderde sleutel bevat voor een bepaalde bewaarperiode (standaard 90 dagen). Beveiliging tegen opschonen zorgt ervoor dat een verwijderde sleutel pas definitief kan worden verwijderd als de bewaarperiode is verstreken. Met deze instellingen kunt u geen gegevens kwijtraken vanwege onbedoelde verwijdering. Deze instellingen zijn verplicht wanneer u een sleutelkluis gebruikt voor het versleutelen van beheerde schijven.
subscriptionId=yourSubscriptionID
rgName=yourResourceGroupName
location=westcentralus
keyVaultName=yourKeyVaultName
keyName=yourKeyName
diskEncryptionSetName=yourDiskEncryptionSetName
diskName=yourDiskName
az account set --subscription $subscriptionId
az keyvault create -n $keyVaultName -g $rgName -l $location --enable-purge-protection true --enable-soft-delete true
az keyvault key create --vault-name $keyVaultName -n $keyName --protection software
Haal de sleutel-URL op van de sleutel waarmee az keyvault key showu hebt gemaakt.
az keyvault key show --name $keyName --vault-name $keyVaultName
Maak een DiskEncryptionSet met encryptionType ingesteld als EncryptionAtRestWithPlatformAndCustomerKeys. Vervang door yourKeyURL de URL van az keyvault key showwaaruit u hebt ontvangen.
Verdeel de DiskEncryptionSet-resource toegang tot de sleutelkluis.
Notitie
Het kan enkele minuten duren voordat Azure de identiteit van uw DiskEncryptionSet in uw Microsoft Entra-id heeft gemaakt. Als er een foutbericht wordt weergegeven als 'Kan het Active Directory-object niet vinden' wanneer u de volgende opdracht uitvoert, wacht u enkele minuten en probeert u het opnieuw.
desIdentity=$(az disk-encryption-set show -n $diskEncryptionSetName -g $rgName --query [identity.principalId] -o tsv)
az keyvault set-policy -n $keyVaultName -g $rgName --object-id $desIdentity --key-permissions wrapkey unwrapkey get
Maak een exemplaar van Azure Key Vault en versleutelingssleutel.
Wanneer u het Key Vault-exemplaar maakt, moet u voorlopig verwijderen en beveiliging tegen opschonen inschakelen. Voorlopig verwijderen zorgt ervoor dat de Sleutelkluis een verwijderde sleutel bevat voor een bepaalde bewaarperiode (standaard 90 dagen). Beveiliging tegen opschonen zorgt ervoor dat een verwijderde sleutel pas definitief kan worden verwijderd als de bewaarperiode is verstreken. Met deze instellingen kunt u geen gegevens kwijtraken vanwege onbedoelde verwijdering. Deze instellingen zijn verplicht wanneer u een sleutelkluis gebruikt voor het versleutelen van beheerde schijven.
Haal de resource-id op voor het Key Vault-exemplaar dat u hebt gemaakt. U hebt deze nodig voor volgende opdrachten.
Get-AzKeyVault -VaultName $keyVaultName
Maak een DiskEncryptionSet met encryptionType ingesteld als EncryptionAtRestWithPlatformAndCustomerKeys. Vervang en yourKeyVaultURL door yourKeyURL de URL's die u eerder hebt opgehaald.
Verdeel de DiskEncryptionSet-resource toegang tot de sleutelkluis.
Notitie
Het kan enkele minuten duren voordat Azure de identiteit van uw DiskEncryptionSet in uw Microsoft Entra-id heeft gemaakt. Als er een foutbericht wordt weergegeven als 'Kan het Active Directory-object niet vinden' wanneer u de volgende opdracht uitvoert, wacht u enkele minuten en probeert u het opnieuw.
