Шифрование дисков Azure для Linux (Microsoft.Azure.Security.AzureDiskEncryptionForLinux)

Обзор

Шифрование дисков Azure использует подсистему dm-crypt в Linux для шифрования всего диска в выбранных дистрибутивах Azure Linux. Решение интегрируется с Azure Key Vault, обеспечивая управление секретами и ключами шифрования диска.

Необходимые компоненты

Полный список предварительных требований см. в статье Шифрование дисков Azure для виртуальных машин под управлением Linux, в частности следующие разделы:

• Поддерживаемые виртуальные машины и операционные системы
• Дополнительные требования к виртуальной машине
• Требования к сети
• Требования к хранилищу ключей шифрования

Схема расширения

Существует две версии схемы расширения для Шифрования дисков Azure (ADE):

• версия 1.1. Более новая рекомендуемая схема, которая не использует свойства Microsoft Entra.
• v0.1 — более старая схема, требующая свойств Microsoft Entra.

Чтобы выбрать целевую схему, свойство typeHandlerVersion должно иметь значение, равное версии схемы, которую вы хотите использовать.

Схема версии 1.1. Идентификатор Microsoft Entra (рекомендуется)

Рекомендуется использовать схему версии 1.1 и не требуется свойства Microsoft Entra.

{
  "type": "extensions",
  "name": "[name]",
  "apiVersion": "2019-07-01",
  "location": "[location]",
  "properties": {
        "publisher": "Microsoft.Azure.Security",
        "type": "AzureDiskEncryptionForLinux",
        "typeHandlerVersion": "1.1",
        "autoUpgradeMinorVersion": true,
        "settings": {
          "DiskFormatQuery": "[diskFormatQuery]",
          "EncryptionOperation": "[encryptionOperation]",
          "KeyEncryptionAlgorithm": "[keyEncryptionAlgorithm]",
          "KeyVaultURL": "[keyVaultURL]",
          "KeyVaultResourceId": "[KeyVaultResourceId]",
          "KeyEncryptionKeyURL": "[keyEncryptionKeyURL]",
          "KekVaultResourceId": "[KekVaultResourceId",
          "SequenceVersion": "sequenceVersion]",
          "VolumeType": "[volumeType]"
        }
  }
}

Схема версии 0.1: с идентификатором Microsoft Entra

Для схемы 0.1 необходимо свойство AADClientID, а также AADClientSecret или AADClientCertificate.

Использование среды AADClientSecret:

{
  "type": "extensions",
  "name": "[name]",
  "apiVersion": "2019-07-01",
  "location": "[location]",
  "properties": {
    "protectedSettings": {
      "AADClientSecret": "[aadClientSecret]",
      "Passphrase": "[passphrase]"
    },
    "publisher": "Microsoft.Azure.Security",
    "type": "AzureDiskEncryptionForLinux",
    "typeHandlerVersion": "0.1",
    "settings": {
      "AADClientID": "[aadClientID]",
      "DiskFormatQuery": "[diskFormatQuery]",
      "EncryptionOperation": "[encryptionOperation]",
      "KeyEncryptionAlgorithm": "[keyEncryptionAlgorithm]",
      "KeyEncryptionKeyURL": "[keyEncryptionKeyURL]",
      "KeyVaultURL": "[keyVaultURL]",
      "SequenceVersion": "sequenceVersion]",
      "VolumeType": "[volumeType]"
    }
  }
}

Использование среды AADClientCertificate:

{
  "type": "extensions",
  "name": "[name]",
  "apiVersion": "2019-07-01",
  "location": "[location]",
  "properties": {
    "protectedSettings": {
      "AADClientCertificate": "[aadClientCertificate]",
      "Passphrase": "[passphrase]"
    },
    "publisher": "Microsoft.Azure.Security",
    "type": "AzureDiskEncryptionForLinux",
    "typeHandlerVersion": "0.1",
    "settings": {
      "AADClientID": "[aadClientID]",
      "DiskFormatQuery": "[diskFormatQuery]",
      "EncryptionOperation": "[encryptionOperation]",
      "KeyEncryptionAlgorithm": "[keyEncryptionAlgorithm]",
      "KeyEncryptionKeyURL": "[keyEncryptionKeyURL]",
      "KeyVaultURL": "[keyVaultURL]",
      "SequenceVersion": "sequenceVersion]",
      "VolumeType": "[volumeType]"
    }
  }
}

Значения свойств

Обратите внимание, что все значения свойства чувствительны к регистру.

Развертывание шаблона

Пример развертывания шаблона на основе схемы версии 1.1 см. в шаблоне быстрого запуска Azure encrypt-running-linux-vm-without-aad.

Пример развертывания шаблона на основе схемы версии 0.1 см. в шаблоне быстрого запуска Azure encrypt-running-linux-vm.

Устранение неполадок и поддержка

Устранение неполадок

Дополнительные сведения см. в руководстве по устранению неполадок с шифрованием дисков Azure.

Поддержка

Если в любой момент при изучении этой статьи вам потребуется дополнительная помощь, вы можете обратиться к экспертам по Azure на форумах MSDN Azure и Stack Overflow.

Кроме того, можно зарегистрировать обращение в службу поддержки Azure. Перейдите на сайт поддержки Azure и выберите "Получить поддержку". Дополнительные сведения об использовании службы поддержки Azure см. в статье Часто задаваемые вопросы о поддержке Microsoft Azure.

Следующие шаги

• Дополнительные сведения о расширениях виртуальных машин см. в обзоре расширений и компонентов виртуальной машины для Linux.
• Дополнительные сведения о Шифровании дисков Azure для Linux см. в статье Виртуальные машины Linux.