Linux VM での Azure Disk Encryption シナリオ

Azure CLI 2.0 は、Azure リソースを管理するためのコマンドライン ツールです。 CLI は、データのクエリを柔軟に実行し、長時間実行される操作を非ブロッキング プロセスとしてサポートし、スクリプトが簡単になるように設計されています。 「Azure CLI のインストール」の手順に従って、これをローカルにインストールすることができます。

Azure CLI を使用して Azure アカウントにログインするには、az login コマンドを使用します。

az login

サインイン先のテナントを選択する場合は、次を使用してください。

az login --tenant <tenant>

複数のサブスクリプションがあり、特定のサブスクリプションを指定する場合は、az account list を使用してサブスクリプションの一覧を表示し、az account set を使用して指定します。

az account list
az account set --subscription "<subscription name or ID>"

詳しくは、Azure CLI 2.0 の概要に関する記事をご覧ください。

Azure PowerShell az モジュールには、Azure リソースを管理するためにAzure Resource Manager モデルを使用する一連のコマンドレットが用意されています。 Azure Cloud Shellを使用してブラウザーで使用することも、「Azure PowerShell モジュールをインストールする」の手順に従ってローカル コンピューターにインストールすることもできます。

既にローカルにインストールしている場合は、最新バージョンの Azure PowerShell SDK バージョンを使用して Azure Disk Encryption を構成してください。 Azure PowerShell リリースの最新バージョンをダウンロードします。

Azure PowerShell を使用して Azure アカウントにサインインするには、Connect-AzAccount コマンドレットを使用します。

Connect-AzAccount

複数のサブスクリプションがあり、1 つを指定する場合は、Get-AzSubscription コマンドレットを使用してそれらを一覧表示し、次に Set-AzContext コマンドレットを使用します。

Set-AzContext -Subscription <SubscriptionId>

Get-AzContext コマンドレットを実行すると、正しいサブスクリプションが選択されていることを確認します。

Azure Disk Encryption コマンドレットがインストールされていることを確認するには、Get-command コマンドレットを使用します。

Get-command *diskencryption*

詳細については、「Azure PowerShell の使用に関するページ」を参照してください。

暗号化された VHD でのディスク暗号化は、Azure CLI コマンド ライン ツールをインストールして使用することで有効化できます。 これは、Azure Cloud Shell を使用してブラウザーで使用することも、ローカル コンピューターにインストールして PowerShell セッションで使用することもできます。 Azure 内にある既存または実行中の Linux VM で暗号化を有効にするには、次の CLI コマンドを使用します。

az vm encryption enable コマンドを使用して、Azure で実行中の仮想マシンで暗号化を有効にします。

• 実行中の VM を暗号化する:

  az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault "MySecureVault" --volume-type [All|OS|Data]
  

• KEK を使用して実行中の VM を暗号化する:

  az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault  "MySecureVault" --key-encryption-key "MyKEK_URI" --key-encryption-keyvault "MySecureVaultContainingTheKEK" --volume-type [All|OS|Data]
  

  注

  disk-encryption-keyvault パラメーターの値の構文は、次のように、完全な識別子文字列です: /subscriptions/[subscription-id-guid]/resourceGroups/[resource-group-name]/providers/Microsoft.KeyVault/vaults/[keyvault-name]
  key-encryption-key パラメーターの値の構文は、次のように、KEK の完全な URI です: https://[keyvault-name].vault.azure.net/keys/[kekname]/[kek-unique-id]

• ディスクが暗号化されていることを確認する: VM の暗号化の状態を確認するには、az vm encryption show コマンドを使用します。

  az vm encryption show --name "MySecureVM" --resource-group "MyVirtualMachineResourceGroup"
  

暗号化を無効にするには、「暗号化を無効にし、暗号化拡張機能を削除する」を参照してください。

Set-AzVMDiskEncryptionExtension コマンドレットを使用して、Azure で実行中の仮想マシンで暗号化を有効にします。 ディスクを暗号化する前に、スナップショットを作成し、Azure Backupを使用して VM をバックアップします。 実行中の Linux VM を暗号化するための PowerShell スクリプトでは、 -skipVmBackup パラメーターが既に指定されています。

• 実行中の VM を暗号化します。 次のスクリプトは、変数を初期化し、Set-AzVMDiskEncryptionExtension コマンドレットを実行します。 前提条件として、リソース グループ、VM、およびキー コンテナーが作成されている必要があります。 MyVirtualMachineResourceGroup、MySecureVM、MySecureVault を実際の値に置き換えます。 -VolumeType parameter を変更し、暗号化するディスクを指定します。

   $KVRGname = 'MyKeyVaultResourceGroup';
   $VMRGName = 'MyVirtualMachineResourceGroup';
   $vmName = 'MySecureVM';
   $KeyVaultName = 'MySecureVault';
   $KeyVault = Get-AzKeyVault -VaultName $KeyVaultName -ResourceGroupName $KVRGname;
   $diskEncryptionKeyVaultUrl = $KeyVault.VaultUri;
   $KeyVaultResourceId = $KeyVault.ResourceId;
   $sequenceVersion = [Guid]::NewGuid();
  
   Set-AzVMDiskEncryptionExtension -ResourceGroupName $VMRGName -VMName $vmName -DiskEncryptionKeyVaultUrl $diskEncryptionKeyVaultUrl -DiskEncryptionKeyVaultId $KeyVaultResourceId -VolumeType '[All|OS|Data]' -SequenceVersion $sequenceVersion -skipVmBackup;
  

• KEK を使用して実行中の VM を暗号化する: OS ディスクではなくデータ ディスクを暗号化する場合は、 -VolumeType パラメーターの追加が必要になる場合があります。

   $KVRGname = 'MyKeyVaultResourceGroup';
   $VMRGName = 'MyVirtualMachineResourceGroup';
   $vmName = 'MyExtraSecureVM';
   $KeyVaultName = 'MySecureVault';
   $keyEncryptionKeyName = 'MyKeyEncryptionKey';
   $KeyVault = Get-AzKeyVault -VaultName $KeyVaultName -ResourceGroupName $KVRGname;
   $diskEncryptionKeyVaultUrl = $KeyVault.VaultUri;
   $KeyVaultResourceId = $KeyVault.ResourceId;
   $keyEncryptionKeyUrl = (Get-AzKeyVaultKey -VaultName $KeyVaultName -Name $keyEncryptionKeyName).Key.kid;
   $sequenceVersion = [Guid]::NewGuid();
  
   Set-AzVMDiskEncryptionExtension -ResourceGroupName $VMRGName -VMName $vmName -DiskEncryptionKeyVaultUrl $diskEncryptionKeyVaultUrl -DiskEncryptionKeyVaultId $KeyVaultResourceId -KeyEncryptionKeyUrl $keyEncryptionKeyUrl -KeyEncryptionKeyVaultId $KeyVaultResourceId -VolumeType '[All|OS|Data]' -SequenceVersion $sequenceVersion -skipVmBackup;
  

  注

  disk-encryption-keyvault パラメーターの値の構文は、次のように、完全な識別子文字列です: /subscriptions/[subscription-id-guid]/resourceGroups/[resource-group-name]/providers/Microsoft.KeyVault/vaults/[keyvault-name]
  key-encryption-key パラメーターの値の構文は、次のように、KEK の完全な URI です: https://[keyvault-name].vault.azure.net/keys/[kekname]/[kek-unique-id]

• ディスクが暗号化されていることを確認する: VM の暗号化の状態を確認するには、Get-AzVmDiskEncryptionStatus コマンドレットを使用します。

  Get-AzVmDiskEncryptionStatus -ResourceGroupName 'MyVirtualMachineResourceGroup' -VMName 'MySecureVM'
  

暗号化を無効にするには、「暗号化を無効にし、暗号化拡張機能を削除する」を参照してください。

Azure 内にある既存または実行中の Linux VM でのディスク暗号化は、Resource Manager テンプレートを使用して有効化できます。

1. Azure クイックスタート テンプレートで、[Azure に配置する] を選択します。

2. サブスクリプション、リソース グループ、リソース グループの場所、パラメーター、法律条項、契約を選択します。 [ 作成] を選択して、既存または実行中の VM で暗号化を有効にします。

次の表は、既存または実行中の VM に対する、Resource Manager テンプレートのパラメーターをまとめたものです。

Linux VM ディスク暗号化テンプレートの構成の詳細については、「Linux 用 Azure Disk Encryption」を参照してください。

暗号化を無効にするには、「暗号化を無効にし、暗号化拡張機能を削除する」を参照してください。

az vm encryption enable コマンドを使用して、Azure で実行中の仮想マシンで暗号化を有効にします。

• EncryptFormatAll を使用して実行中の VM を暗号化する:

  az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault "MySecureVault" --volume-type "data" --encrypt-format-all
  

Set-AzVMDiskEncryptionExtension コマンドレットを EncryptFormatAll パラメーターと共に使用します。

EncryptFormatAll を使用して実行中の VM を暗号化する: たとえば、次のスクリプトは変数を初期化し、EncryptFormatAll パラメーターを使用して Set-AzVMDiskEncryptionExtension コマンドレットを実行します。 リソース グループ、VM、キー コンテナーが前提条件です。 MyVirtualMachineResourceGroup、MySecureVM、MySecureVault を独自の値で置き換えます。

$KVRGname = 'MyKeyVaultResourceGroup';
$VMRGName = 'MyVirtualMachineResourceGroup';
$vmName = 'MySecureVM';
$KeyVaultName = 'MySecureVault';
$KeyVault = Get-AzKeyVault -VaultName $KeyVaultName -ResourceGroupName $KVRGname;
$diskEncryptionKeyVaultUrl = $KeyVault.VaultUri;
$KeyVaultResourceId = $KeyVault.ResourceId;

Set-AzVMDiskEncryptionExtension -ResourceGroupName $VMRGName -VMName $vmName -DiskEncryptionKeyVaultUrl $diskEncryptionKeyVaultUrl -DiskEncryptionKeyVaultId $KeyVaultResourceId -VolumeType "data" -EncryptFormatAll

VM が以前に "All" で暗号化されていた場合、 --volume-type パラメーターは "All" のままである必要があります。 All には OS とデータ ディスクの両方が含まれます。 VM が以前にボリュームの種類が "OS" で暗号化されていた場合は、OS と新しいデータ ディスクの両方が含まれるように、 --volume-type パラメーターを "All" に変更します。 VM が "Data" のボリュームの種類のみで暗号化されている場合は、次の例に示すように "Data" のまま残すことができます。 新しいデータ ディスクを VM に追加してアタッチするだけでは、暗号化の準備としては不十分です。 暗号化を有効にする前に、VM 内に新しく接続されたディスクをフォーマットして適切にマウントする必要もあります。 Linux では、/etc/fstabを使用してにディスクをマウントする必要があります。

PowerShell 構文とは異なり、CLI では、暗号化を有効にする際に一意のシーケンス バージョンを指定する必要はありません。 CLI では独自の一意のシーケンス バージョン値が自動的に生成され、使用されます。

• 実行中の VM のデータ ボリュームを暗号化する:

  az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault "MySecureVault" --volume-type "Data"
  

• KEK を使用して実行中の VM のデータ ボリュームを暗号化します。

  az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault  "MySecureVault" --key-encryption-key "MyKEK_URI" --key-encryption-keyvault "MySecureVaultContainingTheKEK" --volume-type "Data"
  

PowerShell を使用して Linux 用の新しいディスクを暗号化する場合は、新しいシーケンス バージョンを指定します。 シーケンスのバージョンは一意である必要があります。 次のスクリプトでは、シーケンス バージョン用の GUID が生成されます。 ディスクを暗号化する前に、スナップショットを作成し、Azure Backupを使用して VM をバックアップします。 新しく追加されたデータ ディスクを暗号化するための PowerShell スクリプトでは、 -skipVmBackup パラメーターが既に指定されています。

• 実行中の VM のデータ ボリュームを暗号化します。 次のスクリプトは、変数を初期化し、Set-AzVMDiskEncryptionExtension コマンドレットを実行します。 スクリプトを実行する前に、前提条件としてリソース グループ、VM、キー コンテナーを作成します。 MyVirtualMachineResourceGroup、MySecureVM、MySecureVault を実際の値に置き換えます。 -VolumeType パラメーターに使用できる値は、All、OS、Data です。 VM が以前に "OS" または "All" のボリュームの種類で暗号化されている場合は、os と新しいデータ ディスクの両方が含まれるように、-VolumeType パラメーターを "All" に変更する必要があります。

  $KVRGname = 'MyKeyVaultResourceGroup';
  $VMRGName = 'MyVirtualMachineResourceGroup';
  $vmName = 'MySecureVM';
  $KeyVaultName = 'MySecureVault';
  $KeyVault = Get-AzKeyVault -VaultName $KeyVaultName -ResourceGroupName $KVRGname;
  $diskEncryptionKeyVaultUrl = $KeyVault.VaultUri;
  $KeyVaultResourceId = $KeyVault.ResourceId;
  $sequenceVersion = [Guid]::NewGuid();
  
  Set-AzVMDiskEncryptionExtension -ResourceGroupName $VMRGName -VMName $vmName -DiskEncryptionKeyVaultUrl $diskEncryptionKeyVaultUrl -DiskEncryptionKeyVaultId $KeyVaultResourceId -VolumeType 'data' –SequenceVersion $sequenceVersion -skipVmBackup;
  

• KEK を使用して実行中の VM のデータ ボリュームを暗号化 します。 -VolumeType パラメーターに使用できる値は、 All、 OS、および Dataです。 VM が以前に OS または Allのボリュームの種類で暗号化されている場合は、OS と新しいデータ ディスクの両方が含まれるように、 -VolumeType パラメーターを All に変更します。

   $KVRGname = 'MyKeyVaultResourceGroup';
   $VMRGName = 'MyVirtualMachineResourceGroup';
   $vmName = 'MyExtraSecureVM';
   $KeyVaultName = 'MySecureVault';
   $keyEncryptionKeyName = 'MyKeyEncryptionKey';
   $KeyVault = Get-AzKeyVault -VaultName $KeyVaultName -ResourceGroupName $KVRGname;
   $diskEncryptionKeyVaultUrl = $KeyVault.VaultUri;
   $KeyVaultResourceId = $KeyVault.ResourceId;
   $keyEncryptionKeyUrl = (Get-AzKeyVaultKey -VaultName $KeyVaultName -Name $keyEncryptionKeyName).Key.kid;
   $sequenceVersion = [Guid]::NewGuid();
  
   Set-AzVMDiskEncryptionExtension -ResourceGroupName $VMRGName -VMName $vmName -DiskEncryptionKeyVaultUrl $diskEncryptionKeyVaultUrl -DiskEncryptionKeyVaultId $KeyVaultResourceId -KeyEncryptionKeyUrl $keyEncryptionKeyUrl -KeyEncryptionKeyVaultId $KeyVaultResourceId -VolumeType 'data' –SequenceVersion $sequenceVersion -skipVmBackup;
  

  注

  disk-encryption-keyvault パラメーターの値は、次のように、完全な識別子文字列の形式で表されます: /subscriptions/[subscription-id-guid]/resourceGroups/[KVresource-group-name]/providers/Microsoft.KeyVault/vaults/[keyvault-name]
  key-encryption-key パラメーターは KEK の完全な URI であり、次の形式で表されます: https://[keyvault-name].vault.azure.net/keys/[kekname]/[kek-unique-id]