Azure Disk Encryption voor Linux (Microsoft.Azure.Security.AzureDiskEncryptionForLinux)

  • Artikel

Overzicht

Azure Disk Encryption maakt gebruik van het dm-crypt-subsysteem in Linux om volledige schijfversleuteling te bieden op bepaalde Azure Linux-distributies. Deze oplossing is geïntegreerd met Azure Key Vault voor het beheren van schijfversleutelingssleutels en -geheimen.

Vereisten

Zie Azure Disk Encryption voor Linux-VM's voor een volledige lijst met vereisten, met name de volgende secties:

Extensieschema

Er zijn twee versies van het extensieschema voor Azure Disk Encryption (ADE):

  • v1.1 - Een nieuwer aanbevolen schema dat geen Microsoft Entra-eigenschappen gebruikt.
  • v0.1 - Een ouder schema waarvoor Microsoft Entra-eigenschappen zijn vereist.

Als u een doelschema wilt selecteren, moet de typeHandlerVersion eigenschap gelijk zijn aan de versie van het schema dat u wilt gebruiken.

Het v1.1-schema wordt aanbevolen en vereist geen Eigenschappen van Microsoft Entra.

Notitie

De DiskFormatQuery parameter is afgeschaft. De functionaliteit is vervangen door de optie EncryptFormatAll. Dit is de aanbevolen manier om gegevensschijven te formatteren op het moment van versleuteling.

{
  "type": "extensions",
  "name": "[name]",
  "apiVersion": "2019-07-01",
  "location": "[location]",
  "properties": {
        "publisher": "Microsoft.Azure.Security",
        "type": "AzureDiskEncryptionForLinux",
        "typeHandlerVersion": "1.1",
        "autoUpgradeMinorVersion": true,
        "settings": {
          "DiskFormatQuery": "[diskFormatQuery]",
          "EncryptionOperation": "[encryptionOperation]",
          "KeyEncryptionAlgorithm": "[keyEncryptionAlgorithm]",
          "KeyVaultURL": "[keyVaultURL]",
          "KeyVaultResourceId": "[KeyVaultResourceId]",
          "KeyEncryptionKeyURL": "[keyEncryptionKeyURL]",
          "KekVaultResourceId": "[KekVaultResourceId",
          "SequenceVersion": "sequenceVersion]",
          "VolumeType": "[volumeType]"
        }
  }
}

Schema v0.1: met Microsoft Entra-id

Het 0.1-schema vereist AADClientID en wel AADClientSecretAADClientCertificate.

Met behulp van AADClientSecret:

{
  "type": "extensions",
  "name": "[name]",
  "apiVersion": "2019-07-01",
  "location": "[location]",
  "properties": {
    "protectedSettings": {
      "AADClientSecret": "[aadClientSecret]",
      "Passphrase": "[passphrase]"
    },
    "publisher": "Microsoft.Azure.Security",
    "type": "AzureDiskEncryptionForLinux",
    "typeHandlerVersion": "0.1",
    "settings": {
      "AADClientID": "[aadClientID]",
      "DiskFormatQuery": "[diskFormatQuery]",
      "EncryptionOperation": "[encryptionOperation]",
      "KeyEncryptionAlgorithm": "[keyEncryptionAlgorithm]",
      "KeyEncryptionKeyURL": "[keyEncryptionKeyURL]",
      "KeyVaultURL": "[keyVaultURL]",
      "SequenceVersion": "sequenceVersion]",
      "VolumeType": "[volumeType]"
    }
  }
}

Met behulp van AADClientCertificate:

{
  "type": "extensions",
  "name": "[name]",
  "apiVersion": "2019-07-01",
  "location": "[location]",
  "properties": {
    "protectedSettings": {
      "AADClientCertificate": "[aadClientCertificate]",
      "Passphrase": "[passphrase]"
    },
    "publisher": "Microsoft.Azure.Security",
    "type": "AzureDiskEncryptionForLinux",
    "typeHandlerVersion": "0.1",
    "settings": {
      "AADClientID": "[aadClientID]",
      "DiskFormatQuery": "[diskFormatQuery]",
      "EncryptionOperation": "[encryptionOperation]",
      "KeyEncryptionAlgorithm": "[keyEncryptionAlgorithm]",
      "KeyEncryptionKeyURL": "[keyEncryptionKeyURL]",
      "KeyVaultURL": "[keyVaultURL]",
      "SequenceVersion": "sequenceVersion]",
      "VolumeType": "[volumeType]"
    }
  }
}

Eigenschapswaarden

Opmerking: alle eigenschapswaarden zijn hoofdlettergevoelig.

Naam Waarde/voorbeeld Gegevenstype
apiVersion 2019-07-01 datum
Publisher Microsoft.Azure.Security tekenreeks
type AzureDiskEncryptionForLinux tekenreeks
typeHandlerVersion 1.1, 0.1 geheel getal (int)
(0.1 schema) AADClientID xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx guid
(0.1 schema) AADClientSecret password tekenreeks
(0.1 schema) AADClientCertificate Vingerafdruk tekenreeks
(optioneel) (0.1 schema) Passphrase password tekenreeks
DiskFormatQuery {"dev_path":","name":"","","file_system":"} JSON-woordenlijst
EncryptionOperation EnableEncryption, EnableEncryptionFormatAll tekenreeks
(optioneel - standaard RSA-OAEP ) KeyEncryptionAlgorithm 'RSA-OAEP', 'RSA-OAEP-256', 'RSA1_5' tekenreeks
KeyVaultURL URL tekenreeks
KeyVaultResourceId URL tekenreeks
(optioneel) KeyEncryptionKeyURL URL tekenreeks
(optioneel) KekVaultResourceId URL tekenreeks
(optioneel) SequenceVersion uniqueidentifier tekenreeks
VolumeType Besturingssysteem, gegevens, alle tekenreeks

Sjabloonimplementatie

Zie voor een voorbeeld van sjabloonimplementatie op basis van schema v1.1 de Azure-quickstart-sjabloon voor het versleutelen van actieve linux-vm-zonder-aad.

Zie voor een voorbeeld van sjabloonimplementatie op basis van schema v0.1 de Azure-snelstartsjabloon voor het versleutelen van running-linux-vm.

Waarschuwing

  • Als u Azure Disk Encryption eerder hebt gebruikt met Microsoft Entra ID om een virtuele machine te versleutelen, moet u deze optie blijven gebruiken om uw virtuele machine te versleutelen.
  • Bij het versleutelen van Linux-besturingssysteemvolumes moet de VM worden beschouwd als niet beschikbaar. We raden u ten zeerste aan om SSH-aanmeldingen te voorkomen terwijl de versleuteling wordt uitgevoerd om problemen met het blokkeren van geopende bestanden te voorkomen die tijdens het versleutelingsproces moeten worden geopend. Als u de voortgang wilt controleren, gebruikt u de PowerShell-cmdlet Get-AzVMDiskEncryptionStatus of de vm-versleuteling om de CLI-opdracht weer te geven . Dit proces kan naar verwachting enkele uren duren voor een besturingssysteemvolume van 30 GB, plus extra tijd voor het versleutelen van gegevensvolumes. De tijd voor gegevensvolumeversleuteling is evenredig met de grootte en hoeveelheid van de gegevensvolumes; de encrypt format all optie is sneller dan in-place versleuteling, maar leidt tot verlies van alle gegevens op de schijven.
  • Het uitschakelen van versleuteling op Linux-VM's wordt alleen ondersteund voor gegevensvolumes. Het wordt niet ondersteund op gegevens- of besturingssysteemvolumes als het besturingssysteemvolume is versleuteld.

Notitie

VolumeType Als de parameter is ingesteld op Alles, worden gegevensschijven alleen versleuteld als ze correct zijn gekoppeld.

Problemen met en ondersteuning oplossen

Problemen oplossen

Zie de handleiding voor het oplossen van problemen met Azure Disk Encryption.

Ondersteuning

Als u op elk gewenst moment in dit artikel meer hulp nodig hebt, kunt u contact opnemen met de Azure-experts op de MSDN Azure- en Stack Overflow-forums.

U kunt ook een ondersteuning voor Azure incident indienen. Ga naar ondersteuning voor Azure en selecteer Ondersteuning krijgen. Lees de veelgestelde vragen over Microsoft Azure-ondersteuning voor informatie over het gebruik van Azure-ondersteuning.

Volgende stappen