Серверное шифрование хранилища дисков Azure

Применимо к: ✔️ Виртуальные машины Linux ✔️ Виртуальные машины Windows ✔️ Универсальные масштабируемые наборы ✔️ Единообразные масштабируемые наборы

Большинство управляемых дисков Azure шифруются с использованием шифрования службы хранилища Azure, в котором применяется шифрование на стороне сервера (SSE) для защиты данных. Это помогает выполнять действующие в организации обязательства по обеспечению безопасности и соответствия требованиям. Служба шифрования хранилища Azure по умолчанию автоматически шифрует ваши данные, находящиеся в состоянии покоя, которые сохраняются на управляемых дисках Azure (диски ОС и данные) при их записи в облако. Однако диски с включенным шифрованием на узле не шифруются через служба хранилища Azure. Для дисков с шифрованием на узле шифрование данных обеспечивает сервер, на котором размещена виртуальная машина, а в службу хранилища Azure передаются уже зашифрованные данные.

Данные в управляемых дисках Azure шифруются прозрачно с использованием 256-разрядного шифрования AES, одного из наиболее сильных блочных шифров, который совместим со стандартом FIPS 140-2. Дополнительные сведения о криптографических модулях, базовых управляемых дисках Azure, см. в разделе API шифрования: Следующее поколение

Шифрование в Azure Storage не влияет на производительность управляемых дисков и не требует дополнительных затрат. Дополнительные сведения о шифровании в службе хранилища Azure см. в статье Azure Storage encryption.

Об управлении ключами шифрования

Вы можете использовать ключи, управляемые платформой, для шифрования управляемого диска или управлять шифрованием с помощью собственных ключей. Если вы решили управлять шифрованием с помощью собственных ключей, вы можете указать управляемый клиентом ключ, который будет использоваться для шифрования и расшифровки всех данных на управляемых дисках.

В следующих разделах подробно описаны все варианты управления ключами.

Ключи, управляемые платформой

По умолчанию управляемые диски используют управляемые платформой ключи шифрования. Все управляемые диски, снимки, образы и данные, записываемые на существующие управляемые диски, автоматически шифруются в состоянии покоя с использованием ключей, управляемых платформой. Управляемые платформой ключи управляются корпорацией Майкрософт.

Ключи, управляемые клиентом

Вы можете управлять шифрованием на уровне каждого управляемого диска с помощью собственных ключей. Указанный ключ, управляемый клиентом, используется для защиты и контроля доступа к ключу, который шифрует ваши данные. Ключи, управляемые клиентом, обеспечивают большую гибкость в управлении доступом.

Для хранения ключей, управляемых клиентом, необходимо использовать одно из следующих хранилищ ключей Azure.

• Azure Key Vault
• Управляемый аппаратный модуль безопасности (HSM) в Azure Key Vault

Вы можете либо импортировать свои ключи RSA в Key Vault, либо создать новые ключи RSA в Azure Key Vault. Управляемые диски Azure обрабатывают шифрование и расшифровку полностью прозрачным образом с помощью метода шифрования конвертов. Он шифрует данные с помощью ключа шифрования данных (DEK) на основе AES 256, который, в свою очередь, защищен с помощью ваших ключей. Служба хранилища создает ключи шифрования данных и шифрует их с помощью управляемых клиентом ключей, используя шифрование RSA. Конвертное шифрование позволяет вам периодически менять ключи в соответствии с вашими политиками соответствия, не влияя на виртуальные машины. При смене ключей служба хранилища повторно шифрует ключи шифрования данных с помощью новых ключей, управляемых клиентом.

Управляемые диски и Key Vault или управляемый HSM должны находиться в одном регионе Azure, но они могут находиться в разных подписках. Они также должны находиться в том же клиенте Microsoft Entra, если только вы не используете зашифрованные управляемые диски с ключами, управляемыми клиентом для межтенантного использования (предварительная версия).

Полный контроль над ключами

Вы должны предоставить доступ к управляемым дискам в вашем Key Vault или управляемом HSM, чтобы использовать ключи для шифрования и расшифровки ключей шифрования данных (DEK). Это обеспечивает вам полный контроль над своими данными и ключами. Вы можете отключить ключи или отозвать доступ к управляемым дискам в любое время. Кроме того, можно проводить аудит использования ключа шифрования с помощью мониторинга Azure Key Vault, чтобы обеспечить доступ к ключам только управляемых дисков или других доверенных служб Azure.

На следующей схеме показано, как управляемые диски используют идентификатор Microsoft Entra и Azure Key Vault для выполнения запросов с помощью ключа, управляемого клиентом:

Ниже приведено более подробное описание схемы.

1. Администратор Azure Key Vault создает ресурсы хранилища ключей.
2. Администратор хранилища ключей либо импортирует ключи RSA в Key Vault, либо создает новые ключи RSA в Key Vault.
3. Этот администратор создает экземпляр ресурса для набора шифрования диска, указывая идентификатор Azure Key Vault и URL-адрес ключа. Набор шифрования дисков — это новый ресурс, который появился для упрощения управления ключами для управляемых дисков.
4. При создании набора шифрования дисков управляемое удостоверение, назначаемое системой, создается в идентификаторе Microsoft Entra и связанном с набором шифрования дисков.
5. Администратор хранилища ключей Azure затем предоставляет управляемому удостоверению разрешение на выполнение операций в хранилище ключей.
6. Пользователь виртуальной машины создает диски, связывая их с набором шифрования дисков. Пользователь виртуальной машины может также включить шифрование на стороне сервера с помощью управляемых клиентом ключей для существующих ресурсов, связав их с набором шифрования дисков.
7. Управляемые диски используют управляемое удостоверение для отправки запросов в Azure Key Vault.
8. Для чтения или записи данных управляемые диски отправляют запросы в Azure Key Vault для шифрования (упаковки) и расшифровки (распаковки) ключа шифрования данных для выполнения шифрования и расшифровки данных.

Сведения об отзыве доступа к ключам, управляемым клиентом, см. в разделах Azure Key Vault PowerShell и Azure Key Vault CLI. Отмена доступа фактически блокирует доступ ко всем данным в учетной записи хранения, так как ключ шифрования станет недоступен службе хранилища Azure.

Автоматическая ротация ключей, управляемых клиентом

Как правило, если вы используете ключи, управляемые клиентом, следует включить автоматическую смену ключей до последней версии ключа. Автоматическая смена ключей помогает обеспечить безопасность ключей. Диск ссылается на ключ с помощью набора шифрования диска. При включении автоматического обновления для набора шифрования дисков система автоматически обновит все управляемые диски, моментальные снимки и изображения, которые ссылаются на набор шифрования диска, чтобы использовать новую версию ключа в течение одного часа. Сведения о том, как настроить автоматическую смену ключей, управляемых клиентом, см. в разделе Настройка Azure Key Vault и DiskEncryptionSet с автоматической сменой ключей.

Если вы не можете включить автоматическую смену ключей, можно использовать другие методы, чтобы предупредить вас до истечения срока действия ключей. Таким образом, вы можете сменить ключи до истечения срока действия и сохранить непрерывность бизнес-процессов. Вы можете использовать Политика Azure или Сетка событий Azure для отправки уведомления при истечении срока действия ключа.

Ограничения

В настоящее время ключи, управляемые клиентом, имеют следующие ограничения.

• Если эта функция включена для диска с добавочными моментальными снимками, его нельзя отключить на этом диске или его моментальных снимках. Чтобы обойти эту проблему, скопируйте все данные на совершенно другой управляемый диск, который не использует ключи, управляемые клиентом. Это можно сделать с помощью Azure CLI или модуля Azure PowerShell.
• Диск и все связанные с ним добавочные моментальные снимки должны иметь один и тот же набор шифрования дисков.
• Поддерживаются только ключи RSA для программного обеспечения и HSM с размерами 2048 бит, 3072 бит и 4096 бит. Другие ключи или размеры не поддерживаются.
  • Для ключей HSM требуется уровень Premium Azure Key Vault.
• Только для дисков категории "Ультра" и SSD уровня "Премиум" версии 2:
  • Управляемые удостоверения, назначаемые пользователем, не поддерживаются для дисков SSD категории "Ультра" и SSD уровня "Премиум" версии 2, зашифрованных с помощью ключей, управляемых клиентом.
  • Шифрование дисков ценовой категории "Ультра" и дисков SSD уровня "Премиум" версии 2 с помощью ключей, управляемых клиентом, с помощью Azure Key Vault, хранящихся в другом клиенте идентификатора Microsoft Entra ID, в настоящее время не поддерживается.
• Большинство ресурсов, связанных с вашими ключами, управляемыми клиентом (наборы шифрования дисков, виртуальные машины, диски и моментальные снимки), должны находиться в одной подписке и регионе.
  • Хранилища ключей Azure могут использоваться из другой подписки, но должны находиться в том же регионе, что и набор шифрования дисков. В качестве предварительной версии можно использовать Azure Key Vault из разных клиентов Microsoft Entra.
• Диски, зашифрованные с помощью ключей, управляемых клиентом, могут быть перемещены в другую группу ресурсов только в том случае, если виртуальная машина, к которой они подключены, деактивирована.
• Диски, моментальные снимки и изображения, зашифрованные с помощью ключей, управляемых клиентом, нельзя перемещать между подписками.
• Управляемые диски, которые в настоящее время или ранее были зашифрованы с помощью Azure Disk Encryption, не могут быть зашифрованы клиентскими ключами.
• Можно создать до 5000 наборов шифрования дисков в рамках подписки на регион.
• Сведения об использовании ключей, управляемых клиентом, с общими коллекциями образов см. в статье "Предварительная версия: использование управляемых клиентом ключей для шифрования изображений".

Поддерживаемые регионы

Ключи, управляемые клиентом, доступны во всех регионах, где предоставляются управляемые диски.

Сведения о том, как настроить для управляемых дисков ключи, управляемые клиентом, см. в статьях с инструкциями для модуля Azure PowerShell, Azure CLI или портала Azure.

См. статью "Создание управляемого диска из моментального снимка" с помощью ИНТЕРФЕЙСА командной строки для примера кода.

Шифрование на уровне узла — сквозное шифрование данных виртуальной машины

Если вы включаете шифрование на узле, такое шифрование начинается на самом узле виртуальной машины, то есть на сервере Azure, где размещена виртуальная машина. На этом узле виртуальной машины хранятся данные для временных дисков, кэшей дисков данных и дисков ОС. После включения шифрования на узле все эти данные шифруются в состоянии покоя и в зашифрованном виде передаются в сервис хранения, где они сохраняются. По сути, шифрование на узле обеспечивает сквозное шифрование данных. Шифрование на узле не использует ЦП виртуальной машины и не влияет на производительность виртуальной машины.

При включении сквозного шифрования временные диски и эфемерные диски ОС шифруются на уровне хранения с использованием ключей, управляемых платформой. Кэши дисков данных и ОС шифруются при хранении с использованием ключей, управляемых клиентом или платформой, в зависимости от выбранного типа шифрования диска. Например, если диск зашифрован ключами, управляемыми клиентом, то и кэш для диска шифруется с использованием ключей, управляемых клиентом, а если диск шифруется ключами, управляемыми платформой, то кэш диска шифруется с использованием ключей, управляемых платформой.

Ограничения

• Поддерживается для 4k размера дисков категории "Ультра" и SSD уровня "Премиум" версии 2.
• Поддерживается только для 512e размера дисков категории "Ультра" и SSD уровня "Премиум" версии 2, если они были созданы после 5/13.2023.
  • Для дисков, созданных до этой даты, создайте моментальный снимок диска и создайте новый диск с помощью моментального снимка.
• Нельзя включить на виртуальных машинах или масштабируемых наборах виртуальных машин, которые в настоящее время или когда-либо имели установлено шифрование дисков Azure.
• Шифрование дисков Azure нельзя включить на дисках с включенным шифрованием на узле.
• Шифрование можно включить в существующих масштабируемых наборах виртуальных машин. Однако автоматически выполняется шифрование только новых виртуальных машин, созданных после включения шифрования.
• Для шифрования существующие виртуальные машины необходимо освободить и перераспределить.

Поддерживаемые размеры виртуальных машин

Полный список поддерживаемых размеров виртуальных машин можно получить программным способом. Сведения о получении этих данных программным путем см. в разделах о поиске поддерживаемых размеров виртуальных машин в статьях с инструкциями для модуля Azure PowerShell или Azure CLI.

Чтобы включить сквозное шифрование с поддержкой шифрования на узле, воспользуйтесь статьями с инструкциями для модуля Azure PowerShell, Azure CLI или портала Azure.

Двойное шифрование неактивных данных

Клиенты с высоким уровнем безопасности, которые обеспокоены риском, связанным с любым определенным алгоритмом шифрования, реализацией или ключом, теперь могут выбрать дополнительный уровень шифрования с помощью другого алгоритма или режима шифрования на уровне инфраструктуры с помощью ключей управляемого шифрования платформы. Этот новый слой можно применить к сохраненным дискам ОС и дискам данных, моментальным снимкам и образам. В этом случае любой из этих объектов будет шифроваться при хранении с помощью двойного шифрования.

Ограничения

Двойное шифрование неактивных дисков в настоящее время не поддерживается с дисками Категории "Ультра" или SSD уровня "Премиум" версии 2.

Чтобы включить двойное шифрование для неактивных управляемых дисков, см. раздел "Включение двойного шифрования для хранящихся (в состоянии покоя) управляемых дисков".

Шифрование на узле и шифрование дисков Azure

Шифрование дисков Azure использует функцию DM-Crypt в ОС Linux или BitLocker в ОС Windows для шифрования управляемых дисков гостевой виртуальной машины с использованием ключей, управляемых клиентом. Шифрование на стороне сервера с шифрованием на хосте обеспечивает улучшения по сравнению с ADE. При шифровании на узле данные для временного диска и кэша дисков операционной системы и данных хранятся на этом узле виртуальной машины. После включения шифрования на узле все эти данные шифруются в состоянии покоя и передаются в зашифрованном виде в службу хранения, где они сохраняются. По сути, шифрование на узле обеспечивает сквозное шифрование данных. Шифрование на узле не использует ЦП виртуальной машины и не влияет на производительность виртуальной машины.

Следующие шаги

• Включите сквозное шифрование с помощью шифрования на узле, используя модуль Azure PowerShell, Azure CLI или портал Azure.
• Чтобы включить двойное шифрование в состоянии покоя для управляемых дисков, см. Включение двойного шифрования в состоянии покоя для управляемых дисков.
• Включите ключи, управляемые клиентом, для управляемых дисков с помощью модуля Azure PowerShell, Azure CLI или портала Azure.
• Изучите шаблоны Azure Resource Manager для создания зашифрованных дисков с помощью управляемых клиентом ключей
• Что такое Azure Key Vault?