Linux VM'lerinde Azure Disk Şifrelemesi senaryoları

Önemli

Azure Disk Şifrelemesi 15 Eylül 2028'de kullanımdan kaldırılıyor. Bu tarihe kadar Azure Disk Şifrelemesi'ni kesinti olmadan kullanmaya devam edebilirsiniz. 15 Eylül 2028'de ADE özellikli iş yükleri çalışmaya devam edecek, ancak VM yeniden başlatıldıktan sonra şifrelenmiş disklerin kilidi açılamaz ve hizmet kesintisine neden olur.

Yeni VM'ler için konakta şifreleme kullanın veya gizli bilgi işlem iş yükleri için işletim sistemi disk şifrelemesi ile Gizli VM boyutlarını göz önünde bulundurun. Hizmet kesintisini önlemek için tüm ADE özellikli VM'lerin (yedeklemeler dahil) kullanımdan kaldırma tarihinden önce konakta şifrelemeye geçirilmesi gerekir. Ayrıntılar için bkz. Azure Disk Şifrelemesi'nden konakta şifrelemeye geçiş .

Şunlar için geçerlidir: ✔️ Linux VM'leri ✔️ Esnek ölçek kümeleri

Linux sanal makineleri (VM'ler) için Azure Disk Şifrelemesi, işletim sistemi diskinin ve veri disklerinin tam disk şifrelemesini sağlamak için Linux'un DM-Crypt özelliğini kullanır. Ayrıca EncryptFormatAll özelliğini kullanırken geçici diski şifreler.

Azure Disk Şifrelemesi, disk şifreleme anahtarlarını ve gizli dizilerini denetlemenize ve yönetmenize yardımcı olmak için Azure Key Vault ile tümleşiktir . Hizmete genel bakış için bkz. Linux VM’leri için Azure Disk Şifrelemesi.

Önkoşullar

Disk şifrelemesini yalnızca desteklenen VM boyutlarının ve işletim sistemlerinin sanal makinelerine uygulayabilirsiniz. Aşağıdaki önkoşulları da karşılamanız gerekir:

Her durumda, diskler şifrelenmeden önce bir anlık görüntü alın, yedekleme oluşturun veya her ikisini birden yapın. Yedekler, şifreleme sırasında beklenmeyen bir hata olması halinde verileri kurtarma seçeneği sunar. Yönetilen disklere sahip olan sanal makinelerin şifreleme öncesinde yedeklenmesi gerekir. Yedekleme yapıldıktan sonra, -skipVmBackup parametresini belirterek yönetilen diskleri şifrelemek içinSet-AzVMDiskEncryptionExtension cmdlet'ini kullanabilirsiniz. Şifrelenmiş sanal makineleri yedekleme ve geri yükleme hakkında daha fazla bilgi için Azure Backup makalesine bakın.

Kısıtlamalar

Daha önce bir sanal makineyi şifrelemek için Microsoft Entra ID ile Azure Disk Şifrelemesi kullandıysanız, sanal makinenizi şifrelemek için bu seçeneği kullanmaya devam etmeniz gerekir. Ayrıntılar için bkz. Microsoft Entra ID ile Azure Disk Şifrelemesi (önceki sürüm).

Linux işletim sistemi birimleri şifrelenirken VM kullanılamaz. Şifreleme işlemi sırasında erişilmesi gereken açık dosyaları engelleyen sorunları önlemek için şifreleme devam ederken SSH oturum açma işlemlerinden kaçının. İlerleme durumunu denetlemek için Get-AzVMDiskEncryptionStatus PowerShell cmdlet'ini veya vm şifreleme show CLI komutunu kullanın. Bu işlemin, 30 GB’lık bir işletim sistemi birimi için birkaç saat, veri birimlerinin şifrelenmesi içinse ek süre almasını bekleyebilirsiniz. Seçenek kullanılmadığı sürece veri birimi şifreleme süresi, veri birimlerinin boyutu ve miktarıyla encrypt format all orantılıdır.

Linux sanal makinelerinde şifrelemenin devre dışı bırakılması yalnızca veri birimleri için desteklenir. İşletim sistemi birimi şifrelenirse verilerde veya işletim sistemi birimlerinde şifrelemenin devre dışı bırakılması desteklenmez.

Azure Disk Şifrelemesi aşağıdaki Linux senaryoları, özellikleri ve teknolojisi için çalışmaz:

  • Klasik VM oluşturma yöntemiyle oluşturulan temel katman VM'leri veya VM'leri şifreleme.
  • V6 serisi VM'leri geçici disklerle şifreleme (Ddsv6, Dldsv6, Edsv6, Dadsv6, Daldsv6, Eadsv6, Dpdsv6, Dpldsv6, Epdsv6 veya Endsv6). Daha fazla bilgi için, Azure'da sanal makineler için boyutlar bölümünde listelenen bu VM boyutlarının her birinin tek tek sayfalarına bakın
  • V7 serisini ve daha yeni VM boyutlarını şifreleme.
  • İşletim sistemi sürücüsü şifrelendiğinde Linux VM'sinin işletim sistemi sürücüsünde veya veri sürücüsünde şifrelemeyi devre dışı bırakma.
  • Linux Sanal Makine Ölçek Kümeleri için işletim sistemi sürücüsünü şifreleme.
  • Linux VM'lerinde özel görüntüleri şifreleme.
  • Şirket içi anahtar yönetim sistemiyle tümleştirme.
  • Azure Dosyalar (paylaşılan dosya sistemi).
  • Ağ Dosya Sistemi (NFS).
  • Dinamik hacimler.
  • Kısa ömürlü işletim sistemi diskleri.
  • DFS, GFS, DRDB ve CephFS gibi (ancak bunlarla sınırlı olmamak üzere) paylaşılan/dağıtılmış dosya sistemlerinin şifrelenmesini sağlar.
  • Şifrelenmiş vm'yi başka bir aboneliğe veya bölgeye taşıma.
  • Şifrelenmiş bir VM'nin görüntüsünü veya anlık görüntüsünü oluşturma ve daha fazla VM dağıtmak için kullanma.
  • Çekirdek Çökme Dökümü (kdump).
  • Oracle ACFS (ASM Küme Dosya Sistemi).
  • Yüksek performanslı bilgi işlem VM boyutları veya Depolama için iyileştirilmiş VM boyutları gibi NVMe diskleri.
  • Tek bir yolda birden çok bağlama noktası bulunan ("/1stmountpoint/data/2ndmountpoint" gibi) "iç içe bağlama noktalarına" sahip bir VM.
  • İşletim sistemi klasörünün üzerine bağlı bir veri sürücüsüne sahip bir VM.
  • Veri diski kullanılarak kök (işletim sistemi diski) mantıksal biriminin genişletildiği bir VM.
  • İşletim sistemi diskini yeniden boyutlandırma.
  • 'L' aile depolama alanı için iyileştirilmiş VM boyut serisi.
  • Yazma Hızlandırıcısı diskleri olan M serisi VM'ler.
  • Ana Bilgisayarda Şifreleme veya müşterinin yönettiği anahtarlarla sunucu tarafı şifreleme (SSE + CMK) ile şifrelenmiş diskleri olan bir VM'ye ADE uygulama. Bir veri diskine SSE + CMK uygulamak veya ADE ile şifrelenmiş bir VM'ye yapılandırılmış SSE + CMK ile bir veri diski eklemek de desteklenmeyen bir senaryodur.
  • ADE ile şifrelenmiş veya ADE ile şifrelenmiş bir VM'yi Konakta Şifreleme'ye veya müşteri tarafından yönetilen anahtarlarla sunucu tarafı şifrelemeye geçirme.
  • Hata toleranslı kümelerdeki VM'leri şifreleme.
  • Azure Ultra Diskleri şifreleme.
  • Premium SSD v2 disklerinin şifresi.
  • Gizlilikler ilkesine sahip olan aboneliklerdeki VM'lerin, belirtilen maksimum geçerlilik süresiniDENY etkisiyle şifrelenmesi gerekir.

Araçları yükleme ve Azure'a bağlanma

Azure CLI ve Azure PowerShell aracılığıyla Azure Disk Şifrelemesi etkinleştirebilir ve yönetebilirsiniz. Bunu yapmak için araçları yerel olarak yüklemeniz ve Azure aboneliğinize bağlanmanız gerekir.

Azure CLI 2.0, Azure kaynaklarını yönetmeye yönelik bir komut satırı aracıdır. CLI, verileri esnek bir şekilde sorgulamak, uzun süreli işlemleri engelleyici olmayan süreçler olarak desteklemek ve betik yazmayı kolaylaştırmak için tasarlanmıştır. Azure CLI'yi yükleme makalesindeki adımları izleyerek yerel olarak yükleyebilirsiniz.

Azure CLI ile Azure hesabınızda oturum açmak için az login komutunu kullanın.

az login

Altında oturum açmak için bir kiracı seçmek istiyorsanız şunu kullanın:

az login --tenant <tenant>

Birden çok aboneliğiniz varsa ve belirli bir abonelik belirtmek istiyorsanız az account list ile abonelik listenizi alın ve az account set ile belirtin.

az account list
az account set --subscription "<subscription name or ID>"

Daha fazla bilgi için bkz. Azure CLI 2.0'ı kullanmaya başlama.

Mevcut veya çalışan bir Linux VM'de şifrelemeyi etkinleştirme

Bu senaryoda, Resource Manager şablonunu, PowerShell cmdlet'lerini veya CLI komutlarını kullanarak şifrelemeyi etkinleştirebilirsiniz. Sanal makine uzantısı için şema bilgilerine ihtiyacınız varsa Linux uzantısı için Azure Disk Şifrelemesi makalesine bakın.

Önemli

Azure Disk Şifrelemesi'ı etkinleştirmeden önce, yönetilen disk tabanlı bir VM örneğinin anlık görüntüsünü alın veya yedeğini oluşturun. Portaldan yönetilen diskin anlık görüntüsünü alabilir veya Azure Backup kullanabilirsiniz. Yedekler, şifreleme sırasında beklenmeyen bir hata olması halinde verileri kurtarma seçeneği sunar. Yedekleme yaptıktan sonra, -skipVmBackup parametresini belirterek yönetilen diskleri şifrelemek için Set-AzVMDiskEncryptionExtension cmdlet'ini kullanın. Set-AzVMDiskEncryptionExtension komutu, siz yedekleme yapıp bu parametreyi belirtene kadar yönetilen disk tabanlı VM'lerde başarısız olur.

Şifrelemenin şifrelenmesi veya devre dışı bırakılması VM'nin yeniden başlatılmasına neden olabilir.

Şifrelemeyi devre dışı bırakmak için bkz. Şifrelemeyi devre dışı bırakma ve şifreleme uzantısını kaldırma.

Azure CLI komut satırı aracını yükleyip kullanarak şifrelenmiş VHD'nizde disk şifrelemesini etkinleştirebilirsiniz. Azure Cloud Shell ile tarayıcınızda kullanabilir veya yerel makinenize yükleyip herhangi bir PowerShell oturumunda kullanabilirsiniz. Azure'da mevcut veya çalışan Linux VM'lerinde şifrelemeyi etkinleştirmek için aşağıdaki CLI komutlarını kullanın:

Azure'da çalışan bir sanal makinede şifrelemeyi etkinleştirmek için az vm encryption enable komutunu kullanın.

  • Çalışan vm'leri şifreleme:

    az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault "MySecureVault" --volume-type [All|OS|Data]

  • KEK kullanarak çalışan bir VM'i şifreleme:

    az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault  "MySecureVault" --key-encryption-key "MyKEK_URI" --key-encryption-keyvault "MySecureVaultContainingTheKEK" --volume-type [All|OS|Data]

    Uyarı

    Disk-encryption-keyvault parametresinin değerinin söz dizimi tam tanımlayıcı dizesidir: /subscriptions/[subscription-id-guid]/resourceGroups/[resource-group-name]/providers/Microsoft.KeyVault/vaults/[keyvault-name]
    Anahtar-şifreleme-anahtar parametresinin değerinin söz dizimi KEK'nin tam URI'sidir; örneğin: https://[keyvault-name].vault.azure.net/keys/[kekname]/[kek-unique-id]

  • Disklerin şifrelendiğini doğrulayın: Vm'nin şifreleme durumunu denetlemek için az vm encryption show komutunu kullanın.

    az vm encryption show --name "MySecureVM" --resource-group "MyVirtualMachineResourceGroup"

Şifrelemeyi devre dışı bırakmak için bkz. Şifrelemeyi devre dışı bırakma ve şifreleme uzantısını kaldırma.

Linux VM'lerindeki veri diskleri için EncryptFormatAll özelliğini kullanma

EncryptFormatAll parametresi Linux veri disklerinin şifrelenme süresini kısaltıyor. Belirli ölçütleri karşılayan bölümler, geçerli dosya sistemleriyle birlikte biçimlendirilir ve ardından komut yürütmeden önce bulundukları yere yeniden eklenir. Ölçütlere uyan bir veri diskini dışlamak istiyorsanız, komutu çalıştırmadan önce çıkarabilirsiniz.

Bu komutu çalıştırdığınızda, Azure Disk Şifrelemesi önceden bağlanmış olan tüm sürücüleri biçimlendirip şimdi boş olan sürücünün üzerinde şifreleme katmanını başlatır. Bu seçeneği belirlediğinizde Azure Disk Şifrelemesi vm'ye bağlı geçici diski de şifreler. Geçici disk sıfırlanırsa, Azure Disk Şifrelemesi bir sonraki fırsatta VM'nin geçici diskini yeniden biçimlendirip yeniden şifreler. Kaynak disk şifrelendiğinde, Microsoft Azure Linux Aracısı kaynak diski yönetemez ve takas dosyasını etkinleştiremez, ancak değiştirme dosyasını el ile yapılandırabilirsiniz.

Uyarı

Vm'nin veri birimlerinde gerekli veriler mevcut olduğunda EncryptFormatAll kullanmayın. Diskleri çıkararak şifrelemenin dışında tutabilirsiniz. Üretim VM'sinde denemeden önce özellik parametresini ve etkilerini anlamak için test VM'sinde EncryptFormatAll parametresini deneyin. EncryptFormatAll seçeneği veri diskini biçimlendirer ve üzerindeki tüm veriler kaybolur. Devam etmeden önce, dışlamak istediğiniz disklerin bağlantısının düzgün şekilde kesildiğini doğrulayın.

Şifreleme ayarlarını güncelleştirirken bu parametreyi ayarliyorsanız, gerçek şifrelemeden önce yeniden başlatmaya yol açabilir. Bu durumda, fstab dosyasından biçimlendirılmasını istemediğiniz diski kaldırmanız gerekir. Benzer şekilde, şifreleme işlemini başlatmadan önce şifreleme biçimli olmasını istediğiniz bölümü fstab dosyasına eklemeniz gerekir.

EncryptFormatAll ölçütleri

parametresi tüm bölümlerden geçer ve aşağıdaki ölçütlerin tümünü karşıladıkları sürece bunları şifreler:

  • Kök/OS/önyükleme bölümü değil
  • Henüz şifrelenmemiş
  • BEK birimi değil
  • RAID birimi değil
  • LVM birimi değil
  • Monte edilmiş

RAID veya LVM birimini değil, bunları oluşturan diskleri şifreleyin.

Azure'da çalışan bir sanal makinede şifrelemeyi etkinleştirmek için az vm encryption enable komutunu kullanın.

  • EncryptFormatAll kullanarak çalışan bir VM'yi şifreleyin:

    az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault "MySecureVault" --volume-type "data" --encrypt-format-all

EncryptFormatAll parametresini Mantıksal Birim Yöneticisi (LVM) ile kullanma

LvM-on-crypt kurulumu öneririz. Şifreleme yapılandırmasında LVM hakkında ayrıntılı yönergeler için bkz. ADE şifreli cihazlarda LVM ve RAID yapılandırma.

Müşteri tarafından şifrelenmiş VHD ve şifreleme anahtarlarından oluşturulan yeni VM'ler

Bu senaryoda, PowerShell cmdlet'lerini veya CLI komutlarını kullanarak şifrelemeyi etkinleştirebilirsiniz.

Azure için önceden şifrelenmiş görüntüleri hazırlamak için Azure Disk Şifrelemesi örnek betiklerindeki yönergeleri kullanın. Görüntü oluşturulduktan sonra, bir sonraki bölümdeki adımları kullanarak şifrelenmiş bir Azure VM oluşturabilirsiniz.

Önemli

Azure Disk Şifrelemesi'ı etkinleştirmeden önce, yönetilen disk tabanlı bir VM örneğinin anlık görüntüsünü alın veya yedeğini oluşturun. Portaldan yönetilen diskin anlık görüntüsünü alabilir veya Azure Backup'ı kullanabilirsiniz. Yedekler, şifreleme sırasında beklenmeyen bir hata olması halinde verileri kurtarma seçeneği sunar. Yedekleme yaptıktan sonra, parametresini belirterek yönetilen diskleri şifrelemek için Set-AzVMDiskEncryptionExtension cmdlet'ini -skipVmBackup kullanın. Set-AzVMDiskEncryptionExtension komutu, siz yedekleme yapıp bu parametreyi belirtene kadar yönetilen disk tabanlı VM'lerde başarısız olur.

Şifrelemenin şifrelenmesi veya devre dışı bırakılması VM'nin yeniden başlatılmasına neden olabilir.

Vm'leri önceden şifrelenmiş VHD'lerle şifrelemek için Azure PowerShell kullanma

Set-AzVMOSDisk PowerShell cmdlet'ini kullanarak şifrelenmiş VHD'nizde disk şifrelemesini etkinleştirebilirsiniz. Bu örnek size bazı yaygın parametreler sağlar.

$VirtualMachine = New-AzVMConfig -VMName "MySecureVM" -VMSize "Standard_A1"
$VirtualMachine = Set-AzVMOSDisk -VM $VirtualMachine -Name "SecureOSDisk" -VhdUri "os.vhd" Caching ReadWrite -Linux -CreateOption "Attach" -DiskEncryptionKeyUrl "https://mytestvault.vault.azure.net/secrets/Test1/514ceb769c984379a7e0230bddaaaaaa" -DiskEncryptionKeyVaultId "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myresourcegroup/providers/Microsoft.KeyVault/vaults/mytestvault"
New-AzVM -VM $VirtualMachine -ResourceGroupName "MyVirtualMachineResourceGroup"

Yeni eklenen veri diskinde şifrelemeyi etkinleştirme

az vm disk attach komutunu kullanarak veya Azure portalı aracılığıyla yeni bir veri diski ekleyebilirsiniz. Şifrelemeden önce yeni eklenen veri diskini bağlamanız gerekir. Şifreleme devam ederken sürücü kullanılamadığından veri sürücüsünün şifrelenmesini istemeniz gerekir.

VM daha önce "Tümü" ile şifrelendiyse parametresi --volume-type "Tümü" olarak kalmalıdır. Tümü hem işletim sistemini hem de veri disklerini içerir. VM daha önce birim türü "OS" ile şifrelendiyse, hem işletim sisteminin hem de yeni veri diskinin dahil olması için parametresini "Tümü" olarak değiştirin --volume-type . VM yalnızca "Veri" birim türüyle şifrelendiyse, aşağıdaki örnekte gösterildiği gibi "Veri" olarak kalabilir. VM'ye yeni bir veri diski eklemek ve iliştirmek, şifreleme işlemi için yeterli hazırlık değildir. Ayrıca şifrelemeyi etkinleştirmeden önce yeni eklenen diski vm içinde biçimlendirmeli ve düzgün bir şekilde bağlamanız gerekir. Linux'ta diski /etc/fstab içinde kalıcı bir blok aygıt adıyla bağlamanız gerekir.

PowerShell söz diziminin aksine, CLI şifrelemeyi etkinleştirirken benzersiz bir dizi sürümü sağlamanızı gerektirmez. CLI, otomatik olarak kendi benzersiz sıra sürüm değerini oluşturur ve kullanır.

  • Çalışan bir VM'nin veri hacimlerini şifreleme:

    az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault "MySecureVault" --volume-type "Data"

  • KEK kullanarak çalışan bir VM'nin veri hacimlerini şifreleyin:

    az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault  "MySecureVault" --key-encryption-key "MyKEK_URI" --key-encryption-keyvault "MySecureVaultContainingTheKEK" --volume-type "Data"

Şifrelemeyi devre dışı bırakma ve şifreleme uzantısını kaldırma

Azure Disk Şifrelemesi devre dışı bırakabilir ve Azure Disk Şifrelemesi uzantısını kaldırabilirsiniz. Devre dışı bırakma ve kaldırma iki ayrı işlemdir.

ADE'yi kaldırmak için önce şifrelemeyi devre dışı bırakın ve ardından uzantıyı kaldırın. ADE'yi devre dışı bırakmadan şifreleme uzantısını kaldırırsanız diskler şifrelenmiş olarak kalır. Uzantıyı kaldırdıktan sonra şifrelemeyi devre dışı bırakırsanız, uzantı yeniden yüklenir (şifre çözme işlemini gerçekleştirmek için) ve ikinci kez kaldırılması gerekir.

Uyarı

İşletim sistemi diski şifrelenirse şifrelemeyi devre dışı bırakamazsınız. (İlk şifreleme işlemi volumeType=ALL veya volumeType=OS belirttiğinde, işletim sistemi diskleri şifrelenir.)

Şifrelemeyi devre dışı bırakmak yalnızca veri diskleri şifrelendiğinde ancak işletim sistemi diski şifrelenmediğinde çalışır.

Şifrelemeyi devre dışı bırakma

Azure PowerShell, Azure CLI veya Resource Manager şablonu kullanarak şifrelemeyi devre dışı bırakabilirsiniz. Şifrelemeyi devre dışı bırakmak uzantıyı kaldırmaz (bkz. Şifreleme uzantısını kaldırma).

  • Azure PowerShell ile disk şifrelemesini devre dışı bırakma: Şifrelemeyi devre dışı bırakmak için Disable-AzVMDiskEncryption cmdlet'ini kullanın.

    Disable-AzVMDiskEncryption -ResourceGroupName "MyVirtualMachineResourceGroup" -VMName "MySecureVM" -VolumeType "data"

  • Azure CLI ile şifrelemeyi devre dışı bırakma: Şifrelemeyi devre dışı bırakmak için az vm encryption disable komutunu kullanın.

    az vm encryption disable --name "MySecureVM" --resource-group "MyVirtualMachineResourceGroup" --volume-type "data"

  • Resource Manager şablonuyla şifrelemeyi devre dışı bırakma:

    1. Linux VM çalıştırılırken disk şifrelemesini devre dışı bırak şablonundan Azure dağıt'ı seçin.
    2. Aboneliği, kaynak grubunu, konumu, VM'yi, birim türünü, yasal koşulları ve sözleşmeyi seçin.
    3. Çalışan bir Linux VM'de disk şifrelemesini devre dışı bırakmak için Satın Al'ı seçin.

Uyarı

Şifre çözme başladıktan sonra işlemi engellemeyin.

Şifre çözme işleminin ilerleme durumunu denetlemek için Get-AzVMDiskEncryptionStatus PowerShell cmdlet'ini veya az vm encryption show CLI komutunu kullanın. Şifre çözme işlemi tamamlandıktan sonra şifreleme uzantısını kaldırabilirsiniz.

Şifreleme uzantısını kaldırma

Disklerinizin şifresini çözmek ve şifreleme uzantısını kaldırmak istiyorsanız, uzantıyı kaldırmadan önce şifrelemeyi devre dışı bırakmanız gerekir; bkz. şifrelemeyi devre dışı bırakma.

Şifreleme uzantısını kaldırmak için Azure PowerShell veya Azure CLI kullanın.

  • Azure PowerShell ile şifreleme uzantısını kaldırın:Remove-AzVMDiskEncryptionExtension cmdlet'ini kullanın.

    Remove-AzVMDiskEncryptionExtension -ResourceGroupName "MyVirtualMachineResourceGroup" -VMName "MySecureVM"

  • Azure CLI ile şifreleme uzantısını kaldırın:az vm extension delete komutunu kullanın.

    az vm extension delete -g "MyVirtualMachineResourceGroup" --vm-name "MySecureVM" -n "AzureDiskEncryptionForLinux"

Sonraki Adımlar

  • Last updated on