Azure Disk Encryption mit Microsoft Entra ID auf Windows-VMs (vorheriges Release)

Von Bedeutung

Die Azure Disk Encryption wird am 15. September 2028 eingestellt. Bis zu diesem Datum können Sie die Azure Disk Encryption ohne Unterbrechung weiterhin verwenden. Am 15. September 2028 werden ADE-fähige Workloads weiterhin ausgeführt, verschlüsselte Datenträger werden jedoch nach dem Neustart des virtuellen Computers nicht entsperrt, was zu Dienstunterbrechungen führt.

Verwenden Sie die Verschlüsselung auf dem Host für neue virtuelle Computer, oder ziehen Sie vertrauliche VM-Größen mit Betriebssystemdatenträgerverschlüsselung für vertrauliche Computerarbeitslasten in Betracht. Alle ADE-fähigen VMs (einschließlich Sicherungen) müssen vor dem Deaktivierungsdatum zur Verschlüsselung auf dem Host migriert werden, um Dienstunterbrechungen zu vermeiden. Ausführliche Informationen finden Sie unter Migrieren von Azure Disk Encryption zu Verschlüsselung auf dem Host .

Gilt für: ✔️ Windows-VMs

Beim neuen Release von Azure Disk Encryption muss kein Microsoft Entra-Anwendungsparameter mehr angegeben werden, um die VM-Datenträgerverschlüsselung zu aktivieren. Mit der neuen Version müssen Sie während des Aktivierungsverschlüsselungsschritts keine Microsoft Entra Anmeldeinformationen mehr bereitstellen. Verschlüsseln Sie alle neuen virtuellen Computer, indem Sie die neue Version ohne Microsoft Entra Anwendungsparameter verwenden. Anweisungen zum Aktivieren der VM-Datenträgerverschlüsselung mithilfe der neuen Version finden Sie unter Azure Disk Encryption für Windows VMs. VMs, die bereits mit Microsoft Entra Anwendungsparametern verschlüsselt wurden, werden weiterhin unterstützt. Verwalten Sie diese virtuellen Computer weiterhin mit der Microsoft Entra-Syntax.

Dieser Artikel ergänzt Azure Disk Encryption für Windows VMs mit mehr Anforderungen und Voraussetzungen für Azure Disk Encryption mit Microsoft Entra ID (vorherige Version). Der Abschnitt Unterstützte VMs und Betriebssysteme bleibt unverändert.

Netzwerk und Gruppenrichtlinie

Um das feature Azure Disk Encryption mithilfe der älteren Microsoft Entra Parametersyntax zu aktivieren, müssen die IaaS-VMs die folgenden Konfigurationsanforderungen für Netzwerkendpunkte erfüllen:

  • Um ein Token für die Verbindungsherstellung mit Ihrem Schlüsseltresor zu erhalten, muss die IaaS-VM eine Verbindung mit dem Microsoft Entra-Endpunkt [login.microsoftonline.com] herstellen können.
  • Um die Verschlüsselungsschlüssel in Ihren Schlüsseltresor schreiben zu können, muss der virtuelle IaaS-Computer eine Verbindung mit dem Schlüsseltresorendpunkt herstellen können.
  • Der IaaS-VM muss in der Lage sein, eine Verbindung zu einem Azure-Speicherendpunkt herzustellen, der das Azure-Erweiterungsrepository hostet, sowie zu einem Azure Storage-Konto, das die VHD-Dateien hostet.
  • Wenn Ihre Sicherheitsrichtlinie den Zugriff von virtuellen Azure-Computern auf das Internet beschränkt, können Sie den obigen URI auflösen und eine spezielle Regel konfigurieren, um ausgehende Verbindungen mit den IP-Adressen zuzulassen. Weitere Informationen finden Sie unter Zugreifen auf Azure Key Vault hinter einer Firewall.
  • Für die zu verschlüsselnde VM muss TLS 1.2 als Standardprotokoll konfiguriert sein. Wenn TLS 1.0 explizit deaktiviert ist und die .NET Version nicht auf 4.6 oder höher aktualisiert wird, ermöglicht die folgende Registrierungsänderung ADE die Auswahl der neueren TLS-Version:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
"SystemDefaultTlsVersions"=dword:00000001
"SchUseStrongCrypto"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\v4.0.30319]
"SystemDefaultTlsVersions"=dword:00000001
"SchUseStrongCrypto"=dword:00000001

Gruppenrichtlinie:

  • Die Azure Disk Encryption-Lösung verwendet für virtuelle Windows-IaaS-Computer die externe BitLocker-Schlüsselschutzvorrichtung. Setzen Sie für VMs, die der Domäne beigetreten sind, keine Gruppenrichtlinien um, die TPM-Schutzvorrichtungen durchsetzen. Informationen zur Gruppenrichtlinie „BitLocker ohne kompatibles TPM zulassen“ finden Sie unter BitLocker Group Policy Reference (Referenz zur BitLocker-Gruppenrichtlinie).

  • Die BitLocker-Richtlinie für VMs mit Domänenbeitritt und benutzerdefinierten Gruppenrichtlinien muss die folgende Einstellung enthalten: Speichern von BitLocker-Wiederherstellungsinformationen durch Benutzer konfigurieren > 256-Bit-Wiederherstellungsschlüssel zulassen. Azure Disk Encryption schlägt fehl, wenn benutzerdefinierte Gruppenrichtlinieneinstellungen für BitLocker nicht kompatibel sind. Wenden Sie auf Computern ohne die richtige Richtlinieneinstellung die neue Richtlinie an, erzwingen Sie die Aktualisierung der neuen Richtlinie (gpupdate.exe /force), und möglicherweise müssen Sie neu starten.

Speicheranforderungen für Verschlüsselungsschlüssel

Azure Disk Encryption erfordert Azure Key Vault zum Steuern und Verwalten von Verschlüsselungsschlüsseln und Geheimnissen für die Datenträgerverschlüsselung. Ihr Schlüsseltresor und die VMs müssen sich in derselben Azure-Region und im selben Azure-Abonnement befinden.

Weitere Informationen finden Sie unter Erstellen und Konfigurieren eines Schlüsseltresors für Azure Disk Encryption mit Microsoft Entra ID (vorherige Version).

Nächste Schritte

  • Last updated on