Серверное шифрование хранилища дисков Azure

Область применения: ✔️ виртуальные машины Linux ✔️ виртуальные машины Windows ✔️ гибкие масштабируемые наборы ✔️ единообразные масштабируемые наборы

Большинство управляемых дисков Azure шифруются с использованием шифрования службы хранилища Azure, в котором применяется шифрование на стороне сервера (SSE) для защиты данных. Это помогает выполнять действующие в организации обязательства по обеспечению безопасности и соответствия требованиям. Служба шифрования хранилища Azure по умолчанию автоматически шифрует ваши данные, находящиеся в состоянии покоя, которые сохраняются на управляемых дисках Azure (диски ОС и данные) при их записи в облако. Однако диски с включенным шифрованием на узле не шифруются через служба хранилища Azure. Для дисков с шифрованием на узле шифрование данных обеспечивает сервер, на котором размещена виртуальная машина, а в службу хранилища Azure передаются уже зашифрованные данные.

Данные в управляемых дисках Azure шифруются прозрачно с помощью 256-разрядного шифрования AES, одного из самых надежных блочных шифров, доступных и совместимых с FIPS 140-2. Дополнительные сведения о криптографических модулях, базовых управляемых дисках Azure, см. в разделе API шифрования: Следующее поколение

Шифрование в Azure Storage не влияет на производительность управляемых дисков и не требует дополнительных затрат. Дополнительные сведения о шифровании службы хранилища Azure см. в разделе "Шифрование службы хранилища Azure".

Об управлении ключами шифрования

Вы можете использовать ключи, управляемые платформой, для шифрования управляемого диска или управлять шифрованием с помощью собственных ключей. Если вы решили управлять шифрованием с помощью собственных ключей, можно указать управляемый клиентом ключ для шифрования и расшифровки всех данных на управляемых дисках.

В следующих разделах подробно описаны все варианты управления ключами.

Ключи, управляемые платформой

По умолчанию управляемые диски используют управляемые платформой ключи шифрования. Все управляемые диски, снимки, образы и данные, записываемые на существующие управляемые диски, автоматически шифруются в состоянии покоя с использованием ключей, управляемых платформой. Управляемые платформой ключи управляются корпорацией Майкрософт.

Ключи, управляемые клиентом

Вы можете управлять шифрованием на уровне каждого управляемого диска с помощью собственных ключей. Указанный ключ, управляемый клиентом, используется для защиты и контроля доступа к ключу, который шифрует ваши данные. Ключи, управляемые клиентом, обеспечивают большую гибкость в управлении доступом.

Для хранения ключей, управляемых клиентом, необходимо использовать одно из следующих хранилищ ключей Azure.

• Azure Key Vault
• Управляемый аппаратный модуль безопасности Azure Key Vault (HSM)

Вы можете импортировать ключи RSA в Хранилище ключей или создать новые ключи RSA в Azure Key Vault. Управляемые диски Azure обрабатывают шифрование и расшифровку полностью прозрачным образом с помощью метода шифрования конвертов. Он шифрует данные с помощью ключа шифрования данных на основе AES 256 (DEK), который, в свою очередь, защищен с помощью ключей. Служба хранилища создает ключи шифрования данных и шифрует их с помощью управляемых клиентом ключей, используя шифрование RSA. Конвертное шифрование позволяет вам периодически менять ключи в соответствии с вашими политиками соответствия, не влияя на виртуальные машины. При смене ключей служба хранилища повторно шифрует ключи шифрования данных с помощью новых ключей, управляемых клиентом.

Управляемые диски и Key Vault или управляемый HSM должны находиться в одном регионе Azure, но они могут находиться в разных подписках. Они также должны находиться в том же клиенте Microsoft Entra, если только вы не используете управляемые диски шифрования с межтенантными ключами, управляемыми клиентом (предварительная версия).

Полный контроль над ключами

Вы должны предоставить доступ к управляемым дискам в вашем Key Vault или управляемом HSM, чтобы использовать ключи для шифрования и расшифровки ключей шифрования данных (DEK). Это обеспечивает вам полный контроль над своими данными и ключами. Вы можете отключить ключи или отозвать доступ к управляемым дискам в любое время. Кроме того, можно проводить аудит использования ключа шифрования с помощью мониторинга Azure Key Vault, чтобы обеспечить доступ к ключам только управляемых дисков или других доверенных служб Azure.

На следующей схеме показано, как управляемые диски используют идентификатор Microsoft Entra и Azure Key Vault для выполнения запросов с помощью ключа, управляемого клиентом:

Ниже приведено более подробное описание схемы.

1. Администратор Azure Key Vault создает ресурсы хранилища ключей.
2. Администратор хранилища ключей либо импортирует ключи RSA в Key Vault, либо создает новые ключи RSA в Key Vault.
3. Этот администратор создает экземпляр ресурса для набора шифрования диска, указывая идентификатор Azure Key Vault и URL-адрес ключа. Набор шифрования дисков — это новый ресурс, который появился для упрощения управления ключами для управляемых дисков.
4. При создании набора шифрования дисков в Microsoft Entra ID создается системно назначаемое управляемое удостоверение, которое связывается с набором шифрования дисков.
5. Администратор хранилища ключей Azure затем предоставляет управляемому удостоверению разрешение на выполнение операций в хранилище ключей.
6. Пользователь виртуальной машины создает диски, связывая их с набором шифрования дисков. Пользователь виртуальной машины может также включить шифрование на стороне сервера с помощью управляемых клиентом ключей для существующих ресурсов, связав их с набором шифрования дисков.
7. Управляемые диски используют управляемое удостоверение для отправки запросов в Azure Key Vault.
8. Для чтения или записи данных управляемые диски отправляют запросы в Azure Key Vault для шифрования (упаковки) и расшифровки (распаковки) ключа шифрования данных для выполнения шифрования и расшифровки данных.

Чтобы отозвать доступ к ключам, управляемым клиентом, см. статью Azure Key Vault PowerShell и Azure Key Vault CLI. Отмена доступа фактически блокирует доступ ко всем данным в учетной записи хранения, так как ключ шифрования станет недоступен службе хранилища Azure.

Автоматическая ротация ключей, управляемых клиентом

Как правило, если вы используете ключи, управляемые клиентом, следует включить автоматическую смену ключей до последней версии ключа. Автоматическая смена ключей помогает обеспечить безопасность ключей. Диск ссылается на ключ с помощью набора шифрования диска. При включении автоматического обновления для набора шифрования дисков система автоматически обновит все управляемые диски, моментальные снимки и изображения, которые ссылаются на набор шифрования диска, чтобы использовать новую версию ключа в течение одного часа. Сведения о том, как включить управляемые клиентом ключи с автоматической сменой ключей, см. в статье Настройка Azure Key Vault и DiskEncryptionSet с автоматическим поворотом ключей.

Если вы не можете включить автоматическую смену ключей, можно использовать другие методы, чтобы предупредить вас до истечения срока действия ключей. Таким образом, вы можете сменить ключи до истечения срока действия и сохранить непрерывность бизнес-процессов. Вы можете использовать политику Azure или службу "Сетка событий Azure " для отправки уведомления, когда срок действия ключа истекает в ближайшее время.

Ограничения

В настоящее время ключи, управляемые клиентом, имеют следующие ограничения.

• Если эта функция включена для диска с добавочными моментальными снимками, его нельзя отключить на этом диске или его моментальных снимках. Чтобы обойти эту проблему, скопируйте все данные на совершенно другой управляемый диск, который не использует ключи, управляемые клиентом. Это можно сделать с помощью Azure CLI или модуля Azure PowerShell.
• Диск и все связанные с ним добавочные моментальные снимки должны иметь один и тот же набор шифрования дисков.
• Поддерживаются только программные и HSM-ключи RSA размером 2048, 3072 и 4096 бит, никакие другие ключи или размеры не поддерживаются.
  • Для ключей HSM требуется уровень "Премиум" хранилищ ключей Azure.
• Только для дисков категории "Ультра" и SSD уровня "Премиум" версии 2:
  • Управляемые удостоверения, назначаемые пользователем, не поддерживаются для дисков SSD категории "Ультра" и SSD уровня "Премиум" версии 2, зашифрованных с помощью ключей, управляемых клиентом.
  • Шифрование дисков ценовой категории "Ультра" и дисков SSD уровня "Премиум" версии 2 с помощью ключей, управляемых клиентом, с помощью Azure Key Vault, хранящихся в другом клиенте идентификатора Microsoft Entra ID, в настоящее время не поддерживается.
• Большинство ресурсов, связанных с вашими ключами, управляемыми клиентом (наборы шифрования дисков, виртуальные машины, диски и моментальные снимки), должны находиться в одной подписке и регионе.
  • Хранилища ключей Azure могут использоваться из другой подписки, но должны находиться в том же регионе, что и набор шифрования дисков. В качестве предварительной версии можно использовать Azure Key Vault из разных клиентов Microsoft Entra.
• Диски, зашифрованные с помощью ключей, управляемых клиентом, могут быть перемещены в другую группу ресурсов только в том случае, если виртуальная машина, к которой они подключены, деактивирована.
• Диски, моментальные снимки и изображения, зашифрованные с помощью ключей, управляемых клиентом, нельзя перемещать между подписками.
• Управляемые диски, которые в настоящее время или ранее были зашифрованы с помощью Azure Disk Encryption, не могут быть зашифрованы клиентскими ключами.
• Можно создать до 5000 наборов шифрования дисков в рамках подписки на регион.
• Сведения об использовании ключей, управляемых клиентом, с общими коллекциями образов см. в статье "Предварительная версия: использование управляемых клиентом ключей для шифрования изображений".

Поддерживаемые регионы

Ключи, управляемые клиентом, доступны во всех регионах, где предоставляются управляемые диски.

Чтобы включить ключи, управляемые клиентом, для управляемых дисков, ознакомьтесь с нашими статьями, в которых описано, как включить ключи с помощью модуля Azure PowerShell, Azure CLI или портала Azure.

См. статью "Создание управляемого диска из моментального снимка" с помощью ИНТЕРФЕЙСА командной строки для примера кода.

Шифрование на уровне узла — сквозное шифрование данных виртуальной машины

Если вы включаете шифрование на узле, такое шифрование начинается на самом узле виртуальной машины, то есть на сервере Azure, где размещена виртуальная машина. На этом узле виртуальной машины хранятся данные для временных дисков, кэшей дисков данных и дисков ОС. После включения шифрования на узле все эти данные шифруются в состоянии покоя и в зашифрованном виде передаются в сервис хранения, где они сохраняются. По сути, шифрование на узле обеспечивает сквозное шифрование данных. Шифрование на узле не использует ЦП виртуальной машины и не влияет на производительность виртуальной машины.

При включении сквозного шифрования временные диски и эфемерные диски ОС шифруются на уровне хранения с использованием ключей, управляемых платформой. Кэши дисков данных и ОС шифруются при хранении с использованием ключей, управляемых клиентом или платформой, в зависимости от выбранного типа шифрования диска. Например, если диск зашифрован ключами, управляемыми клиентом, то и кэш для диска шифруется с использованием ключей, управляемых клиентом, а если диск шифруется ключами, управляемыми платформой, то кэш диска шифруется с использованием ключей, управляемых платформой.

Ограничения

• Поддерживается для 4k размера дисков категории "Ультра" и SSD уровня "Премиум" версии 2.
• Поддерживается только для 512e размера дисков категории "Ультра" и SSD уровня "Премиум" версии 2, если они были созданы после 5/13.2023.
  • Для дисков, созданных до этой даты, снимите моментальный снимок вашего диска и создайте новый диск с помощью моментального снимка.
• Нельзя включить на виртуальных машинах или масштабируемых наборах виртуальных машин, которые в настоящее время или когда-либо имели установлено шифрование дисков Azure.
• Шифрование дисков Azure нельзя включить на дисках с включенным шифрованием на узле.
• Шифрование можно включить в существующих масштабируемых наборах виртуальных машин. Однако автоматически выполняется шифрование только новых виртуальных машин, созданных после включения шифрования.
• Для шифрования существующие виртуальные машины необходимо освободить и перераспределить.

Поддерживаемые размеры виртуальных машин

Полный список поддерживаемых размеров виртуальных машин можно получить программным способом. Чтобы узнать, как получить их программным способом, ознакомьтесь с разделом поиска поддерживаемых размеров виртуальных машин в модуле Azure PowerShell или в статьях Azure CLI .

Чтобы включить сквозное шифрование с помощью шифрования на узле, ознакомьтесь со статьями о том, как включить его с помощью модуля Azure PowerShell, Azure CLI или портала Azure.

Двойное шифрование неактивных данных

Клиенты с высоким уровнем безопасности, которые обеспокоены риском, связанным с любым определенным алгоритмом шифрования, реализацией или ключом, теперь могут выбрать дополнительный уровень шифрования с помощью другого алгоритма или режима шифрования на уровне инфраструктуры с помощью ключей управляемого шифрования платформы. Этот новый слой можно применить к сохраненным дискам ОС и дискам данных, моментальным снимкам и образам. В этом случае любой из этих объектов будет шифроваться при хранении с помощью двойного шифрования.

Ограничения

Двойное шифрование неактивных дисков в настоящее время не поддерживается с дисками Категории "Ультра" или SSD уровня "Премиум" версии 2.

Чтобы включить двойное шифрование неактивных данных для управляемых дисков, см. раздел "Включить двойное шифрование неактивных данных для управляемых дисков".

Шифрование на узле и шифрование дисков Azure

Шифрование дисков Azure использует функцию DM-Crypt Linux или компонент BitLocker Windows для шифрования управляемых дисков с помощью ключей, управляемых клиентом, на гостевой виртуальной машине. Шифрование на стороне сервера с шифрованием на хосте обеспечивает улучшения по сравнению с ADE. При шифровании на узле данные для временного диска и кэша дисков операционной системы и данных хранятся на этом узле виртуальной машины. После включения шифрования на узле все эти данные шифруются в состоянии покоя и в зашифрованном виде передаются в сервис хранения, где они сохраняются. По сути, шифрование на узле обеспечивает сквозное шифрование данных. Шифрование на узле не использует ЦП виртуальной машины и не влияет на производительность виртуальной машины.

Следующие шаги

• Включите сквозное шифрование с помощью шифрования на узле с помощью модуля Azure PowerShell, Azure CLI или портала Azure.
• Чтобы включить двойное шифрование при хранении для управляемых дисков, см. раздел "Включить двойное шифрование при хранении для управляемых дисков".
• Включите управляемые клиентом ключи для управляемых дисков с помощью модуля Azure PowerShell, Azure CLI или портала Azure.
• Изучите шаблоны Azure Resource Manager для создания зашифрованных дисков с помощью ключей, управляемых клиентом
• Что такое Azure Key Vault?