使用 Azure 门户通过主机加密来启用端到端加密

项目
11/29/2023

适用于：✔️ Linux VM ✔️ Windows VM

启用主机加密时，存储在 VM 主机上的数据将静态加密，且已加密的数据将流向存储服务。有关主机加密以及其他托管磁盘加密类型的概念信息，请参阅主机加密 - VM 数据的端到端加密。

启用端对端加密后，会使用平台管理的密钥对临时磁盘和临时 OS 磁盘进行静态加密。 OS 和数据磁盘缓存使用客户管理的密钥或平台管理的密钥进行静态加密，具体取决于所选磁盘加密类型。例如，如果使用客户管理的密钥对磁盘进行加密，则使用客户管理的密钥对磁盘的缓存进行加密，如果使用平台管理的密钥对磁盘进行加密，则使用平台管理的密钥对磁盘的缓存进行加密。

限制

在 4k 扇区大小的 Ultra Disks 和高级 SSD v2 上受支持。
对于 512e 扇区大小的 Ultra Disks 和高级 SSD v2，只有这些磁盘创建于 2023 年 5 月 13 日之后时，才支持此功能。
- 对于在此日期之前创建的磁盘，请创建你的磁盘快照并使用快照创建新磁盘。
如果在虚拟机 (VM) 或虚拟机规模集上启用了 Azure 磁盘加密（使用 bitlocker/DM-Crypt 的来宾 VM 加密），则无法启用。
无法在启用了主机加密的磁盘上启用 Azure 磁盘加密。
可以在现有的虚拟机规模集上启用加密。但是，只有启用加密后新建的 VM 才会自动加密。
现有 VM 只有在经过释放和重新分配后才能加密。

支持的 VM 大小

不支持“旧的 VM 大小”。可以使用 Azure PowerShell 模块或 Azure CLI 找到支持的 VM 大小列表。

先决条件

必须先为订阅启用该功能，然后才能对 VM 或虚拟机规模集使用主机加密。使用以下步骤为订阅启用该功能：

执行以下命令，为订阅注册此功能

Azure PowerShell
Azure CLI

Register-AzProviderFeature -FeatureName "EncryptionAtHost" -ProviderNamespace "Microsoft.Compute"

az feature register --name EncryptionAtHost  --namespace Microsoft.Compute

在试用该功能之前，请使用以下命令确认注册状态是否为“已注册”（注册可能需要几分钟）。

Azure PowerShell
Azure CLI

Get-AzProviderFeature -FeatureName "EncryptionAtHost" -ProviderNamespace "Microsoft.Compute"

az feature show --name EncryptionAtHost --namespace Microsoft.Compute

使用提供的链接登录到 Azure 门户。

重要

必须使用提供的链接访问 Azure 门户。在不使用该链接的情况下，“主机加密”目前不会显示在由世纪互联运营的 Microsoft Azure 门户中。

使用平台管理的密钥部署 VM

登录到 Azure 门户。
搜索“虚拟机”，然后选择“+ 创建”以创建 VM。
选择适当的区域和支持的 VM 大小。
根据需要填写“基本”窗格上的其他值，然后继续填写“磁盘”窗格。
在“磁盘”窗格上，选择“主机加密” 。
根据需要进行剩余选择。
对于其余的 VM 部署过程，请根据环境进行选择，然后完成部署。

现已部署启用了主机加密的 VM，并且使用平台管理的密钥对磁盘的缓存进行了加密。

使用客户管理的密钥部署 VM

或者，可使用客户管理的密钥对磁盘缓存进行加密。

创建 Azure Key Vault 和磁盘加密集

启用该功能后，需要设置 Azure 密钥保管库和磁盘加密集（如果尚未设置）。

如果你是第一次执行此操作，则为磁盘设置客户管理的密钥时会要求你按特定顺序创建资源。首先，需要创建并设置 Azure Key Vault。

设置 Azure 密钥保管库

登录到 Azure 门户。
搜索并选择“Key Vault”。

重要

磁盘加密集、VM、磁盘和快照必须都位于同一区域和订阅中才能成功部署。 Azure Key Vault 可以在不同的订阅中使用，但必须与磁盘加密集位于同一区域和租户中。
选择“+创建”以创建新的 Key Vault。
创建新的资源组。
输入 Key Vault 名称，选择区域，然后选择定价层。

注意

创建 Key Vault 实例时，必须启用软删除和清除保护。软删除可确保 Key Vault 在给定的保留期（默认为 90 天）内保留已删除的密钥。清除保护可确保在保留期结束之前，无法永久删除已删除的密钥。这些设置可防止由于意外删除而丢失数据。使用 Key Vault 加密托管磁盘时，这些设置是必需的。
选择“审阅 + 创建”，验证选择，然后选择“创建” 。
Key Vault 部署完成后，请选择它。
选择“对象”下的“密钥”。
选择“生成/导入”。
将“密钥类型”设置为“RSA”，将“RSA 密钥大小”设置为“2048” 。
根据需要填写其余选项，然后选择“创建”。

添加 Azure RBAC 角色

你已创建 Azure 密钥保管库和密钥，现在必须添加 Azure RBAC 角色，以便可以将 Azure 密钥保管库用于磁盘加密集。

选择“访问控制(IAM)”并添加角色。
添加“Key Vault 管理员”、“所有者”或“参与者”角色。

设置磁盘加密集

搜索“磁盘加密集”并选择它。
在“磁盘加密集”窗格中，选择“+ 创建”。
选择资源组，命名加密集，然后选择与 Key Vault 相同的区域。
对于“加密类型”，请选择“使用客户管理的密钥进行静态加密”。

注意

一旦创建了具有特定加密类型的磁盘加密集，就无法对其进行更改。如果要使用其他加密类型，则必须创建新的磁盘加密集。
确保选择了“选择 Azure 密钥保管库和密钥”。
选择先前创建的密钥保管库和密钥，以及版本。
如果要启用客户管理的密钥的自动轮换，请选择“自动密钥轮换”。
选择“审阅 + 创建”，然后选择“创建” 。
部署磁盘加密集后，导航到该加密集，然后选择显示的警报。
这会向磁盘加密集授予密钥保管库权限。