Crittografia dischi di Azure per macchine virtuali Linux

Si applica a: ✔️ macchine virtuali di Linux ✔️ set di scalabilità flessibili

Crittografia dischi di Azure consente di proteggere i dati per soddisfare gli impegni di sicurezza e conformità dell'organizzazione. Usa la funzionalità DM-Crypt di Linux per offrire la crittografia del volume per il disco del sistema operativo e i dischi dati delle macchine virtuali (VM) di Azure ed è integrato con Azure Key Vault per facilitare il controllo e la gestione delle chiavi e dei segreti di crittografia dei dischi.

Crittografia dischi di Azure è resiliente alla zona, allo stesso modo di Macchine virtuali di Azure. Per altri dettagli, vedere servizi Azure che supportano la funzionalità Zone di disponibilità.

Se si usa Microsoft Defender per il cloud, si viene avvisati se sono presenti macchine virtuali non crittografate. Gli avvisi sono contrassegnati come ad alta gravità e la raccomandazione è di crittografare queste macchine virtuali.

È possibile apprendere in pochi minuti le nozioni di base di Crittografia dischi di Azure per Linux con Avvio rapido: Creare e crittografare una macchina virtuale Linux con l'interfaccia della riga di comando di Azure o Avvio rapido: Creare e crittografare una macchina virtuale Linux con Azure PowerShell.

Macchine virtuali e sistemi operativi supportati

VM supportate

Le macchine virtuali Linux sono disponibili in una gamma di dimensioni. Crittografia dischi di Azure è supportato nelle macchine virtuali di prima e seconda generazione. Crittografia dischi di Azure è disponibile anche per le macchine virtuali con Archiviazione Premium.

Vedere Dimensioni delle macchine virtuali di Azure senza disco temporaneo locale.

Crittografia dischi di Azure non è disponibile in macchine virtuali di serie Basic, serie A, macchine virtuali serie v6, macchine virtuali serie v7 o più recenti o in macchine virtuali che non soddisfano questi requisiti minimi di memoria:

Requisiti di memoria

Al termine del processo di crittografia del disco del sistema operativo nelle macchine virtuali Linux, è possibile configurare la macchina virtuale per l'esecuzione con meno memoria.

Per altre eccezioni, vedere Crittografia dischi di Azure: limitazioni.

Sistemi operativi supportati

Crittografia dischi di Azure è supportato in un subset delle distribuzioni Linux approvate dall'Azure, che è anche un subset di tutte le possibili distribuzioni di server Linux.

Le distribuzioni server Linux non approvate da Azure non supportano Crittografia dischi di Azure. Delle distribuzioni che Azure approvano, solo le distribuzioni e le versioni seguenti supportano Crittografia dischi di Azure:

* Per le versioni dell'immagine maggiori o uguali a maggio 2023.

Requisiti aggiuntivi delle macchine virtuali

Crittografia dischi di Azure richiede la presenza nel sistema dei moduli dm-crypt e vfat. La rimozione o la disabilitazione di vfat dall'immagine predefinita impedirà al sistema di leggere la chiave del volume e ottenere quella necessaria per sbloccare i dischi ai successivi riavvii. I passaggi di protezione avanzata del sistema che rimuovono il modulo vfat dal sistema o applicano l'espansione dei punti di montaggio/cartelle del sistema operativo nelle unità dati non sono compatibili con Crittografia dischi di Azure.

Prima di abilitare la crittografia, i dischi dati da crittografare devono essere elencati correttamente in /etc/fstab. Usare l'opzione "nofail" quando si creano le voci e scegliere un nome persistente del dispositivo a blocchi, poiché i nomi dei dispositivi nel formato "/dev/sdX" potrebbero non essere associati allo stesso disco tra un riavvio e l'altro, in particolare dopo l'applicazione della crittografia; per ulteriori dettagli su questo comportamento, vedere: Risolvere i problemi delle modifiche dei nomi dei dispositivi della macchina virtuale Linux.

Verificare che le impostazioni /etc/fstab siano configurate correttamente per il montaggio. Per configurare queste impostazioni, eseguire il mount -a comando o riavviare la macchina virtuale e attivare il rimontaggio in questo modo. Una volta completato questo passaggio, controllare l'output del comando lsblk per verificare che l'unità sia ancora montata.

• Se il file /etc/fstab non monta l'unità in modo corretto prima di abilitare la crittografia; Crittografia dischi di Azure non sarà in grado di montarla correttamente.
• Il processo di Crittografia dischi di Azure sposterà le informazioni di montaggio da /etc/fstab e le inserirà in un proprio file di configurazione come parte del processo di crittografia. Non allarmarsi per la mancanza della voce da /etc/fstab dopo il completamento della crittografia dell'unità dati.
• Prima di avviare la crittografia, arrestare tutti i servizi e i processi che potrebbero scrivere nei dischi dati montati e disabilitarli, in modo che non vengano riavviati automaticamente dopo un riavvio. Questi processi potrebbero mantenere aperti i file in queste partizioni, impedendo la procedura di crittografia di rimontarli, causando un errore della crittografia.
• Dopo il riavvio, il processo di Crittografia dischi di Azure richiede tempo per montare i dischi appena crittografati. Non saranno disponibili immediatamente dopo un riavvio. Il processo richiede tempo per avviare, sbloccare e quindi montare le unità crittografate prima che altri processi possano accedervi. Questo processo potrebbe richiedere più di un minuto dopo il riavvio a seconda delle caratteristiche del sistema.

L'esempio seguente mostra i comandi usati per montare i dischi dati e creare le voci /etc/fstab necessarie:

sudo UUID0="$(blkid -s UUID -o value /dev/sda1)"
sudo UUID1="$(blkid -s UUID -o value /dev/sda2)"
sudo mkdir /data0
sudo mkdir /data1
sudo echo "UUID=$UUID0 /data0 ext4 defaults,nofail 0 0" >>/etc/fstab
sudo echo "UUID=$UUID1 /data1 ext4 defaults,nofail 0 0" >>/etc/fstab
sudo mount -a

Requisiti di rete

Per abilitare la funzionalità Crittografia dischi di Azure, le macchine virtuali Linux devono soddisfare i requisiti di configurazione degli endpoint di rete seguenti:

• La macchina virtuale Linux deve potersi connettere a un endpoint di archiviazione di Azure che ospita il repository delle estensioni di Azure e a un account di archiviazione di Azure che ospita i file del disco rigido virtuale.
• Se i criteri di sicurezza limitano l'accesso dalle macchine virtuali di Azure a Internet, è possibile risolvere l'URI precedente e configurare una regola specifica per consentire la connettività in uscita agli indirizzi IP. Per altre informazioni, vedere Azure Key Vault protetto da firewall.

Requisiti di archiviazione delle chiavi di crittografia

Crittografia dischi di Azure richiede Azure Key Vault per controllare e gestire segreti e chiavi di crittografia dei dischi. L'insieme di credenziali delle chiavi e le macchine virtuali devono risiedere nella stessa area e sottoscrizione di Azure.

Per altre informazioni, vedere Creazione e configurazione di un insieme di credenziali delle chiavi per Crittografia dischi di Azure.

Terminologia

La tabella seguente definisce i termini comuni usati nella documentazione di Crittografia dischi di Azure:

Passaggi successivi

• Avvio rapido: Creare e crittografare una macchina virtuale Linux con l'interfaccia della riga di comando di Azure
• Guida introduttiva: Creare e crittografare una macchina virtuale Linux con Azure PowerShell
• Scenari di crittografia dischi di Azure per macchine virtuali Linux
• Eseguire la migrazione da Crittografia dischi di Azure alla crittografia nell'host
• Script dell'interfaccia della riga di comando dei prerequisiti di Crittografia dischi di Azure
• Script di PowerShell dei prerequisiti di Crittografia dischi di Azure
• Creazione e configurazione di un insieme di credenziali delle chiavi per la crittografia dischi di Azure