Azure Disk Encryption para VMs do Windows

Importante

O Azure Disk Encryption está programado para ser descontinuado a 15 de setembro de 2028. Até essa data, pode continuar a usar o Azure Disk Encryption sem interrupções. A 15 de setembro de 2028, cargas de trabalho com ADE continuarão a funcionar, mas os discos encriptados não conseguirão desbloquear após o reinício da VM, resultando em interrupção do serviço.

Use encriptação na hospedagem para novas VMs, ou considere tamanhos de VM confidenciais com encriptação do disco do SO para workloads de computação confidencial. Todas as VMs habilitadas por ADE (incluindo backups) devem migrar para encriptação no host antes da data de desativação para evitar interrupções do serviço. Consulte Migrar de Encriptação de Disco Azure para Encriptação no Host para mais detalhes.

Aplica-se a: ✔️ VMs do Windows ✔️ Conjuntos de escala flexível.

A Azure Disk Encryption ajuda a proteger e a salvaguardar os seus dados para cumprir as obrigações de conformidade e segurança da sua organização. Utiliza a funcionalidade BitLocker do Windows para fornecer criptografia de volume para o SO e discos de dados das máquinas virtuais (VMs) do Azure e está integrado no Azure Key Vault para ajudar a controlar e gerir as chaves e segredos de criptografia do disco.

O Azure Disk Encryption é resiliente à zona, da mesma forma que as Máquinas Virtuais. Para mais informações, consulte Serviços do Azure que suportam Zonas de Disponibilidade.

Se você usa o Microsoft Defender para a Cloud, será alertado se tiver VMs não criptografadas. Os alertas mostram alta gravidade, e o Defender para a Cloud recomenda que encripte estas VMs.

Alerta de criptografia de disco do Microsoft Defender para a Cloud

Aviso

  • Para VMs anteriormente encriptadas usando Azure Disk Encryption com Microsoft Entra ID, continue a usar esse mesmo método. Para obter os detalhes, veja Azure Disk Encryption com o Microsoft Entra ID (versão anterior).
  • A implementação destas recomendações pode aumentar o uso dos seus dados, rede ou recursos computacionais, podendo resultar em custos mais elevados de licença ou subscrição. É necessária uma subscrição ativa válida do Azure para criar recursos em regiões suportadas.
  • Nunca use o BitLocker diretamente para descriptografar VMs ou discos que foram criptografados por meio da Criptografia de Disco do Azure, pois isso pode levar à perda de dados.

Pode aprender os fundamentos do Azure Disk Encryption para Windows em apenas alguns minutos com o Criar e encriptar uma VM Windows usando o quickstart do CLI do Azure ou o Create and encrypt a Windows VM usando o quickstart do Azure PowerShell.

VMs e sistemas operacionais suportados

VMs suportadas

As VMs do Windows estão disponíveis em vários tamanhos. O Azure Disk Encryption tem suporte em VMs de Geração 1 e 2. O Azure Disk Encryption também está disponível para VMs com armazenamento premium.

O Azure Disk Encryption não está disponível em VMs Basic, série A, VMs da série v6, VMs da série v7, ou mais recentes, nem em máquinas virtuais com menos de 2 GB de memória. Para obter mais exceções, consulte Azure Disk Encryption: Restrictions.

Sistemas operativos suportados

Todas as versões do Windows que suportam o BitLocker e estão configuradas para atender aos requisitos do BitLocker. Para obter mais informações, consulte Visão geral do BitLocker.

Nota

O Windows Server 2022 e o Windows 11 não suportam uma chave RSA de 2048 bits. Para obter mais informações, consulte FAQ: Que tamanho devo usar para minha chave de criptografia de chave?

O Windows Server 2012 R2 Core e o Windows Server 2016 Core exigem que o componente bdehdcfg seja instalado na VM para criptografia.

O Windows Server 2008 R2 requer que o .NET Framework 4.5 seja instalado para criptografia; instalá-lo a partir do Windows Update com a atualização opcional Microsoft .NET Framework 4.5.2 para sistemas baseados em x64 (KB2901983) do Windows Server 2008 R2.

Requisitos de rede

Para habilitar a Criptografia de Disco do Azure, as VMs devem atender aos seguintes requisitos de configuração de ponto de extremidade de rede:

  • A VM do Windows deve ser capaz de se conectar a um ponto de extremidade de armazenamento do Azure que hospeda o repositório de extensão do Azure e uma conta de armazenamento do Azure que hospeda os arquivos VHD.
  • Se sua política de segurança limitar o acesso das VMs do Azure à Internet, você poderá resolver o URI anterior e configurar uma regra específica para permitir a conectividade de saída com os IPs. Para obter mais informações, consulte Azure Key Vault behind a firewall.

Requisitos da Política de Grupo

A Criptografia de Disco do Azure usa o protetor de chave externa do BitLocker para VMs do Windows. Para VMs ingressadas no domínio, não aplique nenhuma política de grupo que imponha protetores TPM. Para obter informações sobre a política de grupo para "Permitir BitLocker sem um TPM compatível", consulte Referência da Política de Grupo do BitLocker.

A política do BitLocker em máquinas virtuais ingressadas no domínio com política de grupo personalizada deve incluir a seguinte configuração: Configurar o armazenamento do usuário das informações de recuperação do BitLocker -> Permitir chave de recuperação de 256 bits. O Azure Disk Encryption falha quando as definições personalizadas de política de grupo do BitLocker são incompatíveis. Em máquinas que não tinham a definição correta de política, aplicar a nova política e forçar a atualização da nova política (gpupdate.exe /force). Pode ser necessário reiniciar.

Os recursos de política de grupo do Microsoft BitLocker Administration and Monitoring (MBAM) não são compatíveis com a Criptografia de Disco do Azure.

Aviso

O Azure Disk Encryption não armazena chaves de recuperação. Se a definição de segurança do limiar de bloqueio da conta da máquina Login interativo estiver ativada, só pode recuperar máquinas fornecendo uma chave de recuperação através da consola serial. Para instruções para ativar as políticas de recuperação apropriadas, consulte o plano de guia de recuperação do BitLocker.

Azure Disk Encryption falha se a política de grupo ao nível do domínio bloquear o algoritmo AES-CBC, que é usado pelo BitLocker.

Requisitos do armazenamento de chaves de encriptação

O Azure Disk Encryption requer um Cofre de Chaves do Azure para controlar e gerenciar chaves e segredos de criptografia de disco. Seu cofre de chaves e VMs devem residir na mesma região e assinatura do Azure.

Para mais informações, consulte Criar e configurar um cofre de chaves para Azure Disk Encryption.

Terminologia

A tabela seguinte define alguns dos termos comuns usados na documentação do Azure Disk Encryption:

Terminologia Definição
Azure Key Vault O Key Vault é um serviço de gerenciamento de chaves criptográfico baseado em módulos de segurança de hardware validados pelo Federal Information Processing Standards (FIPS). Esses padrões ajudam a proteger suas chaves criptográficas e segredos confidenciais. Para mais informações, consulte a documentação do Azure Key Vault e Crie e configure um cofre de chaves para Azure Disk Encryption.
CLI do Azure A CLI do Azure é otimizada para gerenciar e administrar recursos do Azure a partir da linha de comando.
BitLocker O BitLocker é uma tecnologia de criptografia de volume do Windows reconhecida pelo setor que é usada para habilitar a criptografia de disco em VMs do Windows.
Chave de encriptação de chaves (KEK) A chave assimétrica (RSA 2048) que pode utilizar para proteger ou encapsular o segredo. Você pode fornecer uma chave protegida pelo módulo de segurança de hardware (HSM) ou uma chave protegida por software. Para mais informações, consulte a documentação do Azure Key Vault e Crie e configure um cofre de chaves para Azure Disk Encryption.
Cmdlets do PowerShell Para obter mais informações, consulte Cmdlets do Azure PowerShell.

Próximos passos

  • Last updated on