В этой статье приведены ответы на часто задаваемые вопросы о шифровании дисков Azure для виртуальных машин Linux. Дополнительные сведения об этой службе см. в обзоре шифрования дисков Azure.
Что такое шифрование дисков Azure для виртуальных машин Linux?
Шифрование дисков Azure для виртуальных машин Linux использует функцию dm-crypt Linux для обеспечения полного шифрования диска операционной системы* и дисков данных. Кроме того, он обеспечивает шифрование временного диска при использовании функции EncryptFormatAll. Содержимое передается из виртуальной машины в серверную часть хранилища с помощью ключа, управляемого клиентом.
См. сведения о поддерживаемых виртуальных машинах и операционных системах.
Где доступно шифрование дисков Azure в стадии общего выпуска (GA)?
Шифрование дисков Azure для виртуальных машин Linux теперь доступно по общему доступу во всех публичных регионах Azure.
Какие возможности пользователей доступны с помощью шифрования дисков Azure?
Общедоступная версия шифрования дисков Azure поддерживает шаблоны Azure Resource Manager, Azure PowerShell и Azure CLI. Различные возможности пользователей обеспечивают гибкость. У вас есть три варианта включения шифрования дисков для виртуальных машин. Дополнительные сведения о пользовательском интерфейсе и пошаговом руководстве по шифрованию дисков Azure см. в сценариях шифрования дисков Azure для Linux.
Сколько стоит шифрование дисков Azure?
Плата за шифрование дисков виртуальных машин с помощью шифрования дисков Azure не взимается, но с использованием Azure Key Vault взимается плата. Дополнительные сведения о затратах Azure Key Vault см. на странице цен на Key Vault .
Как начать использовать шифрование дисков Azure?
Чтобы приступить к работе, ознакомьтесь с обзором шифрования дисков Azure.
Какие размеры виртуальных машин и операционные системы поддерживают шифрование дисков Azure?
В статье "Шифрование дисков Azure" перечислены размеры виртуальных машин и операционные системы виртуальных машин , поддерживающие шифрование дисков Azure.
Можно ли шифровать тома загрузки и данных с помощью шифрования дисков Azure?
Да, вы можете зашифровать тома загрузки и данных или зашифровать том данных без необходимости сначала шифровать том ОС.
После шифрования тома ОС отключение шифрования в томе ОС не поддерживается. Для виртуальных машин Linux в масштабируемом наборе можно зашифровать только том данных.
Можно ли зашифровать размонтированный том с помощью шифрования дисков Azure?
Нет, шифрование дисков Azure шифрует только подключенные тома.
Что такое шифрование на стороне сервера хранилища?
Шифрование на стороне сервера хранилища шифрует управляемые диски Azure в службе хранилища Azure. Управляемые диски шифруются по умолчанию с помощью шифрования на стороне сервера с помощью управляемого платформой ключа (с 10 июня 2017 г.). Вы можете управлять шифрованием управляемых дисков с помощью собственных ключей, указав управляемый клиентом ключ. Дополнительные сведения см. в статье о шифровании управляемых дисков Azure на стороне сервера.
Как отличается шифрование дисков Azure от других решений шифрования дисков и когда следует использовать каждое решение?
Как сменить секреты или ключи шифрования?
Чтобы повернуть секреты, просто вызовите ту же команду, которую вы использовали изначально для включения шифрования дисков, указав другое хранилище ключей. Чтобы повернуть ключ шифрования ключей, вызовите ту же команду, которую вы использовали изначально для включения шифрования дисков, указав новое шифрование ключей.
Предупреждение
- Если вы ранее использовали шифрование дисков Azure с приложением Microsoft Entra , указав учетные данные Microsoft Entra для шифрования этой виртуальной машины, необходимо продолжать использовать этот параметр для шифрования виртуальной машины. Вы не можете использовать шифрование дисков Azure на этой зашифрованной виртуальной машине, так как это не поддерживается, что означает отключение от приложения Microsoft Entra для этой зашифрованной виртуальной машины пока не поддерживается.
Как добавить или удалить ключ шифрования ключей, если он не использовался?
Чтобы добавить ключ шифрования ключей, повторно вызовите команду enable, передав параметр ключа шифрования ключей. Чтобы удалить ключ шифрования ключей, вызовите команду активации еще раз без параметра ключа шифрования.
Позволяет ли шифрование дисков Azure использовать собственный ключ (BYOK)?
Да, вы можете предоставить собственные ключи шифрования ключей. Эти ключи защищены в Azure Key Vault, который является хранилищем ключей для шифрования дисков Azure. Дополнительные сведения о сценариях поддержки ключей шифрования ключей см. в статье "Создание и настройка хранилища ключей для шифрования дисков Azure".
Можно ли использовать ключ шифрования ключей, созданный Azure?
Да, вы можете использовать Azure Key Vault для генерации ключа шифрования для использования в шифровании дисков Azure. Эти ключи защищены в Azure Key Vault, который является хранилищем ключей для шифрования дисков Azure. Дополнительные сведения о ключе шифрования ключей см. в статье "Создание и настройка хранилища ключей для шифрования дисков Azure".
Можно ли использовать локальную службу управления ключами или HSM для защиты ключей шифрования?
Вы не можете использовать локальную службу управления ключами или HSM для защиты ключей шифрования с помощью шифрования дисков Azure. Для защиты ключей шифрования можно использовать только службу Azure Key Vault. Дополнительные сведения о сценариях поддержки ключей шифрования ключей см. в статье "Создание и настройка хранилища ключей для шифрования дисков Azure".
Каковы необходимые условия для настройки шифрования дисков Azure?
Для шифрования дисков Azure необходимы необходимые условия. См. статью "Создание и настройка хранилища ключей для шифрования дисков Azure" , чтобы создать новое хранилище ключей или настроить существующее хранилище ключей для доступа к шифрованию дисков, чтобы включить шифрование и защитить секреты и ключи. Дополнительные сведения о сценариях поддержки ключей шифрования ключей см. в статье "Создание и настройка хранилища ключей для шифрования дисков Azure".
Каковы предварительные требования для настройки шифрования дисков Azure с помощью приложения Microsoft Entra (предыдущий выпуск)?
Для шифрования дисков Azure необходимы необходимые условия. См. раздел Шифрование дисков Azure с Microsoft Entra ID, чтобы создать приложение Microsoft Entra, новое хранилище ключей или настроить существующее хранилище для доступа к шифрованию дисков, включения шифрования, а также защиты секретов и ключей. Дополнительные сведения о сценариях поддержки ключей шифрования ключей см. в статье "Создание и настройка хранилища ключей для шифрования дисков Azure с помощью идентификатора Microsoft Entra".
Поддерживается ли шифрование дисков Azure с помощью приложения Microsoft Entra (предыдущего выпуска) ?
Да. Шифрование дисков с помощью приложения Microsoft Entra по-прежнему поддерживается. Однако при шифровании новых виртуальных машин рекомендуется использовать новый метод, а не шифрование с помощью приложения Microsoft Entra.
Можно ли перевести зашифрованные с помощью приложения Microsoft Entra виртуальные машины на шифрование без приложения Microsoft Entra?
В настоящее время нет прямого пути миграции для компьютеров, которые были зашифрованы с помощью приложения Microsoft Entra, к шифрованию без использования этого приложения. Кроме того, отсутствует прямой путь от шифрования без приложения Microsoft Entra к шифрованию с приложением AD.
Какая версия Azure PowerShell поддерживает шифрование дисков Azure?
Используйте последнюю версию пакета SDK Azure PowerShell для настройки шифрования дисков Azure. Скачайте последнюю версию Azure PowerShell. Шифрование дисков Azure не поддерживается пакетом SDK для Azure версии 1.1.0.
Замечание
Расширение предварительного просмотра функции шифрования диска в Linux "Microsoft.OSTCExtension.AzureDiskEncryptionForLinux" признано устаревшим. Это расширение было опубликовано для предварительной версии шифрования дисков Azure. В тестовом или рабочем развертывании не следует использовать предварительную версию расширения.
В таких сценариях развертывания, как Azure Resource Manager (ARM), где требуется развернуть расширение шифрования дисков Azure для виртуальной машины Linux для включения шифрования на виртуальной машине IaaS Linux, необходимо использовать поддерживаемое расширение шифрования дисков Azure "Microsoft.Azure.Security.AzureDiskEncryptionForLinux".
Можно ли применить шифрование дисков Azure на пользовательском образе Linux?
Вы не можете применить шифрование дисков Azure на пользовательском образе Linux. Поддерживаются только образы Linux для поддерживаемых дистрибутивов, указанных ранее. Пользовательские образы Linux в настоящее время не поддерживаются.
Можно ли применять обновления к виртуальной машине Linux Red Hat, которая использует обновление yum?
Да, вы можете выполнить обновление yum на виртуальной машине Red Hat Linux. Дополнительные сведения см. в статье "Шифрование дисков Azure" в изолированной сети.
Что такое рекомендуемый рабочий процесс шифрования дисков Azure для Linux?
Для получения наилучших результатов в Linux рекомендуется использовать следующий рабочий процесс:
- Начните с неизмененного стандартного образа галереи, соответствующего необходимому дистрибутиву ОС и версии
- Сделайте резервное копирование любых подключенных дисков, которые вы хотите зашифровать. Эта резервная копия позволяет восстановиться, если произошел сбой, например, если виртуальная машина перезагружается до завершения шифрования.
- Шифрование (может занять несколько часов или даже дней в зависимости от характеристик и размеров всех подключенных дисков данных)
- Настройте и добавьте программное обеспечение в образ по мере необходимости.
Если этот рабочий процесс невозможен, то использование шифрования службы хранилища (SSE) на уровне учетной записи хранения платформы может быть альтернативой полному шифрованию дисков с помощью dm-crypt.
Что такое диск "Том Bek" или "/mnt/azure_bek_disk"?
Том Bek — это локальный том данных, который безопасно хранит ключи шифрования для зашифрованных виртуальных машин Azure.
Замечание
Не удаляйте и не редактируйте содержимое на этом диске. Не отключайте диск, так как наличие ключа шифрования необходимо для любых операций шифрования на виртуальной машине IaaS.
Какой метод шифрования использует шифрование дисков Azure?
Шифрование дисков Azure использует расшифровку по умолчанию aes-xts-plain64 с 256-разрядным главным ключом тома.
Если я использую EncryptFormatAll и укажу все типы томов, будут ли удалены данные на дисках, которые мы уже зашифровали?
Нет, данные не будут удалены с дисков данных, которые уже зашифрованы с помощью шифрования дисков Azure. Аналогично тому, как EncryptFormatAll не зашифровал диск ОС, он не будет повторно шифровать уже зашифрованный диск данных. Дополнительные сведения см. в критерии EncryptFormatAll.
Поддерживается ли файловая система XFS?
Поддерживается шифрование дисков ОС XFS.
Шифрование дисков данных XFS поддерживается только при использовании параметра EncryptFormatAll. Этот параметр переформатирует том, стирая любые данные, ранее на нем. Дополнительные сведения см. в критерии EncryptFormatAll.
Поддерживается ли изменение размера секции ОС?
Изменение размера зашифрованного диска операционной системы Azure не поддерживается.
Можно ли выполнить резервное копирование и восстановление зашифрованной виртуальной машины?
Azure Backup предоставляет механизм резервного копирования и восстановления зашифрованных виртуальных машин в одной подписке и регионе. Инструкции см. в статье "Резервное копирование и восстановление зашифрованных виртуальных машин с помощью Azure Backup". Восстановление зашифрованной виртуальной машины в другом регионе в настоящее время не поддерживается.
Где можно задать вопросы или предоставить отзыв?
Вы можете задавать вопросы или предоставлять отзывы на странице вопросов Microsoft Q&A для шифрования дисков Azure.
Дальнейшие шаги
В этом документе вы узнали больше о наиболее частых проблемах, связанных с шифрованием дисков Azure. Дополнительные сведения об этой службе см. в следующих статьях: