Шифрование дисков Azure для виртуальных машин Linux

Область применения: ✔️ Виртуальные машины Linux ✔️ Гибкие масштабируемые наборы

Шифрование дисков Azure помогает защитить и защитить данные в соответствии с вашими обязательствами по безопасности и соответствию требованиям организации. Она использует функцию DM-Crypt Linux для обеспечения шифрования томов для дисков ОС и данных виртуальных машин Azure и интегрирована с Azure Key Vault , чтобы управлять ключами и секретами шифрования дисков.

Шифрование дисков Azure является устойчивым к зонам, так же, как и виртуальные машины. Дополнительные сведения см. в службах Azure, поддерживающих зоны доступности.

Если вы используете Microsoft Defender для Облака, вы получите оповещение, если у вас есть виртуальные машины, которые не шифруются. Оповещения отображаются как высокий уровень серьезности, и рекомендация заключается в шифровании этих виртуальных машин.

Основные сведения о шифровании дисков Azure для Linux см. в кратком руководстве по созданию и шифрованию виртуальной машины Linux с помощью Azure CLI или кратком руководстве по созданию и шифрованию виртуальной машины Linux с помощью Azure PowerShell.

Поддерживаемые виртуальные машины и операционные системы

Поддерживаемые виртуальные машины

Виртуальные машины Linux доступны в диапазоне размеров. Шифрование дисков Azure поддерживается на виртуальных машинах поколения 1 и поколения 2. Шифрование дисков Azure также доступно для виртуальных машин с хранилищем класса Premium.

См. сведения о размерах виртуальных машин Azure без локального временного диска.

Шифрование дисков Azure недоступно на виртуальных машинах серии "Базовый", ВМ серии A, виртуальных машинах серии v6 или на виртуальных машинах, которые не соответствуют этим минимальным требованиям к памяти:

Требования к памяти

После завершения процесса шифрования дисков ОС на виртуальных машинах Linux виртуальная машина может быть настроена для запуска с меньшим объемом памяти.

Дополнительные исключения см. в разделе "Шифрование дисков Azure: ограничения".

Поддерживаемые операционные системы

Шифрование дисков Azure поддерживается в подмножестве поддерживаемых Azure дистрибутивов Linux, что является подмножеством всех возможных дистрибутивов сервера Linux.

Дистрибутивы серверов Linux, которые не поддерживаются Azure, не поддерживают шифрование дисков Azure; Из тех, которые поддерживаются, только следующие дистрибутивы и версии поддерживают шифрование дисков Azure:

* Для версий образа больше или равно май 2023 г.

Дополнительные требования к виртуальной машине

Для шифрования дисков Azure требуется, чтобы модули dm-crypt и vfat присутствовали в системе. Удаление или отключение vfat из образа по умолчанию не позволит системе считывать том ключа и получать ключ, необходимый для разблокировки дисков при последующих перезагрузках. Действия по обеспечению защиты системы, которые удаляют модуль vfat из системы или принудительно расширяют точки подключения или папки ОС на дисках данных несовместимы с шифрованием дисков Azure.

Перед включением шифрования диски данных, которые необходимо зашифровать, должны быть правильно перечислены в файле /etc/fstab. Используйте параметр nofail при создании записей и выберите имя устройства постоянного блока (как имена устройств в формате "/dev/sdX" могут не быть связаны с тем же диском во время перезагрузки, особенно после шифрования; дополнительные сведения об этом поведении см. в статье "Устранение неполадок с именем устройства виртуальной машины Linux").

Убедитесь, что параметры /etc/fstab настроены правильно для подключения. Чтобы настроить эти параметры, выполните команду подключения -a или перезагрузите виртуальную машину и активируйте его повторно. После завершения проверьте выходные данные команды lsblk, чтобы убедиться, что диск все еще подключен.

• Если файл /etc/fstab не подключает диск должным образом перед включением шифрования, шифрование дисков Azure не сможет подключить его должным образом.
• Процесс шифрования дисков Azure перемещает данные подключения из /etc/fstab и в собственный файл конфигурации в рамках процесса шифрования. Не следует беспокоиться, чтобы увидеть запись, отсутствуюющую из /etc/fstab после завершения шифрования диска данных.
• Перед началом шифрования обязательно остановите все службы и процессы, которые могут записываться на подключенные диски данных и отключать их, чтобы они не перезапускали автоматически после перезагрузки. Эти файлы могут оставаться открытыми в этих разделах, предотвращая повторное их подключение к процедуре шифрования, что приводит к сбою шифрования.
• После перезагрузки процесс шифрования дисков Azure займет некоторое время, чтобы подключить только что зашифрованные диски. Они не будут доступны сразу после перезагрузки. Для доступа к другим процессам необходимо время запуска, разблокировки и последующего подключения зашифрованных дисков. Этот процесс может занять более минуты после перезагрузки в зависимости от системных характеристик.

Ниже приведен пример команд, используемых для подключения дисков данных и создания необходимых записей /etc/fstab:

sudo UUID0="$(blkid -s UUID -o value /dev/sda1)"
sudo UUID1="$(blkid -s UUID -o value /dev/sda2)"
sudo mkdir /data0
sudo mkdir /data1
sudo echo "UUID=$UUID0 /data0 ext4 defaults,nofail 0 0" >>/etc/fstab
sudo echo "UUID=$UUID1 /data1 ext4 defaults,nofail 0 0" >>/etc/fstab
sudo mount -a

Требования к сети

Чтобы включить функцию шифрования дисков Azure, виртуальные машины Linux должны соответствовать следующим требованиям к конфигурации конечной точки сети:

• Виртуальная машина Linux должна быть в состоянии подключиться к конечной точке службы хранилища Azure, в которую размещается репозиторий расширений Azure, и учетную запись хранения Azure, в которую размещаются VHD-файлы.
• Если политика безопасности ограничивает доступ с виртуальных машин Azure к Интернету, можно разрешить предыдущий URI и настроить определенное правило, чтобы разрешить исходящее подключение к IP-адресам. Дополнительные сведения см. в разделе Azure Key Vault за брандмауэром.

Требования к хранилищу ключей шифрования

Для шифрования дисков Azure требуется Azure Key Vault для управления ключами и секретами шифрования дисков и управления ими. Хранилище ключей и виртуальные машины должны находиться в одном регионе и подписке Azure.

Дополнительные сведения см. в статье "Создание и настройка хранилища ключей для шифрования дисков Azure".

Terminology

В следующей таблице определены некоторые распространенные термины, используемые в документации по шифрованию дисков Azure:

Дальнейшие шаги

• Краткое руководство. Создание и шифрование виртуальной машины Linux с помощью Azure CLI
• Краткое руководство. Создание и шифрование виртуальной машины Linux с помощью Azure PowerShell
• Сценарии шифрования дисков Azure на виртуальных машинах Linux
• Миграция из шифрования дисков Azure в шифрование на стороне сервера
• Скрипт CLI для шифрования дисков Azure
• Предварительные требования для шифрования дисков Azure
• Создание и настройка хранилища ключей для шифрования дисков Azure