使用 Azure 备份 备份机密 VM（预览版）

重要

适用于机密虚拟机的 Azure 备份（VM）目前为预览版。 有关适用于 Beta 版、预览版或尚未正式发布的 Azure 功能的法律条款，请参阅 适用于 Microsoft azure 预览版的补充使用条款 。

Azure 备份支持 机密虚拟机（CVM），这些虚拟机 为敏感工作负荷提供安全备份和还原。 该功能使用Azure 磁盘加密 Set（DES）与平台管理密钥（PMK）或客户管理密钥（CMK）来在整个备份生命周期中保持数据机密性。 机密 VM 通过在应用程序和虚拟化堆栈之间创建硬件强制边界来提供强大的安全性。

本文介绍了如何配置和备份操作系统磁盘加密的机密虚拟机（CVM），使用平台管理密钥（PMK）或客户管理密钥（CMK）。 它关注备份前置条件、权限要求和配置流程。

支持机密 VM 备份的场景

下表列出了机密 VM 备份支持的方案：

Scenario	可支持性
虚拟机大小	支持 v6 系列。 不支持 v5 系列。
区域可用性	公开预览版可在所有 Azure 公共区域提供。
备份密钥轮换	轮换与机密虚拟机磁盘关联的密钥时，相关还原点和快照的密钥会自动更新。 如果将 6,000 多个磁盘附加到一个 DES，并且（仅）还原点与这些磁盘相关联，则可能会观察到性能下降或故障。 如果不通过 Azure 备份，而是直接为连接到同一 DES 的这些磁盘创建磁盘快照，则会降低 DES 与磁盘映射关系中 6,000 块磁盘的安全阈值。
备份功能	- 只能备份具有 OS 磁盘加密的机密 VM。 - 如果为订阅启用了 CVM v2 选择退出功能标志，备份和还原将失败。 - 不支持多磁盘崩溃一致性备份。 - 不支持跨区域恢复。

支持矩阵是支持区域、虚拟机系列和恢复能力的真实来源。

先决条件

在为机密虚拟机配置备份之前，请确保满足以下先决条件：

• 在 Azure 订阅中注册预览功能 - 名称： RestorePointSupportForConfidentialVMV2 提供程序： Microsoft.Compute。 注册请参见 预览功能。 还可以运行以下 PowerShell cmdlet。 注册已自动批准。

  Register-AzProviderFeature -FeatureName "RestorePointSupportForConfidentialVMV2" -ProviderNamespace "Microsoft.Compute" 
  
  

• 在受支持的区域中标识或创建机密 VM（CVM）。 请参阅 支持的区域。

• 在与虚拟机位于同一区域内识别或创建一个恢复服务保管库。

• 确保你能够配置备份策略并在环境中分配密钥访问权限。

使用 PMK 或 CMK 创建新的机密 VM

要使用Azure 备份备份机密虚拟机，必须配置机密虚拟机使用PMK或CMK加密。 Azure 备份服务使用与 VM 关联的磁盘加密集 (DES)，在整个备份和还原过程中保持数据加密。

如有需要，学习如何 用PMK或CMK创建新的机密虚拟机。

备份配置概述

对于机密虚拟机备份，备份负载和策略模型与Azure虚拟机备份相同。 额外的要求是访问虚拟机使用的加密资产（密钥保管库 或 Managed HSM）。

高级流程：

1. 验证支持和前提条件。
2. 确保加密资产权限已到位以便备份。
3. 配置或选择备份策略。
4. 启用机密虚拟机的备份。
5. 触发并监控初始备份作业。

为机密 VM 备份分配权限

Azure 备份需要访问存储密钥的密钥保管库或托管硬件安全模块（HSM）。 此访问可确保服务可以备份密钥，并在删除密钥时将其恢复。 在 Azure 门户中配置备份时，Azure 备份会自动获取所需的权限。 如果使用其他客户端（如 PowerShell、CLI 或 REST API），则必须手动分配这些权限。

如果你用 密钥保管库 来存储密钥，请授权 Azure 备份 服务进行备份操作。

若要为 MHSM 分配权限，请执行以下步骤：

1. 在 Azure 门户中，转到托管 HSM，然后在“设置”中选择“本地 RBAC”。

2. 选择 “添加” 以添加新 的角色分配。

3. 选择以下角色之一：

   • 内置角色：如果要使用内置角色，请选择 托管 HSM 加密用户 角色。

   • 自定义角色：如果你想使用自定义角色，该角色的 dataActions 应具有以下数值：

     • Microsoft.KeyVault/managedHsm/keys/read/action
     • Microsoft.KeyVault/managedHsm/keys/backup/action

     可以使用 托管 HSM 数据平面角色管理 来创建自定义角色。

4. 对于范围，选择用于使用客户管理的密钥创建机密 VM 的特定密钥。

   还可以选择 “所有密钥”。

5. 在 安全主体上，选择“ 备份管理服务”。

分配权限后，等待角色和策略的变更传播后再触发备份。

为机密 VM 配置备份

在 Azure 备份 获得必要权限后，继续使用标准的 Azure VM 备份配置流程。 了解如何配置 Azure VM 备份。

配置过程中：

1. 选择恢复服务保管库和备份策略。
2. 选择要保护的机密虚拟机。
3. 确认没有密钥访问的权限警告。
4. 启用备份并监控初始作业完成情况。

后续步骤

使用 Azure 备份还原 CVM（预览版）。

相关内容

• 备份已加密的 Azure 虚拟机
• Azure VM 备份的支持矩阵