复制具有已启用客户托管密钥 (CMK) 磁盘的计算机

本文介绍了如何将使用启用了客户管理的密钥 (CMK) 的托管磁盘的 Azure VM 从一个 Azure 区域复制到另一个区域。

先决条件

在为使用已启用 CMK 的托管磁盘的虚拟机启用复制之前，必须先在目标订阅的目标区域内创建一个或多个磁盘加密集。

注释

Azure Site Recovery 不会在加密虚拟机受保护时对其进行加密密钥更改。该限制包括自动或手动切换到新密钥版本、更改密钥 URL，以及更换磁盘加密集。要将新配置应用于副本磁盘、恢复点、故障转移、重新保护和故障恢复，请先禁用复制，然后重新启用。

加密兼容性

VM 安全类型	磁盘加密	支持
标准	平台托管的密钥	支持.
标准	客户管理密钥或双重加密	支持. 在目标区域预先创建兼容的磁盘加密集。
受信任启动	平台管理密钥、客户管理密钥或双重加密	当虚拟机满足可信启动要求时才支持。
机密虚拟机 (VM)	任何机密虚拟机磁盘加密配置	不支持。
Azure 磁盘加密	基于访客的加密	请遵循 Azure 磁盘加密复制指南。

启用复制

使用以下过程复制带有支持客户管理的密钥 (CMK) 的磁盘的计算机。例如，主要Azure区域为“中国北部 3”，次要区域为“中国东部 3”。

在保管库 >“Site Recovery”页的“Azure 虚拟机”下，选择“启用复制”。
请在“启用复制”页的“源”下，执行以下操作：
- 区域：选择要在其中保护 VM 的 Azure 区域。例如，源位置为 中国北部 3。
- 订阅：选择源虚拟机所属的订阅。这可以是恢复服务保管库所在的同一“Microsoft Entra”租户中的任何订阅。
- 资源组：选择源虚拟机所属的资源组。所选资源组中要保护的所有 VM 会在下一步骤中列出。
- 虚拟机部署模型：选择源计算机的Azure部署模型。
- 可用性区域之间的灾难恢复：如果想在虚拟机上执行区域性灾难恢复，请选择“是”。
选择“下一步”。
在“虚拟机”中选择要复制的每个 VM。只能选择可以启用复制的计算机。最多可以选择 10 个 VM。然后，选择下一步。
在“复制设置”中，可以配置以下设置：
1. 在位置和资源组下，
  - 目标位置：选择要将源虚拟机数据复制到的目标位置。根据所选计算机的位置，Site Recovery 将提供合适的目标区域列表。我们建议将目标位置与恢复服务保管库位置保持相同。
  - 目标订阅：选择用于灾难恢复的目标订阅。默认情况下，目标订阅将与源订阅相同。
  - 目标资源组：选择所有复制的虚拟机所属的资源组。
    - 默认情况下，Site Recovery在目标区域中创建新的资源组，其名称中带有 asr 后缀。
    - 如果Site Recovery创建的资源组已存在，则会重复使用该资源组。
    - 可以自定义资源组设置。
    - 目标资源组的位置可以是除托管源 VM 区域以外的任何 Azure 区域。
    注释
    
    还可以通过选择“新建”来创建新的目标资源组。
2. 在网络下，
  - 故障转移虚拟网络: 选择故障转移虚拟网络。
    
    注释
    
    还可以通过选择“新建”来创建新的故障转移虚拟网络。
  - 故障转移子网：选择故障转移子网。
3. 存储：选择“查看/编辑存储配置”。 “自定义目标设置”页会打开。
  - Replica 托管磁盘：Site Recovery在目标区域中创建新的副本托管磁盘，以镜像源 VM 的托管磁盘，其存储类型（标准或高级）与源 VM 的托管磁盘相同。
  - 缓存存储：Site Recovery 需要源区域中称为“缓存存储”的额外存储帐户。在被复制到目标位置之前，源 VM 上发生的所有更改都会被跟踪并发送到缓存存储帐户。
4. 可用性选项：为目标区域中的 VM 选择适当的可用性选项。如果已存在由 Site Recovery 创建的可用性集，则会重用该可用性集。选择“查看/编辑可用性选项”来查看或编辑可用性选项。
  注释
  - 在配置目标可用性集时，请为不同大小的 VM 配置不同的可用性集。
  - 在启用复制以后，不能更改可用性类型 - 单一实例、可用性集或可用性区域。必须先禁用复制，然后再启用复制，才能更改可用性类型。
5. 容量预留：容量预留功能可让您在恢复区域购买容量，然后故障转移到该预留容量。你可以创建新的产能预留组，也可以使用某个现有的组。有关详细信息，请参阅产能预留的工作原理。选择“查看或编辑产能预留组分配”，以修改产能预留设置。触发故障转移后，将在已指定的容量预留组中创建新的虚拟机。
6. 存储加密设置：Site Recovery 需要为副本和目标托管磁盘使用磁盘加密集 (DES)。在启用复制之前，必须在目标订阅和目标区域中预先创建磁盘加密集。默认情况下不会选择磁盘加密集。您必须选择查看/编辑配置，才能为每个源磁盘选择一个磁盘加密集。
  
  注释
  
  确保目标磁盘加密集位于目标资源组中，并且对同一区域中的密钥保管库具有获取、包装密钥 和 解包密钥 权限。
选择“下一步”。
在“管理”中，执行以下操作：
1. 在复制策略下，
  - 复制策略：选择复制策略。定义恢复点保留历史和应用一致性快照频率的设置。默认情况下，Site Recovery 创建一个新的复制策略，默认设置为 24 小时的恢复点保留期。
  - 复制组：创建复制组将 VM 一起复制，以生成多 VM 一致性的恢复点。请注意，启用多 VM 一致性可能会影响工作负荷性能。仅当计算机运行相同的工作负荷且你需要跨多个计算机的一致性时，才应使用该设置。
2. 在“扩展设置”下，
  - 选择 “更新设置” 和 “自动化帐户”。
选择“下一步”
在“查看”中查看 VM 设置，然后选择“启用复制”。

注释

在初始复制期间，状态更新可能需要一些时间，且表面上可能看起来没有任何进展。单击“刷新” 可查看最新状态。

FAQs

我已在现有复制项上启用了 CMK，如何确保也在目标区域中应用 CMK？

你可以找到副本托管磁盘的名称（由 Azure Site Recovery 在目标区域中创建），并将 DES 附加到此副本磁盘。但是，一旦将其附加，你将无法在“磁盘”边栏中查看 DES 详细信息。另外，你可以选择禁用 VM 复制并重新启用它。这将确保你可以在复制项的“磁盘”边栏选项卡中看到 DES 和密钥保管库的详细信息。

我将一个新的已启用 CMK 的磁盘添加到了复制项。如何使用 Azure Site Recovery 复制此磁盘？

可以使用 PowerShell 将新的已启用 CMK 的磁盘添加到现有复制项。找到代码片段以获取指导：

#set vaultname and resource group name for the vault.
$vaultname="RSVNAME"
$vaultrgname="RSVRGNAME"

#set VMName
$VMName = "VMNAME"

#get the vault object
$vault = Get-AzRecoveryServicesVault -Name $vaultname -ResourceGroupName $vaultrgname

#set job context to this vault
$vault | Set-AzRecoveryServicesAsrVaultContext

=============

#set resource id of disk encryption set
$diskencryptionset = "RESOURCEIDOFTHEDISKENCRYPTIONSET"

#set resource id of cache storage account
$primaryStorageAccount = "RESOURCEIDOFCACHESTORAGEACCOUNT"

#set resource id of recovery resource group
$RecoveryResourceGroup = "RESOURCEIDOFRG"

#set resource id of disk to be replicated
$dataDisk =  "RESOURCEIDOFTHEDISKTOBEREPLICATED"

#setdiskconfig
$diskconfig = New-AzRecoveryServicesAsrAzureToAzureDiskReplicationConfig `
          -ManagedDisk `
          -DiskId $dataDisk `
          -LogStorageAccountId $primaryStorageAccount `
          -RecoveryResourceGroupId $RecoveryResourceGroup `
          -RecoveryReplicaDiskAccountType Standard_LRS `
          -RecoveryTargetDiskAccountType Standard_LRS `
          -RecoveryDiskEncryptionSetId $diskencryptionset


#get fabric object from the source region.
$fabric = Get-AzRecoveryServicesAsrFabric
#use to fabric name to get the container.
$primaryContainerName =Get-AzRecoveryServicesAsrProtectionContainer -Fabric $fabric[1]

#get the context of the protected item
$protectedItemObject = Get-AsrReplicationProtectedItem -ProtectionContainer $primaryContainerName | where { $_.FriendlyName -eq $VMName };$protectedItemObject

#initiate enable replication using below command
$protectedItemObject |Add-AzRecoveryServicesAsrReplicationProtectedItemDisk -AzureToAzureDiskReplicationConfiguration $diskconfig

我同时启用了平台管理的密钥和客户管理的密钥，如何保护磁盘？

Site Recovery 支持通过平台管理的密钥和客户管理的密钥来启用双重加密。按照本文中的说明来保护计算机。您需要提前在目标区域创建一个已启用双重加密的 DES。为此类 VM 启用复制时，可以向 Site Recovery 提供此 DES。

后续步骤

详细了解如何运行测试故障切换。

上次更新时间为 2026-09-30