Azure Disk Encryption in einem isolierten Netzwerk

Von Bedeutung

Die Azure Disk Encryption wird am 15. September 2028 eingestellt. Bis zu diesem Datum können Sie die Azure Disk Encryption ohne Unterbrechung weiterhin verwenden. Am 15. September 2028 werden ADE-fähige Workloads weiterhin ausgeführt, verschlüsselte Datenträger werden jedoch nach dem Neustart des virtuellen Computers nicht entsperrt, was zu Dienstunterbrechungen führt.

Verwenden Sie die Verschlüsselung auf dem Host für neue virtuelle Computer, oder ziehen Sie vertrauliche VM-Größen mit Betriebssystemdatenträgerverschlüsselung für vertrauliche Computerarbeitslasten in Betracht. Alle ADE-fähigen VMs (einschließlich Sicherungen) müssen vor dem Deaktivierungsdatum zur Verschlüsselung auf dem Host migriert werden, um Dienstunterbrechungen zu vermeiden. Ausführliche Informationen finden Sie unter Migrieren von Azure Disk Encryption zu Verschlüsselung auf dem Host .

Vorsicht

In diesem Artikel wird auf CentOS verwiesen, eine Linux-Verteilung, die den EOL-Status (End-of-Life) aufweist. Denken Sie an Ihre Verwendung und planen Sie entsprechend. Weitere Informationen finden Sie im End-of-Life-Leitfaden für CentOS.

Gilt für: ✔️ Linux-VMs ✔️ Flexible Skalierungsgruppen.

Wenn eine Firewall-, Proxyanforderungs- oder Netzwerksicherheitsgruppe (Network Security Group, NSG)-Einstellungen die Konnektivität einschränken, kann die Erweiterung möglicherweise keine erforderlichen Aufgaben ausführen. Dies kann zu Statusmeldungen der Art „Erweiterungsstatus auf der VM nicht verfügbar“.

Paketverwaltung

Azure Disk Encryption hängt von vielen Komponenten ab, die in der Regel als Teil der ADE-Aktivierung installiert werden, sofern sie nicht bereits vorhanden sind. Wenn sich der virtuelle Computer hinter einer Firewall befindet oder anderweitig vom Internet isoliert ist, installieren Sie diese Pakete vor oder stellen sie lokal zur Verfügung.

Dies sind die Pakete, die für die einzelnen Distributionen erforderlich sind. Eine vollständige Liste der unterstützten Distributionen und Volumetypen finden Sie unter Unterstützte VMs und Betriebssysteme.

  • Ubuntu 14.04, 16.04, 18.04: lsscsi, psmisc, at, cryptsetup-bin, python-parted, python-six, procps, grub-pc-bin
  • CentOS 7.2 bis 7.9, 8.1, 8.2: lsscsi, psmisc, lvm2, uuid, at, patch, cryptsetup, cryptsetup-reencrypt, pyparted, procps-ng, util-linux
  • CentOS 6.8: lsscsi, psmisc, lvm2, uuid, at, cryptsetup-reencrypt, parted, python-six
  • RedHat 7.2 bis 7.9, 8.1, 8.2: lsscsi, psmisc, lvm2, uuid, at, patch, cryptsetup, cryptsetup-reencrypt, procps-ng, util-linux
  • RedHat 6.8: lsscsi, psmisc, lvm2, uuid, at, patch, cryptsetup-reencrypt
  • openSUSE 42.3, SLES 12-SP4, 12-SP3: lsscsi, cryptsetup

Überprüfen Sie bei Red Hat, wenn ein Proxy erforderlich ist, ob subscription-manager und yum ordnungsgemäß eingerichtet sind. Weitere Informationen finden Sie unter How to troubleshoot subscription-manager and yum problems (Beheben von Problemen mit subscription-manager und yum).

Wenn Sie Pakete manuell installieren, aktualisieren Sie sie manuell, wenn neue Versionen veröffentlicht werden.

Netzwerksicherheitsgruppen

Alle von Ihnen angewendeten Netzwerksicherheitsgruppeneinstellungen müssen dennoch zulassen, dass der Endpunkt die dokumentierten Netzwerkkonfigurationsvoraussetzungen für die Datenträgerverschlüsselung erfüllt. Weitere Informationen finden Sie unter Azure Disk Encryption: Netzwerkanforderungen

Azure Disk Encryption mit Microsoft Entra ID (vorherige Version)

Wenn Sie azure Disk Encryption mit Microsoft Entra ID (vorherige Version) verwenden, muss die Microsoft-Authentifizierungsbibliothek manuell für alle Distros installiert werden (zusätzlich zu den Paketen, die für die Distro geeignet sind).

Wenn Sie die Verschlüsselung mit Microsoft Entra-Anmeldeinformationen aktivieren, muss die Ziel-VM Konnektivität sowohl zu den Microsoft Entra-Endpunkten als auch zu den Key Vault-Endpunkten zulassen. Microsoft verwaltet die aktuellen Microsoft Entra Authentifizierungsendpunkte in den Abschnitten 56 und 59 der Dokumentation zu Microsoft 365 URLs und IP-Adressbereichen. Key Vault Anweisungen finden Sie in Access Azure Key Vault hinter einer Firewall.

Azure-Instanzmetadatendienst

Der virtuelle Computer muss auf den Azure Instanzmetadaten-Dienstendpunkt zugreifen, der eine bekannte, nicht routingfähige IP-Adresse (169.254.169.254) verwendet, auf die Sie nur innerhalb des virtuellen Computers zugreifen können. Proxykonfigurationen, die den lokalen HTTP-Datenverkehr an diese Adresse ändern (z. B. durch Hinzufügen eines X-Forwarded-For-Headers), werden nicht unterstützt.

Nächste Schritte

  • Last updated on