Compartilhar via

Azure Disk Encryption para Linux (Microsoft.Azure.Security.AzureDiskEncryptionForLinux)

Visão geral

Azure Disk Encryption aproveita o subsistema de dm-crypt no Linux para fornecer criptografia de disco completo em selecionar distribuições de Linux do Azure. A solução é integrada ao Azure Key Vault para gerenciar as chaves de criptografia de disco e segredos.

Observação

Experimente a assistência de VM para diagnósticos mais rápidos. Recomendamos que você execute VM assist for Windows ou VM assist for Linux. Essas ferramentas de diagnóstico baseadas em script ajudam você a identificar problemas comuns que afetam o Agente Convidado da VM do Azure e a integridade geral da VM.

Se você estiver enfrentando problemas de desempenho com máquinas virtuais, antes de entrar em contato com o suporte, execute essas ferramentas.

Pré-requisitos

Para obter uma lista completa de pré-requisitos, consulte Azure Disk Encryption para VMs do Linux, especificamente as seguintes seções:

Esquema de Extensão

Há duas versões do esquema de extensão para Azure Disk Encryption (ADE):

  • v1.1 - um esquema mais recente recomendado que não usa as propriedades do Microsoft Entra.
  • v0.1 – um esquema mais antigo que requer propriedades do Microsoft Entra.

Para selecionar um esquema de destino, a propriedade typeHandlerVersion deve ser definida igual à versão do esquema que você deseja usar.

O esquema v1.1 é recomendado e não requer propriedades do Microsoft Entra.

Observação

O parâmetro DiskFormatQuery foi preterido. Sua funcionalidade foi substituída pela opção EncryptFormatAll, que é a maneira recomendada para formatar discos de dados no momento da criptografia.

{
  "type": "extensions",
  "name": "[name]",
  "apiVersion": "2019-07-01",
  "location": "[location]",
  "properties": {
        "publisher": "Microsoft.Azure.Security",
        "type": "AzureDiskEncryptionForLinux",
        "typeHandlerVersion": "1.1",
        "autoUpgradeMinorVersion": true,
        "settings": {
          "DiskFormatQuery": "[diskFormatQuery]",
          "EncryptionOperation": "[encryptionOperation]",
          "KeyEncryptionAlgorithm": "[keyEncryptionAlgorithm]",
          "KeyVaultURL": "[keyVaultURL]",
          "KeyVaultResourceId": "[KeyVaultResourceId]",
          "KeyEncryptionKeyURL": "[keyEncryptionKeyURL]",
          "KekVaultResourceId": "[KekVaultResourceId",
          "SequenceVersion": "sequenceVersion]",
          "VolumeType": "[volumeType]"
        }
  }
}

Esquema v0.1: com o Microsoft Entra ID

O esquema 0.1 requer AADClientID e AADClientSecret ou AADClientCertificate.

Usando AADClientSecret:

{
  "type": "extensions",
  "name": "[name]",
  "apiVersion": "2019-07-01",
  "location": "[location]",
  "properties": {
    "protectedSettings": {
      "AADClientSecret": "[aadClientSecret]",
      "Passphrase": "[passphrase]"
    },
    "publisher": "Microsoft.Azure.Security",
    "type": "AzureDiskEncryptionForLinux",
    "typeHandlerVersion": "0.1",
    "settings": {
      "AADClientID": "[aadClientID]",
      "DiskFormatQuery": "[diskFormatQuery]",
      "EncryptionOperation": "[encryptionOperation]",
      "KeyEncryptionAlgorithm": "[keyEncryptionAlgorithm]",
      "KeyEncryptionKeyURL": "[keyEncryptionKeyURL]",
      "KeyVaultURL": "[keyVaultURL]",
      "SequenceVersion": "sequenceVersion]",
      "VolumeType": "[volumeType]"
    }
  }
}

Usando AADClientCertificate:

{
  "type": "extensions",
  "name": "[name]",
  "apiVersion": "2019-07-01",
  "location": "[location]",
  "properties": {
    "protectedSettings": {
      "AADClientCertificate": "[aadClientCertificate]",
      "Passphrase": "[passphrase]"
    },
    "publisher": "Microsoft.Azure.Security",
    "type": "AzureDiskEncryptionForLinux",
    "typeHandlerVersion": "0.1",
    "settings": {
      "AADClientID": "[aadClientID]",
      "DiskFormatQuery": "[diskFormatQuery]",
      "EncryptionOperation": "[encryptionOperation]",
      "KeyEncryptionAlgorithm": "[keyEncryptionAlgorithm]",
      "KeyEncryptionKeyURL": "[keyEncryptionKeyURL]",
      "KeyVaultURL": "[keyVaultURL]",
      "SequenceVersion": "sequenceVersion]",
      "VolumeType": "[volumeType]"
    }
  }
}

Valores de propriedade

Observação: Todos os valores de propriedade diferenciam maiúsculas de minúsculas.

Nome Valor/Exemplo Tipo de Dados
apiVersion 2019-07-01 date
desenvolvedor Microsoft.Azure.Security cadeia
tipo AzureDiskEncryptionForLinux cadeia
typeHandlerVersion 1.1, 0.1 INT
(esquema 0.1) AADClientID xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx guid
(esquema 0.1) AADClientSecret senha cadeia
(esquema 0.1) AADClientCertificate impressão digital cadeia
(opcional) (esquema 0.1) Frase secreta senha cadeia
DiskFormatQuery {"dev_path":"","name":"","file_system":""} Dicionário JSON
EncryptionOperation EnableEncryption, EnableEncryptionFormatAll cadeia
(opcional - padrão RSA-OAEP ) KeyEncryptionAlgorithm 'RSA-OAEP', 'RSA-OAEP-256', 'RSA1_5' cadeia
KeyVaultURL url cadeia
KeyVaultResourceId url cadeia
(opcional) KeyEncryptionKeyURL url cadeia
(opcional) KekVaultResourceId url cadeia
(opcional) SequenceVersion UNIQUEIDENTIFIER cadeia
VolumeType Sistema operacional, Dados, Tudo cadeia

Implantação de modelo

Para obter um exemplo de implantação de modelo com base no esquema v1.1, consulte o modelo de início rápido do Azure encrypt-running-linux-vm-without-aad.

Para obter um exemplo de implantação de modelo com base no esquema v0.1, consulte o modelo de início rápido do Azure encrypt-running-linux-vm.

Aviso

  • Se já tiver usado a Criptografia de Disco do Azure com o Microsoft Entra ID para criptografar uma VM, você precisa continuar usando essa opção para criptografar sua VM.
  • Ao criptografar volumes do sistema operacional Linux, a VM deve ser considerada não disponível. É altamente recomendável evitar logons SSH enquanto a criptografia estiver em andamento para evitar problemas ao bloquear os arquivos abertos que precisarão ser acessados durante o processo de criptografia. Para verificar o progresso, use o cmdlet Get-AzVMDiskEncryptionStatus do PowerShell ou o comando vm encryption show da CLI. Esse processo deve levar algumas horas para um volume do sistema operacional de 30 GB, mais algum tempo para criptografar volumes de dados. O tempo de criptografia do volume de dados será proporcional ao tamanho e à quantidade dos volumes de dados; a opção encrypt format all é mais rápida do que a criptografia in-loco, mas resultará na perda de todos os dados nos discos.
  • Desabilitar criptografia nas VMs do Linux tem suporte apenas para volumes de dados. Não haverá suporte em dados ou volumes de SO, se o volume de SO tiver sido criptografado.

Observação

Além disso, se o parâmetro VolumeType for definido como Tudo, os discos de dados serão criptografados somente se forem montados corretamente.

Solução de problemas e suporte

Solucionar problemas

Para solução de problemas, consulte o Guia de solução de problemas do Azure Disk Encryption.

Suporte

Caso precise de mais ajuda em qualquer ponto deste artigo, entre em contato com os especialistas do Azure nos fóruns do Azure MSDN e do Stack Overflow.

Como alternativa, você pode registrar um incidente de suporte do Azure. Acesse o Suporte do Azure e selecione Obter suporte. Para saber mais sobre como usar o suporte do Azure, leia as Perguntas frequentes do Suporte do Microsoft Azure.

Próximas etapas

  • Last updated on