Crittografia dischi di Azure in una rete isolata

Importante

Crittografia dischi di Azure è pianificato per il ritiro il 15 settembre 2028. Fino a tale data, è possibile continuare a usare Crittografia dischi di Azure senza interruzioni. Il 15 settembre 2028 i carichi di lavoro abilitati per ADE continueranno a essere eseguiti, ma i dischi crittografati non riusciranno a sbloccarsi dopo il riavvio della macchina virtuale, causando un'interruzione del servizio.

Usare la crittografia nell'host per le nuove macchine virtuali o prendere in considerazione le dimensioni delle macchine virtuali riservate con crittografia del disco del sistema operativo per i carichi di lavoro di computing riservato. Tutte le macchine virtuali abilitate per ADE (inclusi i backup) devono eseguire la migrazione alla crittografia nell'host prima della data di ritiro per evitare interruzioni del servizio. Per informazioni dettagliate, vedere Eseguire la migrazione da Crittografia dischi di Azure alla crittografia nell'host .

Attenzione

Questo articolo fa riferimento a CentOS, una distribuzione Linux che rappresenta lo stato end-of-life (EOL). Valutare le proprie esigenze e pianificare di conseguenza. Per altre informazioni, vedere le linee guida per la fine della vita di CentOS.

Si applica a: ✔️ macchine virtuali di Linux ✔️ set di scalabilità flessibili.

Quando un firewall, un requisito proxy o le impostazioni del gruppo di sicurezza di rete limitano la connettività, l'estensione potrebbe non completare le attività necessarie. È quindi possibile che vengano visualizzati messaggi del tipo "Stato estensione non disponibile nella macchina virtuale".

Gestione dei pacchetti

Crittografia dischi di Azure dipende da molti componenti, che vengono in genere installati come parte dell'abilitazione di Crittografia dischi di Azure, se non sono già presenti. Quando la macchina virtuale si trova dietro un firewall o altrimenti isolata da Internet, preinstallare questi pacchetti o renderli disponibili in locale.

Ecco i pacchetti necessari per ogni distribuzione. Per un elenco completo delle distribuzioni e dei tipi di volume supportati, vedere Macchine virtuali e sistemi operativi supportati.

  • Ubuntu 14.04, 16.04, 18.04: lsscsi, psmisc, at, cryptsetup-bin, python-parted, python-six, procps, grub-pc-bin
  • CentOS 7.2 - 7.9, 8.1, 8.2: lsscsi, psmisc, lvm2, uuid, at, patch, cryptsetup, cryptsetup-reencrypt, pyparted, procps-ng, util-linux
  • CentOS 6.8: lsscsi, psmisc, lvm2, uuid, at, cryptsetup-reencrypt, parted, python-six
  • RedHat 7.2 - 7.9, 8.1, 8.2: lsscsi, psmisc, lvm2, uuid, at, patch, cryptsetup, cryptsetup-reencrypt, procps-ng, util-linux
  • RedHat 6.8: lsscsi, psmisc, lvm2, uuid, at, patch, cryptsetup-reencrypt
  • openSUSE 42.3, SLES 12-SP4, 12-SP3: lsscsi, cryptsetup

In Red Hat, quando è necessario un proxy, verificare che subscription-manager e yum siano configurati correttamente. Per altre informazioni, vedere Risoluzione dei problemi relativi a subscription-manager e yum.

Quando si installano manualmente i pacchetti, aggiornarli manualmente quando vengono rilasciate nuove versioni.

Gruppi di sicurezza di rete

Tutte le impostazioni del gruppo di sicurezza di rete applicate devono comunque consentire all'endpoint di soddisfare i prerequisiti di configurazione di rete documentati per la crittografia del disco. Vedere Crittografia dischi di Azure: Requisiti di networking

Crittografia dischi di Azure con Microsoft Entra ID (versione precedente)

Se si usa Crittografia dischi di Azure con Microsoft Entra ID (versione precedente), è necessario installare manualmente Libreria di Autenticazione Microsoft per tutte le distribuzioni (oltre ai pacchetti appropriati per la distribuzione).

Quando si abilita la crittografia con credenziali di Microsoft Entra, la macchina virtuale di destinazione deve consentire la connessione sia agli endpoint di Microsoft Entra sia agli endpoint di Key Vault. Microsoft mantiene gli endpoint di autenticazione Microsoft Entra attuali nelle sezioni 56 e 59 della documentazione URL di Microsoft 365 e intervalli di indirizzi IP. Le istruzioni per Key Vault sono disponibili in Accedere ad Azure Key Vault protetto da un firewall.

Servizio metadati dell'istanza di Azure

La macchina virtuale deve accedere all'endpoint del servizio metadati dell'istanza di Azure, che usa un indirizzo IP non indirizzabile noto (169.254.169.254) accessibile solo dall'interno della macchina virtuale. Non sono supportate le configurazioni proxy che modificano il traffico HTTP locale a questo indirizzo, ad esempio aggiungendo un'intestazione X-Forwarded-For.

Passaggi successivi

  • Last updated on