Шифрование управляемых дисков Azure на стороне сервера

Применимо к: ✔️ Виртуальные машины Linux ✔️ Виртуальные машины Windows ✔️ Универсальные масштабируемые наборы

Большинство управляемых дисков Azure шифруются с использованием шифрования службы хранилища Azure, в котором применяется шифрование на стороне сервера (SSE) для защиты данных. Это помогает выполнять действующие в организации обязательства по обеспечению безопасности и соответствия требованиям. Шифрование службы хранилища Azure по умолчанию в автоматическом режиме шифрует все неактивные данные, сохраняемые в облако на управляемые диски Azure (диски ОС и диски данных). Но если для диска включено шифрование на узле, он не шифруется в службе хранилища Azure. Для дисков с шифрованием на узле шифрование данных обеспечивает сервер, на котором размещена виртуальная машина, а в службу хранилища Azure передаются уже зашифрованные данные.

Данные в управляемых дисках Azure шифруются прозрачно с использованием 256-разрядного шифрования AES, одного из наиболее сильных блочных шифров, который совместим со стандартом FIPS 140-2. Дополнительные сведения о криптографических модулях, лежащих в основе функции управляемых дисков Azure, см. в статье Cryptography API: Next Generation (API Cryptography: следующее поколение).

Шифрование службы хранилища Azure не влияет на производительность управляемых дисков и за него не взимается дополнительная плата. Дополнительные сведения о шифровании в службе хранилища Azure см. в статье Шифрование службы хранилища Azure для неактивных данных.

Примечание

Временные диски не считаются управляемыми дисками и к ним не применяется SSE, если вы не настроили шифрование на узле.

Об управлении ключами шифрования

Вы можете использовать ключи, управляемые платформой, для шифрования управляемого диска или управлять шифрованием с помощью собственных ключей. Если вы решили управлять шифрованием с помощью собственных ключей, вы можете указать управляемый клиентом ключ, который будет использоваться для шифрования и расшифровки всех данных на управляемых дисках.

В следующих разделах подробно описаны все варианты управления ключами.

Ключи, управляемые платформой

По умолчанию управляемые диски используют управляемые платформой ключи шифрования. Все управляемые диски, снимки, образы и данные, сохраняемые на существующие управляемые диски, автоматически шифруются как неактивные данные с использованием ключей, управляемых платформой.

Ключи, управляемые клиентом

Вы можете управлять шифрованием на уровне каждого управляемого диска с помощью собственных ключей. Указанный ключ CMK используется для защиты доступа к ключу, который шифрует данные, и управления этим доступом. Ключи CMK обеспечивают большую гибкость при администрировании операций управления доступом.

Для хранения ключей, управляемых клиентом, необходимо использовать одно из следующих хранилищ ключей Azure.

Вы можете либо импортировать свои ключи RSA в Key Vault, либо создать новые ключи RSA в Azure Key Vault. Управляемые диски Azure обрабатывают шифрование и расшифровку полностью прозрачным образом с помощью метода шифрования конвертов. Он шифрует данные с помощью ключа шифрования данных (DEK) на основе AES 256, который, в свою очередь, защищен с помощью ваших ключей. Служба хранилища создает ключи шифрования данных и шифрует их с помощью управляемых клиентом ключей, используя шифрование RSA. Шифрование конверта позволяет периодически менять ключи в соответствии с политиками соответствия, не влияя на виртуальные машины. При смене ключей служба хранилища повторно шифрует ключи шифрования данных с помощью новых ключей, управляемых клиентом.

Управляемые диски и Key Vault или управляемый модуль HSM должны быть расположены в одном регионе Azure, но могут находиться в разных подписках. Они также должны находиться в одном клиенте Azure Active Directory (Azure AD), если только вы не используете Шифрование управляемых дисков с помощью управляемых клиентом ключей (предварительная версия).

Полный контроль над ключами

Вы должны предоставить доступ к управляемым дискам в Key Vault, чтобы использовать ключи для шифрования и расшифровки DEK. Это обеспечивает вам полный контроль над своими данными и ключами. Вы можете отключить ключи или отозвать доступ к управляемым дискам в любое время. Кроме того, можно проводить аудит использования ключа шифрования с помощью мониторинга Azure Key Vault, чтобы обеспечить доступ к ключам только управляемых дисков или других доверенных служб Azure.

Если ключ отключен, удален или истек срок его действия, все виртуальные машины с дисками, использующими этот ключ, будут автоматически завершать работу. После этого виртуальные машины нельзя будет использовать, пока ключ не будет включен снова или не назначен новый ключ.

Примечание

Как правило, предполагается, что операции ввода-вывода на диске (операции чтения или записи) начнут завершаться со сбоем через 1 час после отключения, удаления ключа или истечения срока его действия.

На следующей схеме показано, как управляемые диски используют Azure Active Directory и Azure Key Vault для выполнения запросов с помощью управляемого клиентом ключа:

Управляемый диск и рабочий процесс с ключами, управляемыми клиентом. Администратор создает Azure Key Vault, а затем создает набор шифрования дисков и настраивает его. Набор связан с виртуальной машиной, что позволяет диску использовать Azure AD для проверки подлинности.

Ниже приведено более подробное описание схемы.

  1. Администратор Azure Key Vault создает ресурсы хранилища ключей.
  2. Администратор хранилища ключей либо импортирует ключи RSA в Key Vault, либо создает новые ключи RSA в Key Vault.
  3. Этот администратор создает экземпляр ресурса для набора шифрования диска, указывая идентификатор Azure Key Vault и URL-адрес ключа. Набор шифрования дисков — это новый ресурс, который появился для упрощения управления ключами для управляемых дисков.
  4. При создании набора шифрования диска в Azure Active Directory (AD) создается назначенный системой управляемый идентификатор и связывается с набором шифрования диска.
  5. Затем администратор хранилища ключей Azure предоставляет управляемому удостоверению разрешение на выполнение операций в хранилище ключей.
  6. Пользователь виртуальной машины создает диски, связывая их с набором шифрования дисков. Пользователь виртуальной машины может также включить шифрование на стороне сервера с помощью управляемых клиентом ключей для существующих ресурсов, связав их с набором шифрования дисков.
  7. Управляемые диски используют управляемое удостоверение для отправки запросов в Azure Key Vault.
  8. Для чтения или записи данных управляемые диски отправляют запросы в Azure Key Vault для шифрования (упаковки) и расшифровки (распаковки) ключа шифрования данных для выполнения шифрования и расшифровки данных.

Сведения об отзыве доступа к ключам, управляемым клиентом, см. в разделах Azure Key Vault PowerShell и Azure Key Vault CLI. Отмена доступа фактически блокирует доступ ко всем данным в учетной записи хранения, так как ключ шифрования станет недоступен службе хранилища Azure.

Автоматическая смена ключей, управляемых клиентом

Вы можете включить автоматическую смену для последней версии ключа. Диск ссылается на ключ с помощью набора шифрования диска. При включении автоматической смены для набора шифрования дисков система автоматически обновит все управляемые диски, моментальные снимки и образы, которые ссылаются на набор шифрования диска, чтобы использовать новую версию ключа в течение одного часа. Сведения о том, как настроить автоматическую смену ключей, управляемых клиентом, см. в разделе Настройка Azure Key Vault и DiskEncryptionSet с автоматической сменой ключей.

Примечание

Виртуальные машины не будут перезагружены во время автоматической смены ключей.

Ограничения

В настоящее время ключи, управляемые клиентом, имеют следующие ограничения.

  • Если эта функция включена для диска, ее нельзя отключить. Если вам нужно обойти это ограничение, с помощью модуля Azure PowerShell или Azure CLI скопируйте все данные на другой управляемый диск, для которого не используются ключи, управляемые клиентом.
  • Поддерживаются только ключи RSA для программного обеспечения и HSM с размерами 2048 бит, 3072 бит и 4096 бит. Другие ключи или размеры не поддерживаются.
    • Для ключей HSM требуется уровень Premium Azure Key Vault.
  • Диски, созданные на основе пользовательских образов, зашифрованных с помощью шифрования на стороне сервера и ключей, управляемых клиентом, должны быть зашифрованы с помощью тех же самых управляемых клиентом ключей и должны находиться в одной подписке.
  • Моментальные снимки дисков, зашифрованных с помощью шифрования на стороне сервера и ключей, управляемых клиентом, должны быть зашифрованы с помощью тех же управляемых клиентом ключей.
  • Большинство ресурсов, связанных с ключами, управляемыми клиентом (наборы шифрования дисков, виртуальные машины, диски и моментальные снимки), должны находиться в одной подписке и регионе.
    • Хранилища ключей Azure могут использоваться из другой подписки, но должны находиться в том же регионе, что и набор шифрования дисков. В качестве предварительной версии можно использовать Azure Key Vault из разных клиентов Azure Active Directory.
  • Диски, зашифрованные с помощью ключей, управляемых клиентом, могут перемещаться только в другую группу ресурсов, если подключенная к ней виртуальная машина освобождена.
  • Диски, моментальные снимки и образы, зашифрованные с помощью управляемых клиентом ключей, нельзя перемещать между подписками.
  • Управляемые диски, сейчас или ранее зашифрованные с помощью службы "Шифрование дисков Azure", не могут быть зашифрованы с помощью управляемых клиентами ключей.
  • Может создавать до 5000 наборов шифрования дисков в каждом регионе на подписку.
  • Сведения об использовании управляемых клиентом ключей с общими коллекциями образов см. в разделе Предварительная версия: использование управляемых клиентом ключей для шифрования образов.

Поддерживаемые регионы

Ключи, управляемые клиентом, доступны во всех регионах, где предоставляются управляемые диски.

Важно!

Управляемые клиентом ключи используют управляемые удостоверения для ресурсов Azure — функцию Azure Active Directory (Azure AD). При настройке управляемых пользователем ключей управляемое удостоверение автоматически назначается вашим ресурсам. При последующем перемещении подписки, группы ресурсов или управляемого диска из одного каталога Azure AD в другой управляемое удостоверение, связанное с управляемыми дисками, не передается в новый арендатор, поэтому управляемые клиентом ключи могут перестать работать. Дополнительные сведения см. в статье Передача подписки между каталогами Azure AD.

Сведения о том, как настроить для управляемых дисков ключи, управляемые клиентом, см. в статьях с инструкциями для модуля Azure PowerShell, Azure CLI или портала Azure.

Шифрование на уровне узла — сквозное шифрование данных виртуальной машины

Если вы включаете шифрование на узле, такое шифрование начинается на самом узле виртуальной машины, то есть на сервере Azure, где размещена виртуальная машина. На этом узле виртуальной машины хранятся данные для временных дисков, кэшей дисков данных и дисков ОС. При включенном шифровании на узле все эти данные шифруются при хранении, а потоки данных шифруются в службе хранилища, где они сохраняются. По сути, шифрование на узле обеспечивает сквозное шифрование данных. Шифрование на узле не использует ЦП виртуальной машины и не влияет на ее производительность.

При использовании сквозного шифрования временные диски и временные диски ОС шифруются при хранении с использованием ключей, управляемых платформой. Кэши дисков данных и дисков ОС шифруются при хранении с использованием ключей, управляемых платформой или клиентом, в зависимости от выбранного типа шифрования диска. Например, если диск зашифрован ключами, управляемыми клиентом, то и кэш для диска шифруется с использованием ключей, управляемых клиентом, а если диск шифруется ключами, управляемыми платформой, то кэш диска шифруется с использованием ключей, управляемых платформой.

Ограничения

  • Не поддерживает диски ценовой категории "Ультра" или управляемые диски SSD (цен. категория "Премиум") версии 2.
  • Нельзя включить, если на виртуальных машинах или в масштабируемых наборах виртуальных машин включено шифрование дисков Azure (шифрование гостевой виртуальной машины с использованием BitLocker или DM-Crypt).
  • Шифрование дисков Azure нельзя включить на дисках, для которых включено шифрование на узле.
  • Шифрование можно включить в существующем масштабируемом наборе виртуальных машин. Однако автоматически выполняется шифрование только новых виртуальных машин, созданных после включения шифрования.
  • Для шифрования существующие виртуальные машины необходимо освободить и перераспределить.
  • Поддерживает временные диски ОС, но только с ключами, управляемыми платформой.

Поддерживаемые размеры виртуальных машин

Полный список поддерживаемых размеров виртуальных машин можно получить программным способом. Сведения о получении этих данных программным путем см. в разделах о поиске поддерживаемых размеров виртуальных машин в статьях с инструкциями для модуля Azure PowerShell или Azure CLI.

Чтобы включить сквозное шифрование с поддержкой шифрования на узле, воспользуйтесь статьями с инструкциями для модуля Azure PowerShell, Azure CLI или портала Azure.

Двойное шифрование неактивных данных

Клиенты с высокими требованиями к безопасности, которых беспокоят риски компрометации тех или иных алгоритмов, реализаций или ключей шифрования, могут использовать дополнительный уровень шифрования с другим режимом или алгоритмом на уровне инфраструктуры с применением ключей, управляемых платформой. Этот новый слой можно применить к сохраненным дискам ОС и дискам данных, моментальным снимкам и образам. В этом случае любой из этих объектов будет шифроваться при хранении с помощью двойного шифрования.

Поддерживаемые регионы

Двойное шифрование доступно во всех регионах, где предоставляются управляемые диски.

Сведения о том, как настроить для управляемых дисков двойное шифрование, см. в статьях с инструкциями для модуля Azure PowerShell, Azure CLI или портала Azure.

Шифрование на стороне сервера и шифрование дисков Azure

Шифрование дисков Azure использует функцию DM-Crypt в ОС Linux или BitLocker в ОС Windows для шифрования управляемых дисков гостевой виртуальной машины с использованием ключей, управляемых клиентом. Шифрование на стороне сервера с использованием управляемых клиентом ключей улучшает работу шифрования дисков Azure, позволяя использовать любые типы ОС и образы для виртуальных машин путем шифрования данных в службе хранилища.

Важно!

Управляемые клиентом ключи используют управляемые удостоверения для ресурсов Azure — функцию Azure Active Directory (Azure AD). При настройке управляемых пользователем ключей управляемое удостоверение автоматически назначается вашим ресурсам. При перемещении подписки, группы ресурсов или управляемого диска из одного каталога Azure AD в другой управляемое удостоверение, связанное с управляемыми дисками, не передается в новый клиент, поэтому управляемые клиентом ключи могут перестать работать. Дополнительные сведения см. в статье Передача подписки между каталогами Azure AD.

Дальнейшие действия