Este artigo responde a perguntas frequentes sobre o Azure Disk Encryption para máquinas virtuais (VMs) Linux. Para obter mais informações sobre esse serviço, consulte Visão geral do Azure Disk Encryption.
O que é o Azure Disk Encryption para máquinas virtuais do Linux?
O Azure Disk Encryption para máquinas virtuais do Linux usa o recurso dm-crypt do Linux para fornecer criptografia de disco completa do disco* do sistema operacional e discos de dados. Além disso, ele fornece criptografia do disco temporário ao usar o recurso EncryptFormatAll. O conteúdo flui criptografado da VM para o back-end de Armazenamento com uma chave gerenciada pelo cliente.
Consulte máquinas virtuais e sistemas operacionais com suporte.
Onde o Azure Disk Encryption está na GA (disponibilidade geral)?
O Azure Disk Encryption para máquinas virtuais do Linux está em disponibilidade geral em todas as regiões públicas do Azure.
Quais experiências de usuário estão disponíveis com o Azure Disk Encryption?
A GA do Azure Disk Encryption dá suporte a modelos do Azure Resource Manager, ao Azure PowerShell e à CLI do Azure. As diferentes experiências de usuário oferecem flexibilidade. Você tem três opções diferentes para habilitar a criptografia de disco para suas máquinas virtuais. Para saber mais sobre a experiência do usuário e as orientações passo a passo disponíveis no Azure Disk Encryption, consulte Cenários do Azure Disk Encryption para Linux.
Quanto custa o Azure Disk Encryption?
Não há nenhum encargo para criptografar discos de VM com o Azure Disk Encryption, mas há encargos associados ao uso do Azure Key Vault. Para obter mais informações sobre os custos do Cofre de Chaves do Azure, consulte a página de preços Cofre de chaves.
Como posso começar a usar o Azure Disk Encryption?
Para começar, leia as visão geral do Azure Disk Encryption.
Quais tamanhos de VM e sistemas operacionais dão suporte ao Azure Disk Encryption?
O artigo Visão geral do Azure Disk Encryption lista os tamanhos de VM e os sistemas operacionais de VM compatíveis com o Azure Disk Encryption.
Posso criptografar volumes de dados e de inicialização com o Azure Disk Encryption?
Sim, você pode criptografar volumes de dados junto com os de inicialização ou apenas volumes de dados sem precisar criptografar o volume do sistema operacional primeiro.
Depois de criptografar o volume do sistema operacional, não é possível desabilitar a criptografia no volume do sistema operacional. Em máquinas virtuais do Linux em um conjunto de dimensionamento, somente o volume de dados pode ser criptografado.
Posso criptografar um volume não montado com o Azure Disk Encryption?
Não, o Azure Disk Encryption criptografa apenas volumes montados.
O que é criptografia do lado do servidor do Armazenamento?
A criptografia do lado do servidor do Armazenamento criptografa discos gerenciados do Azure no Armazenamento do Microsoft Azure. Discos gerenciados são criptografados por padrão com criptografia do lado do servidor com chave gerenciada de plataforma (a partir de 10 de junho de 2017). Você pode gerenciar a criptografia de discos gerenciados com suas próprias chaves especificando uma chave gerenciada pelo cliente. Para obter mais informações, consulte: Criptografia do lado do servidor dos discos gerenciados do Azure.
Como o Azure Disk Encryption é diferente de outras soluções de criptografia de disco e quando devo usar cada solução?
Como fazer revezar segredos ou chaves de criptografia?
Para revezar segredos, basta chamar o mesmo comando usado originalmente para habilitar a criptografia de disco, especificando um Key Vault diferente. Para revezar a chave de criptografia da chave, chame o mesmo comando usado originalmente para habilitar a criptografia de disco, especificando a nova criptografia de chave.
Aviso
- Caso usou anteriormente o Azure Disk Encryption com o aplicativo do Microsoft Entra especificando credenciais do Microsoft Entra para criptografar essa VM, será necessário continuar usando essa opção para criptografar a VM. Não é possível usar o Azure Disk Encryption nessa VM criptografada pois esse cenário não tem suporte, o que significa que ainda não é possível alternar o aplicativo do Microsoft Entra por essa VM criptografada.
Como fazer para adicionar ou remover uma chave de criptografia da chave senão utilizei originalmente uma?
Para adicionar uma chave de criptografia da chave, chame o comando “enable” novamente passando o parâmetro de chave de criptografia da chave. Para remover uma chave de criptografia da chave, chame o comando “enable” sem passar o parâmetro de chave de criptografia da chave.
O Azure Disk Encryption permite o recurso BYOK (Bring Your Own Key)?
Sim, você pode fornecer suas próprias chaves de criptografia de chave. Essas chaves ficam protegidas no Azure Key Vault, que é o repositório de chaves do Azure Disk Encryption. Para obter mais informações sobre cenários de suporte de chaves de criptografia, consulte Criar e configurar um cofre de chaves para Azure Disk Encryption.
Posso usar uma chave de criptografia de chave criada pelo Azure?
Sim, você pode usar o Azure Key Vault para gerar uma chave de criptografia de chave para ser usada pela criptografia de disco do Azure. Essas chaves ficam protegidas no Azure Key Vault, que é o repositório de chaves do Azure Disk Encryption. Para obter mais informações sobre chave de criptografia, consulte Criar e configurar um cofre de chaves para Azure Disk Encryption.
Posso usar um serviço de gerenciamento de chaves local ou HSM para proteger as chaves de criptografia?
Você não pode usar o serviço de gerenciamento de chaves local ou HSM para proteger as chaves de criptografia com o Azure Disk Encryption. Você só pode usar o serviço Azure Key Vault para proteger as chaves de criptografia. Para obter mais informações sobre cenários de suporte de chave de criptografia, consulte Criar e configurar um cofre de chaves para Azure Disk Encryption.
Quais são os pré-requisitos para configurar o Azure Disk Encryption?
Há pré-requisitos para o Azure Disk Encryption. Consulte o artigo Criar e configurar um cofre de chaves para o Azure Disk Encryption para criar um novo cofre de chaves ou configurar um cofre de chaves existente para acesso da criptografia de disco para habilitar a criptografia e proteger segredos e chaves. Para obter mais informações sobre cenários de suporte de chave de criptografia, consulte Criar e configurar um cofre de chaves para Azure Disk Encryption.
Quais são os pré-requisitos para configurar o Azure Disk Encryption com um aplicativo do Microsoft Entra (versão anterior)?
Há pré-requisitos para o Azure Disk Encryption. Consulte o conteúdo Azure Disk Encryption com o Microsoft Entra ID para criar um aplicativo do Microsoft Entra, criar um novo cofre de chaves ou configurar um cofre de chaves existente para acesso à criptografia de disco para habilitar a criptografia e proteger segredos e chaves. Para obter mais informações sobre cenários de suporte de chave de criptografia, consulte Criar e configurar um cofre de chaves para Azure Disk Encryption com o Microsoft Entra ID.
Ainda há suporte para o Azure Disk Encryption usando um aplicativo do Microsoft Entra (versão anterior)?
Sim. A criptografia de disco usando um aplicativo do Microsoft Entra ainda tem suporte. No entanto, ao criptografar novas máquinas virtuais, é recomendável usar o novo método em vez de criptografar com um aplicativo do Microsoft Entra.
Posso migrar as máquinas virtuais que foram criptografadas com um aplicativo do Microsoft Entra para criptografia sem um aplicativo do Microsoft Entra?
Atualmente, não há um caminho de migração direta para computadores que foram criptografados com um aplicativo do Microsoft Entra para criptografia sem um aplicativo do Microsoft Entra. Além disso, também não há um caminho direto da criptografia sem um aplicativo do Microsoft Entra para a criptografia com o aplicativo do AD.
À qual versão do Azure PowerShell o Azure Disk Encryption dá suporte?
Use a versão mais recente do SDK do Azure PowerShell para configurar o Azure Disk Encryption. Baixe a última versão do Azure PowerShell. O Azure Disk Encryption não é suportado pela versão 1.1.0 do SDK do Azure.
Observação
A extensão de versão prévia de criptografia de disco do Azure para Linux "Microsoft.OSTCExtension.AzureDiskEncryptionForLinux" foi preterida. Essa extensão foi publicada para a versão prévia de criptografia de disco do Azure. Você não deve usar a versão de visualização da extensão na sua implantação de teste ou de produção.
Para cenários de implantação, como o Azure Resource Manager (ARM), em que você precisa implantar a extensão de criptografia de disco do Azure para VM do Linux para habilitar a criptografia em sua VM de IaaS do Linux, é necessário usar a extensão com suporte para produção do Azure Disk Encryption "Microsoft.Azure.Security.AzureDiskEncryptionForLinux".
Posso aplicar o Azure Disk Encryption à minha imagem personalizada do Linux?
Você não pode aplicar a criptografia de disco do Azure à sua imagem personalizada do Linux. Somente as imagens da galeria Linux para as distribuições suportadas chamadas anteriormente são suportadas. Imagens personalizadas do Linux não são suportadas atualmente.
Posso aplicar atualizações a uma VM Red Hat Linux que usa a atualização do yum?
Sim, você pode executar uma atualização do yum em uma VM Red Hat Linux. Para obter mais informações, consulte Azure Disk Encryption em uma rede isolada.
O que é o fluxo de trabalho recomendado de criptografia de disco do Azure recomendado para Linux?
O seguinte fluxo de trabalho é recomendado para ter os melhores resultados no Linux:
- Inicie na imagem da galeria de estoque não modificada que corresponde à distribuição e à versão do sistema operacional necessárias
- Faça backup de todas as unidades montadas a serem criptografadas. Esse backup permitirá a recuperação se houver uma falha, por exemplo, se a VM for reinicializada antes da conclusão da criptografia.
- Criptografar (pode levar várias horas ou mesmo dias dependendo das características da VM e do tamanho dos discos de dados anexados)
- Personalizar e adicionar o software à imagem conforme necessário.
Se esse fluxo de trabalho não for possível, usar a SSE (Criptografia do Serviço de Armazenamento) na camada da conta de armazenamento de plataforma poderá ser uma alternativa para a criptografia de disco completo usando dm-crypt.
O que é o disco "Volume Bek" ou "/mnt/azure_bek_disk"?
O “volume Bek” é um volume de dados locais que armazena com segurança chaves de criptografia para máquinas virtuais criptografadas do Azure.
Observação
Não exclua ou edite nenhum conteúdo neste disco. Não desmonte o disco, uma vez que a presença da chave de criptografia é necessária para operações de criptografia na VM IaaS.
Qual método de criptografia é usado pela criptografia de disco do Azure?
O Azure Disk Encryption usa o padrão de descriptografia aes-xts-plain64 com uma chave mestra de volume de 256-bit.
Se eu usar EncryptFormatAll e especificar todos os tipos de volume, ele apagará os dados em unidades de dados que já tivermos criptografado?
Não, os dados não serão apagados de unidades de dados que já tiverem sido criptografadas usando o Azure Disk Encryption. Semelhante ao modo como o EncryptFormatAll não criptografou novamente a unidade do sistema operacional, ele não criptografará novamente a unidade de dados já criptografada. Para obter mais informações, veja os critérios do EncryptFormatAll.
Há suporte para o sistema de arquivos XFS?
A criptografia de discos de sistema operacional XFS tem suporte.
A criptografia de discos de dados XFS é suportada somente quando o parâmetro EncryptFormatAll é usado. Essa opção reformata o volume, apagando todos os dados anteriormente. Para obter mais informações, veja os critérios do EncryptFormatAll.
Há suporte para o redimensionamento da partição do sistema operacional?
Não há suporte para o redimensionamento de um disco do sistema operacional criptografado do Azure Disk Encryption.
Posso fazer backup e restaurar uma VM criptografada?
O Backup do Azure fornece um mecanismo para fazer backup e restaurar VMs criptografadas na mesma assinatura e região. Para obter instruções, consulte Backup e restauração de máquinas virtuais criptografadas usando o Backup do Azure. Atualmente, não há suporte para a restauração de uma VM criptografada em uma região diferente.
Onde posso fazer perguntas ou fornecer comentários?
Você pode fazer perguntas ou comentários na Página de P e R da Microsoft para Azure Disk Encryption.
Próximas etapas
Neste documento, você aprendeu mais sobre as perguntas mais frequentes relativas ao Azure Disk Encryption. Para obter mais informações sobre esse serviço, veja os seguintes artigos: