适用于： ✔️ Linux 虚拟机 ✔️ Windows 虚拟机 ✔️
Azure 磁盘存储使你能在对托管磁盘使用服务器端加密 (SSE) 时管理自己的密钥（如果你选择）。 有关使用客户托管密钥和其他托管磁盘加密类型的 SSE 的概念性信息，请参阅磁盘加密文章的 “客户管理的密钥 ”部分。
Restrictions
目前，客户托管密钥具有以下限制：
- 如果为具有增量快照的磁盘启用了此功能，则不能在该磁盘或其快照上禁用此功能。 要解决此问题，请将所有数据复制到完全不同的、不使用客户管理的密钥的托管磁盘。 可以使用 Azure CLI 或 Azure PowerShell 模块执行此操作。
- 磁盘及其关联的所有增量快照都必须具有相同的磁盘加密设置。
- 仅支持大小为 2,048 位、3,072 位和 4,096 位的软件密钥和 HSM RSA 密钥，不支持其他密钥或其他大小。
- HSM 密钥需要 Azure 密钥保管库的“高级”层。
- 仅适用于超级磁盘和高级 SSD v2 磁盘：
- （预览版）用户分配的托管标识适用于使用客户管理的密钥加密的超级磁盘和高级 SSD v2 磁盘。
- 与客户管理的密钥相关的大部分资源（磁盘加密集、虚拟机、磁盘和快照）都必须位于同一订阅和区域中。
- Azure 钥匙库可以在不同的订阅中使用，但必须与磁盘加密集位于相同的区域。
- 使用客户管理的密钥加密的磁盘只能在附加到的 VM 解除分配时移动到另一个资源组。
- 无法在不同订阅间移动使用客户管理的密钥加密的磁盘、快照和映像。
- 当前或以前使用 Azure 磁盘加密 加密的托管磁盘无法使用客户管理的密钥进行加密。
- 每个区域、每个订阅最多只能创建 5000 个磁盘加密集。
- 有关将客户管理的密钥与共享映像库配合使用的信息，请参阅 预览：使用客户管理的密钥来加密映像。
以下部分介绍如何为托管磁盘启用客户管理的密钥以及如何使用这种密钥：
如果你是第一次执行此操作，则为磁盘设置客户管理的密钥时会要求你按特定顺序创建资源。 首先，需要创建并设置 Azure 密钥保管库。
设置 Azure 密钥保管库
登录到 Azure 门户。
搜索并选择“Key Vaults”。
Important
磁盘加密集、VM、磁盘和快照必须都位于同一区域和订阅中才能成功部署。
- 如果要将 Azure Key Vault 用于其他订阅，它们必须与磁盘加密集位于同一区域。
选择 +Create 创建新的密钥保管库。
创建新的资源组。
输入 Key Vault 名称，选择区域，然后选择定价层。
注释
创建 密钥保管库 实例时，必须启用软删除和清除保护。 软删除可确保 密钥保管库 在给定的保留期（默认为 90 天）内保留已删除的密钥。 清除保护可确保在保留期结束之前，无法永久删除已删除的密钥。 这些设置可防止由于意外删除而丢失数据。 使用 密钥保管库 加密托管磁盘时，这些设置是必需的。
选择“审阅 + 创建”，验证选择，然后选择“创建” 。
部署密钥保管库完成后，请选择它。
选择“对象”下的“密钥”。
选择生成/导入。
将“密钥类型”设置为“RSA”，将“RSA 密钥大小”设置为“2048” 。
根据需要填写其余选项，然后选择“创建”。
添加Azure RBAC 角色
你已创建 Azure 密钥保管库和密钥，现在必须添加 Azure RBAC 角色，这样你才能使用 Azure 密钥保管库来用于磁盘加密配置。
- 选择“访问控制(IAM)”并添加角色。
- 添加 密钥保管库 Administrator、Owner 或 Contributor 角色。
设置磁盘加密设置
搜索“磁盘加密集合”并选择它。
在“磁盘加密集”窗格中，选择“+创建”。
选择你的资源组，为你的加密集命名，然后选择与您的密钥库相同的区域。
对于“加密类型”，请选择“使用客户管理的密钥进行静态加密”。
注释
一旦您创建了具有特定加密类型的磁盘加密集，该加密类型就不能更改。 如果要使用其他加密类型，则必须创建新的磁盘加密集合。
请确保已选择Azure密钥保管库和密钥。
选择先前创建的密钥保管库和密钥，以及版本。
如果要启用客户管理的密钥的自动轮换，请选择“自动密钥轮换”。
选择“审阅 + 创建”，然后选择“创建” 。
部署磁盘加密集后，导航到已部署的磁盘加密集，然后选择显示的警报。
这会向磁盘加密集授予密钥保管库权限。
部署 VM
创建并设置好 Key Vault 和磁盘加密集之后，接下来即可使用加密来部署 VM。 VM 部署过程与标准部署过程类似，唯一的差别在于，你需要将 VM 部署到与其他资源相同的区域中，并选择使用客户托管密钥。
搜索 虚拟机 并选择 + Create 以创建 VM。
在 Basic 窗格中，选择与磁盘加密集和 Azure 密钥保管库 相同的区域。
根据需要，在“基本信息”窗格上填写其他值。
在“磁盘”窗格中，对于“密钥管理”，请从下拉列表中选择磁盘加密集、密钥保管库和密钥。
您可以按照自己的喜好做出剩余选择。
在现有磁盘上启用
Caution
要在连接到虚拟机的任何磁盘上启用磁盘加密，必须先停止虚拟机。
请找到位于与您的磁盘加密集相同区域中的虚拟机。
打开 VM 并选择“停止”。
- VM 停止后，选择“磁盘”，然后选择要加密的磁盘。
选择“加密”，然后在“密钥管理”下的下拉列表中选择密钥保管库和密钥（在“客户管理的密钥”下）。
选择“保存”。
示例 OS 磁盘的截图，打开加密窗格，选择使用客户管理的密钥进行静态加密，并且使用示例 Azure 密钥保管库。
对于附加到你想要加密的 VM 的任何其他磁盘，请重复此过程。
当磁盘切换到客户管理的密钥后，如果没有其他需要进行加密的附加磁盘，请启动 VM。
Important
客户管理的密钥依赖于 Azure 资源的托管标识，后者是 Microsoft Entra ID 的一项功能。 配置客户托管密钥时，会在后台自动为你的资源分配一个托管标识。 如果随后将订阅、资源组或托管磁盘从一个Microsoft Entra目录移到另一个目录，则与托管磁盘关联的托管标识不会传输到新租户，因此客户管理的密钥可能不再有效。 有关详细信息，请参阅在 Microsoft Entra 目录之间转移订阅。
在现有磁盘加密集上启用自动密钥轮换
导航到要在其上启用自动密钥轮换的磁盘加密集。
在“设置”下，选择“密钥” 。
选择“自动密钥轮换”，然后选择“保存” 。