Azure Disk Encryption für Linux-VMs

Gilt für: ✔️ Linux-VMs ✔️ Flexible Skalierungsgruppen

Azure Disk Encryption trägt dazu bei, Ihre Daten zu schützen, um die Sicherheits- und Complianceverpflichtungen Ihrer Organisation zu erfüllen. Der Dienst stellt mithilfe des DM-Crypt-Features von Linux Volumeverschlüsselung für das Betriebssystem und die Datenträger von virtuellen Azure-Computern (VMs) bereit und ist in Azure Key Vault integriert, damit Sie die Verschlüsselungsschlüssel und Geheimnisse für Datenträger steuern und verwalten können.

Azure Disk Encryption ist zonenfest, genauso wie Azure Virtual Machines. Ausführliche Informationen finden Sie unter Azure-Dienste mit Unterstützung für Verfügbarkeitszonen.

Wenn Sie Microsoft Defender für Cloud verwenden, werden Sie benachrichtigt, wenn Sie nicht-verschlüsselte virtuelle Computer haben. Die Warnungen werden als hoher Schweregrad angezeigt, und die Empfehlung besteht darin, diese virtuellen Computer zu verschlüsseln.

Die Grundlagen von Azure Disk Encryption für Linux können Sie in den Schnellstarts Erstellen und Verschlüsseln einer Linux-VM mit der Azure CLI und Erstellen und Verschlüsseln eines virtuellen Linux-Computers mit Azure PowerShell in wenigen Minuten erlernen.

Unterstützte VMs und Betriebssysteme

Unterstützte VMs

Linux-VMs sind in verschiedenen Größen verfügbar. Azure Disk Encryption wird für virtuelle Computer der 1. und 2. Generation unterstützt. Azure Disk Encryption ist auch für virtuelle Computer mit Storage Premium verfügbar.

Weitere Informationen finden Sie unter Azure-VM-Größen ohne lokalen temporären Datenträger.

Azure Disk Encryption ist auf virtuellen Standardcomputern, VMs der A-Serie, V6-Serien-VMs, V7-Serien-VMs oder neueren Computern oder auf virtuellen Computern, die diese Mindestspeicheranforderungen nicht erfüllen, nicht verfügbar:

Speicheranforderungen

Nachdem der Verschlüsselungsprozess des Betriebssystemdatenträgers auf virtuellen Linux-Computern abgeschlossen ist, können Sie die VM so konfigurieren, dass sie mit weniger Arbeitsspeicher ausgeführt wird.

Weitere Ausnahmen finden Sie unter Azure Disk Encryption: Beschränkungen.

Unterstützte Betriebssysteme

Azure Disk Encryption wird in einer Teilmenge der Azure unterstützten Linux-Distributionen unterstützt, die selbst eine Teilmenge aller möglichen Linux-Serververteilungen sind.

Linux-Serververteilungen, die Azure nicht unterstützen, unterstützen keine Azure Disk Encryption. Von den Verteilungen, die Azure unterstützt, unterstützen nur die folgenden Verteilungen und Versionen Azure Disk Encryption:

* Für Imageversionen, die größer als oder gleich Mai 2023 sind.

Weitere VM-Anforderungen

Für Azure Disk Encryption muss das „dm-crypt“-Modul und das „vfat“-Modul im System vorhanden sein. Wenn das „vfat“-Modul aus dem Standardimage entfernt oder dort deaktiviert wird, kann das System nicht mehr das Schlüsselvolume lesen und damit auch nicht den Schlüssel abrufen, der zum Entsperren der Datenträger bei nachfolgenden Neustarts erforderlich ist. Systemhärtungsschritte, die das Vfat-Modul aus dem System entfernen oder das Erweitern der Betriebssystem-Mountpoints/Ordner auf Datenlaufwerken erzwingen, sind nicht mit Azure Disk Encryption kompatibel.

Bevor Die Verschlüsselung aktiviert wird, müssen die zu verschlüsselnden Datenträger ordnungsgemäß in /etc/fstabder Liste aufgeführt sein. Verwenden Sie die Option "nofail" beim Erstellen von Einträgen, und wählen Sie einen beständigen Blockgerätenamen aus (da Gerätenamen im Format "/dev/sdX" möglicherweise nicht über Neustarts hinweg mit demselben Datenträger verknüpft sind, insbesondere nach der Verschlüsselung. Ausführlichere Informationen zu diesem Verhalten finden Sie unter: Problembehandlung bei Änderungen des Linux-VM-Gerätenamens).

Überprüfen Sie, ob die /etc/fstab-Einstellungen für die Montage ordnungsgemäß konfiguriert sind. Um diese Einstellungen zu konfigurieren, führen Sie den Befehl mount -a aus oder starten Sie die VM neu und lösen Sie dadurch das erneute Einhängen aus. Überprüfen Sie nach Abschluss dieses Schritts die Ausgabe des lsblk-Befehls, um sicherzustellen, dass das Laufwerk noch eingehängt ist.

• Wenn die Datei „/etc/fstab“ das Laufwerk vor der Aktivierung der Verschlüsselung nicht ordnungsgemäß einbindet, kann auch Azure Disk Encryption es nicht richtig einbinden.
• Azure Disk Encryption verschiebt die Einbindungsinformationen aus „/etc/fstab“ in die eigene Konfigurationsdatei als Teil des Verschlüsselungsprozesses. Der Eintrag fehlt in „/etc/fstab“, nachdem die Verschlüsselung des Datenlaufwerks abgeschlossen wurde.
• Bevor Sie mit der Verschlüsselung beginnen, beenden Sie alle Dienste und Prozesse, die in bereitgestellte Datenträger geschrieben werden können, und deaktivieren Sie sie, damit sie nach einem Neustart nicht automatisch neu gestartet werden. Diese Prozesse könnten Dateien auf diesen Partitionen offen halten und dadurch das Verschlüsselungsverfahren daran hindern, sie erneut einzuhängen, wodurch die Verschlüsselung fehlschlägt.
• Nach dem Neustart benötigt der Azure Disk Encryption Prozess Zeit, um die neu verschlüsselten Datenträger zu bereitstellen. Sie sind nach einem Neustart nicht sofort verfügbar. Der Prozess benötigt Zeit, um die verschlüsselten Laufwerke zu starten, zu entsperren und dann zu mounten, bevor andere Prozesse darauf zugreifen können. Dieser Vorgang kann je nach Systemmerkmalen mehr als eine Minute nach dem Neustart dauern.

Das folgende Beispiel zeigt die Befehle, die zum Bereitstellen der Datenträger und zum Erstellen der erforderlichen /etc/fstab-Einträge verwendet werden:

sudo UUID0="$(blkid -s UUID -o value /dev/sda1)"
sudo UUID1="$(blkid -s UUID -o value /dev/sda2)"
sudo mkdir /data0
sudo mkdir /data1
sudo echo "UUID=$UUID0 /data0 ext4 defaults,nofail 0 0" >>/etc/fstab
sudo echo "UUID=$UUID1 /data1 ext4 defaults,nofail 0 0" >>/etc/fstab
sudo mount -a

Netzwerkanforderungen

Die Linux-VMs müssen die folgenden Anforderungen an die Konfiguration des Netzwerkendpunkts erfüllen, um Azure Disk Encryption zu aktivieren:

• Die Linux-VM muss eine Verbindung mit dem Azure Storage-Endpunkt herstellen können, an dem das Azure-Erweiterungsrepository gehostet wird, sowie mit einem Azure Storage-Konto, das die VHD-Dateien hostet.
• Wenn Ihre Sicherheitsrichtlinie den Zugriff von virtuellen Azure-Computern auf das Internet beschränkt, können Sie den obigen URI auflösen und eine spezielle Regel konfigurieren, um ausgehende Verbindungen mit den IP-Adressen zuzulassen. Weitere Informationen finden Sie unter Zugreifen auf Azure Key Vault hinter einer Firewall.

Speicheranforderungen für Verschlüsselungsschlüssel

Azure Disk Encryption erfordert Azure Key Vault zum Steuern und Verwalten von Verschlüsselungsschlüsseln und Geheimnissen für die Datenträgerverschlüsselung. Ihr Schlüsseltresor und die VMs müssen sich in derselben Azure-Region und im selben Azure-Abonnement befinden.

Ausführliche Informationen finden Sie unter Erstellen und Konfigurieren eines Schlüsseltresors für Azure Disk Encryption.

Begriff

In der folgenden Tabelle werden allgemeine Begriffe definiert, die in Azure Disk Encryption Dokumentation verwendet werden:

Nächste Schritte

• Schnellstart: Erstellen und Verschlüsseln einer Linux-VM mit der Azure-Befehlszeilenschnittstelle
• Schnellstart: Erstellen und Verschlüsseln eines virtuellen Linux-Computers mit Azure PowerShell
• Azure Disk Encryption-Szenarien auf virtuellen Linux-Computern
• Migrieren von Azure Disk Encryption zur Verschlüsselung auf dem Host
• CLI-Skript für die Voraussetzungen für Azure Disk Encryption
• PowerShell-Skript für die Voraussetzungen für Azure Disk Encryption
• Erstellen und Konfigurieren eines Schlüsseltresors für Azure Disk Encryption