适用于 Linux VM 的 Azure 磁盘加密

适用于：✔️ Linux VM ✔️ 灵活规模集

Azure 磁盘加密有助于保护数据，以满足组织安全性和合规性承诺。 它使用 Linux 的 DM-Crypt 功能为 Azure 虚拟机 (VM) 的 OS 和数据磁盘提供卷加密，并与 Azure 密钥保管库 集成，帮助你控制和管理磁盘加密密钥和机密。

Azure 磁盘加密具有区域复原能力，与Azure 虚拟机相同。 有关详细信息，请参阅支持可用性区域的 Azure 服务。

如果使用 Microsoft Defender for Cloud，当 VM 未加密时，你会收到警报。 警报显示为高严重性，建议加密这些 VM。

只需花几分钟时间学习使用 Azure CLI 创建 Linux VM 并对其进行加密快速入门或者使用 Azure PowerShell 创建 Linux VM 并对其进行加密快速入门，即可了解适用于 Linux 的 Azure 磁盘加密的基础知识。

支持的 VM 和操作系统

支持的 VM

Linux VM 具有各种大小。 Azure 磁盘加密在第 1 代和第 2 代 VM 上受支持。 Azure 磁盘加密还可用于使用高级存储的 VM。

请参阅无本地临时磁盘的 Azure VM 规格。

基本 、A 系列 VM、v6 系列 VM 或不符合以下最低内存要求的虚拟机上不提供 Azure 磁盘加密：

内存需求

在 Linux 虚拟机上完成 OS 磁盘加密过程后，可以将 VM 配置为使用更少的内存运行。

有关更多特例，请参阅 Azure 磁盘加密：限制。

支持的操作系统

Azure 磁盘加密 仅支持 Azure 认可的 Linux 发行版中的一部分，而这些发行版本身也只是所有可能的 Linux 服务器发行版中的一部分。

Azure 未认可的 Linux 服务器发行版不支持 Azure 磁盘加密。 在Azure认可的分发版中，只有以下分发版和版本支持Azure 磁盘加密：

其他 VM 要求

Azure 磁盘加密要求系统上存在 dm-crypt 和 vfat 模块。 在默认映像中删除或禁用 vfat 会阻止系统读取密钥卷，以及在后续重新启动时获取用于解锁磁盘的密钥。 从系统中删除 vfat 模块或强制扩展数据驱动器上的 OS 装入点/文件夹的系统强化步骤与Azure 磁盘加密不兼容。

启用加密之前，必须在 /etc/fstab 中正确列出要加密的数据磁盘。 在创建条目时使用“nofail”选项，并选择永久性块设备名称（作为“/dev/sdX”格式的设备名称可能无法在重新启动时与同一磁盘相关联，尤其是在加密后;有关此行为的详细信息，请参阅： Linux VM 设备名称更改疑难解答）。

验证是否已正确配置 /etc/fstab 设置以装载。 若要配置这些设置，请 mount -a 运行命令或重新启动 VM 并触发重新装载。 完成此步骤后，请检查命令的 lsblk 输出，以验证驱动器是否已装载。

• 如果在启用加密之前 /etc/fstab 文件未正确装载该驱动器，则 Azure 磁盘加密无法将其正确装载。
• 在加密过程中，Azure 磁盘加密进程会将装载信息移出 /etc/fstab，并移入其自身的配置文件中。 数据驱动器加密完成后，如果看到 /etc/fstab 中缺少条目，请不要担心。
• 在开始加密之前，请停止可以写入已装载的数据磁盘的所有服务和进程并禁用它们，以便在重新启动后不会自动重启。 这些进程可能会使文件在这些分区上保持打开状态，防止加密过程重新装载这些文件，从而导致加密失败。
• 重新启动后，Azure 磁盘加密过程需要一些时间来装载新加密的磁盘。 重新启动后，它们不会立即可用。 该过程需要时间来启动、解锁并挂载加密驱动器，之后其他进程才能访问它们。 根据系统特征，重启后此过程可能需要一个多分钟的时间。

以下示例演示用于装载数据磁盘并创建必要的 /etc/fstab 条目的命令：

sudo UUID0="$(blkid -s UUID -o value /dev/sda1)"
sudo UUID1="$(blkid -s UUID -o value /dev/sda2)"
sudo mkdir /data0
sudo mkdir /data1
sudo echo "UUID=$UUID0 /data0 ext4 defaults,nofail 0 0" >>/etc/fstab
sudo echo "UUID=$UUID1 /data1 ext4 defaults,nofail 0 0" >>/etc/fstab
sudo mount -a

网络要求

若要启用 Azure 磁盘加密功能，Linux VM 必须符合以下网络终结点配置要求：

• Linux VM 必须能够连接到托管 Azure 扩展存储库的 Azure 存储终结点和托管 VHD 文件的 Azure 存储帐户。
• 如果安全策略限制从 Azure VM 到 Internet 的访问，可以解析上述 URI，并配置特定的规则，允许与这些 IP 建立出站连接。 有关详细信息，请参阅防火墙后的 Azure 密钥保管库。

加密密钥存储要求

Azure 磁盘加密需要 Azure 密钥保管库 来控制和管理磁盘加密密钥和机密。 密钥保管库和 VM 必须位于同一 Azure 区域和订阅中。

有关详细信息，请参阅创建和配置用于 Azure 磁盘加密的密钥保管库。

术语

下表定义了Azure 磁盘加密文档中使用的常见术语：

后续步骤

• 快速入门 - 使用 Azure CLI 创建和加密 Linux VM
• 快速入门 - 使用 Azure PowerShell 创建和加密 Linux VM
• Linux VM 上的 Azure 磁盘加密方案
• 从 Azure 磁盘加密迁移到主机加密
• Azure 磁盘加密先决条件 CLI 脚本
• Azure 磁盘加密先决条件 PowerShell 脚本
• 创建和配置用于 Azure 磁盘加密的密钥保管库