Azure Disk Encryption-Szenarien auf virtuellen Linux-Computern

Die Azure CLI 2.0 ist ein Befehlszeilentool zum Verwalten von Azure-Ressourcen. Sie wurde entwickelt, um Daten flexible abzufragen, Vorgänge mit langer Ausführungsdauer als nicht blockierende Prozesse zu unterstützen und das Erstellen von Skripts zu vereinfachen. Sie können sie lokal installieren, indem Sie die Schritte unter Installieren der Azure CLI ausführen.

Um sich bei Ihrem Azure-Konto mit der Azure CLI anzumelden, verwenden Sie den Befehl az login.

az login

Wenn Sie einen Mandanten auswählen möchten, für den Sie sich anmelden möchten, verwenden Sie dazu:

az login --tenant <tenant>

Wenn Sie über mehrere Abonnements verfügen und ein bestimmtes Abonnement angeben möchten, können Sie Ihre Abonnementliste mit az account list abrufen und den Befehl az account set zum Angeben verwenden.

az account list
az account set --subscription "<subscription name or ID>"

Weitere Informationen finden Sie unter Erste Schritte mit Azure CLI 2.0.

Das Azure PowerShell az-Modul stellt eine Reihe von Cmdlets bereit, die das Azure Resource Manager-Modell zum Verwalten Ihrer Azure-Ressourcen verwenden. Sie können es in Ihrem Browser mit Azure Cloud Shell verwenden, oder Sie können es auf Ihrem lokalen Computer installieren, indem Sie die Anweisungen unter Installieren des moduls Azure PowerShell verwenden.

Wenn Sie Azure PowerShell bereits lokal installiert haben, stellen Sie sicher, dass Sie die aktuelle Version des Azure PowerShell SDK zum Konfigurieren von Azure Disk Encryption verwenden. Laden Sie die neueste Version von Azure PowerShell herunter.

Um sich mit Azure PowerShell bei Ihrem Azure-Konto anzumelden, verwenden Sie das Cmdlet Connect-AzAccount.

Connect-AzAccount

Wenn Sie über mehrere Abonnements verfügen und eines davon angeben möchten, verwenden Sie das Cmdlet Get-AzSubscription, um die Abonnements aufzulisten, gefolgt vom Cmdlet Set-AzContext:

Set-AzContext -Subscription <SubscriptionId>

Wenn Sie das Cmdlet Get-AzContext ausführen, wird überprüft, ob das richtige Abonnement ausgewählt ist.

Um zu bestätigen, dass die Azure Disk Encryption-Cmdlets installiert sind, verwenden Sie das Cmdlet Get-Command:

Get-command *diskencryption*

Weitere Informationen finden Sie unter Erste Schritte mit Azure PowerShell.

Sie können die Datenträgerverschlüsselung auf Ihrer verschlüsselten VHD aktivieren, indem Sie das Befehlszeilentool Azure CLI installieren und verwenden. Azure PowerShell kann mit Azure Cloud Shell im Browser verwendet oder auf dem lokalen Computer installiert und in einer beliebigen PowerShell-Sitzung verwendet werden. Verwenden Sie die folgenden CLI-Befehle, um die Verschlüsselung auf vorhandenen oder aktuell ausgeführten virtuellen Linux-Computern in Azure zu aktivieren:

Verwenden Sie den Befehl az vm encryption enable, um die Verschlüsselung auf einem aktuell ausgeführten virtuellen Computer in Azure zu aktivieren.

• Verschlüsseln eines ausgeführten virtuellen Computers:

  az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault "MySecureVault" --volume-type [All|OS|Data]
  

• Verschlüsseln einer ausgeführten VM mithilfe von KEK:

  az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault  "MySecureVault" --key-encryption-key "MyKEK_URI" --key-encryption-keyvault "MySecureVaultContainingTheKEK" --volume-type [All|OS|Data]
  

  Hinweis

  Die Syntax für den Wert des Parameters „disk-encryption-keyvault“ ist die vollständige Bezeichnerzeichenfolge: /subscriptions/[Abonnement-ID-GUID]/resourceGroups/[Ressourcengruppenname]/providers/Microsoft.KeyVault/vaults/[Schlüsseltresorname].
  Die Syntax für den Wert des Parameters „key-encryption-key“ ist der vollständige URI für den KEK wie in: https://[Schlüsseltresorname].vault.azure.net/keys/[KEK-Name]/[eindeutige-KEK-ID]

• Überprüfen der Datenträgerverschlüsselung: Verwenden Sie den Befehl az vm encryption show, um den Verschlüsselungsstatus einer VM zu überprüfen.

  az vm encryption show --name "MySecureVM" --resource-group "MyVirtualMachineResourceGroup"
  

Informationen zum Deaktivieren der Verschlüsselung finden Sie unter Deaktivieren der Verschlüsselung und Entfernen der Verschlüsselungserweiterung.

Verwenden Sie das Cmdlet Set-AzVMDiskEncryptionExtension, um die Verschlüsselung auf einem aktuell ausgeführten virtuellen Computer in Azure zu aktivieren. Erstellen Sie vor dem Verschlüsseln der Datenträger eine Momentaufnahme, und sichern Sie den virtuellen Computer mithilfe von Azure Backup. Die PowerShell-Skripts zum Verschlüsseln einer ausgeführten Linux-VM geben bereits den -skipVmBackup Parameter an.

• Verschlüsseln einer ausgeführten VM: Das folgende Skript initialisiert Ihre Variablen und führt das cmdlet Set-AzVMDiskEncryptionExtension aus. Die Ressourcengruppe, der virtuelle Computer und der Schlüsseltresor wurden bereits als Voraussetzungen erstellt. Ersetzen Sie „MyVirtualMachineResourceGroup“, „MySecureVM“ und „MySecureVault“ durch Ihre eigenen Werte. Ändern Sie den Parameter „-VolumeType“, um anzugeben, welche Datenträger Sie verschlüsseln.

   $KVRGname = 'MyKeyVaultResourceGroup';
   $VMRGName = 'MyVirtualMachineResourceGroup';
   $vmName = 'MySecureVM';
   $KeyVaultName = 'MySecureVault';
   $KeyVault = Get-AzKeyVault -VaultName $KeyVaultName -ResourceGroupName $KVRGname;
   $diskEncryptionKeyVaultUrl = $KeyVault.VaultUri;
   $KeyVaultResourceId = $KeyVault.ResourceId;
   $sequenceVersion = [Guid]::NewGuid();
  
   Set-AzVMDiskEncryptionExtension -ResourceGroupName $VMRGName -VMName $vmName -DiskEncryptionKeyVaultUrl $diskEncryptionKeyVaultUrl -DiskEncryptionKeyVaultId $KeyVaultResourceId -VolumeType '[All|OS|Data]' -SequenceVersion $sequenceVersion -skipVmBackup;
  

• Verschlüsseln einer ausgeführten VM mithilfe von KEK: Möglicherweise müssen Sie den -VolumeType Parameter hinzufügen, wenn Sie Datenträger verschlüsseln und nicht den Betriebssystemdatenträger.

   $KVRGname = 'MyKeyVaultResourceGroup';
   $VMRGName = 'MyVirtualMachineResourceGroup';
   $vmName = 'MyExtraSecureVM';
   $KeyVaultName = 'MySecureVault';
   $keyEncryptionKeyName = 'MyKeyEncryptionKey';
   $KeyVault = Get-AzKeyVault -VaultName $KeyVaultName -ResourceGroupName $KVRGname;
   $diskEncryptionKeyVaultUrl = $KeyVault.VaultUri;
   $KeyVaultResourceId = $KeyVault.ResourceId;
   $keyEncryptionKeyUrl = (Get-AzKeyVaultKey -VaultName $KeyVaultName -Name $keyEncryptionKeyName).Key.kid;
   $sequenceVersion = [Guid]::NewGuid();
  
   Set-AzVMDiskEncryptionExtension -ResourceGroupName $VMRGName -VMName $vmName -DiskEncryptionKeyVaultUrl $diskEncryptionKeyVaultUrl -DiskEncryptionKeyVaultId $KeyVaultResourceId -KeyEncryptionKeyUrl $keyEncryptionKeyUrl -KeyEncryptionKeyVaultId $KeyVaultResourceId -VolumeType '[All|OS|Data]' -SequenceVersion $sequenceVersion -skipVmBackup;
  

  Hinweis

  Die Syntax für den Wert des Parameters „disk-encryption-keyvault“ ist die vollständige Bezeichnerzeichenfolge: /subscriptions/[Abonnement-ID-GUID]/resourceGroups/[Ressourcengruppenname]/providers/Microsoft.KeyVault/vaults/[Schlüsseltresorname].
  Die Syntax für den Wert des Parameters „key-encryption-key“ ist der vollständige URI für den KEK wie in: https://[Schlüsseltresorname].vault.azure.net/keys/[KEK-Name]/[eindeutige-KEK-ID]

• Überprüfen der Datenträgerverschlüsselung: Verwenden Sie das Cmdlet Get-AzVmDiskEncryptionStatus, um den Verschlüsselungsstatus einer VM zu überprüfen.

  Get-AzVmDiskEncryptionStatus -ResourceGroupName 'MyVirtualMachineResourceGroup' -VMName 'MySecureVM'
  

Informationen zum Deaktivieren der Verschlüsselung finden Sie unter Deaktivieren der Verschlüsselung und Entfernen der Verschlüsselungserweiterung.

Sie können die Datenträgerverschlüsselung auf einer vorhandenen oder aktuell ausgeführten virtuellen Linux-VM in Azure aktivieren, indem Sie die Resource Manager-Vorlage verwenden.

1. Wählen Sie in der Azure-Schnellstartvorlage Deploy to Azure (In Azure bereitstellen) aus.

2. Wählen Sie das Abonnement, die Ressourcengruppe, den Ressourcengruppenstandort, die Parameter, die rechtlichen Bedingungen und die Vereinbarung aus. Wählen Sie "Erstellen" aus, um die Verschlüsselung auf der vorhandenen oder ausgeführten VM zu aktivieren.

Die folgende Tabelle enthält Resource Manager-Vorlagenparameter für vorhandene oder ausgeführte virtuelle Computer:

Weitere Informationen zum Konfigurieren zur Datenträgerverschlüsselungsvorlage für Linux-VMs finden Sie unter Azure Disk Encryption für Linux-VMs.

Informationen zum Deaktivieren der Verschlüsselung finden Sie unter Deaktivieren der Verschlüsselung und Entfernen der Verschlüsselungserweiterung.

Verwenden Sie den Befehl az vm encryption enable, um die Verschlüsselung auf einem aktuell ausgeführten virtuellen Computer in Azure zu aktivieren.

• Verschlüsseln Einer ausgeführten VM mithilfe von EncryptFormatAll:

  az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault "MySecureVault" --volume-type "data" --encrypt-format-all
  

Verwenden Sie das Cmdlet Set-AzVMDiskEncryptionExtension mit dem Parameter „EncryptFormatAll“.

Verschlüsseln Einer ausgeführten VM mithilfe von EncryptFormatAll: Als Beispiel initialisiert das folgende Skript Ihre Variablen und führt das cmdlet Set-AzVMDiskEncryptionExtension mit dem Parameter EncryptFormatAll aus. Ressourcengruppe, VM und Schlüsselspeicher sind Voraussetzung. Ersetzen Sie MyVirtualMachineResourceGroup, MySecureVM und MySecureVault durch Ihre Werte.

$KVRGname = 'MyKeyVaultResourceGroup';
$VMRGName = 'MyVirtualMachineResourceGroup';
$vmName = 'MySecureVM';
$KeyVaultName = 'MySecureVault';
$KeyVault = Get-AzKeyVault -VaultName $KeyVaultName -ResourceGroupName $KVRGname;
$diskEncryptionKeyVaultUrl = $KeyVault.VaultUri;
$KeyVaultResourceId = $KeyVault.ResourceId;

Set-AzVMDiskEncryptionExtension -ResourceGroupName $VMRGName -VMName $vmName -DiskEncryptionKeyVaultUrl $diskEncryptionKeyVaultUrl -DiskEncryptionKeyVaultId $KeyVaultResourceId -VolumeType "data" -EncryptFormatAll

Wenn der virtuelle Computer zuvor mit "All" verschlüsselt wurde, sollte der --volume-type Parameter "All" bleiben. Bei „All“ sind sowohl Betriebssystem als auch Datenträger enthalten. Wenn die VM zuvor mit dem Volumetyp "OS" verschlüsselt wurde, ändern Sie den Parameter --volume-type in "All", sodass sowohl das Betriebssystem als auch die neue Datenfestplatte einbezogen werden. Wenn der virtuelle Computer nur mit dem Volumetyp "Daten" verschlüsselt wurde, kann er wie im folgenden Beispiel gezeigt "Daten" bleiben. Das Hinzufügen und Anfügen eines neuen Datenträgers an einen virtuellen Computer ist keine ausreichende Vorbereitung für die Verschlüsselung. Sie müssen auch den neu angefügten Datenträger auf dem virtuellen Computer formatieren und ordnungsgemäß bereitstellen, bevor Sie die Verschlüsselung aktivieren. Unter Linux müssen Sie den Datenträger in /etc/fstab mit einem persistenten Blockgerätenamen einbinden.

Im Gegensatz zur PowerShell-Syntax erfordert die CLI beim Aktivieren der Verschlüsselung keine eindeutige Sequenzversion. Die Befehlszeilenschnittstelle wird automatisch generiert und verwendet einen eigenen eindeutigen Sequenzversionswert.

• Verschlüsseln von Datenvolumes eines ausgeführten virtuellen Computers:

  az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault "MySecureVault" --volume-type "Data"
  

• Verschlüsseln von Datenvolumes eines ausgeführten virtuellen Computers mithilfe von KEK:

  az vm encryption enable --resource-group "MyVirtualMachineResourceGroup" --name "MySecureVM" --disk-encryption-keyvault  "MySecureVault" --key-encryption-key "MyKEK_URI" --key-encryption-keyvault "MySecureVaultContainingTheKEK" --volume-type "Data"
  

Wenn Sie PowerShell zum Verschlüsseln eines neuen Datenträgers für Linux verwenden, geben Sie eine neue Sequenzversion an. Die Sequenzversion muss einzigartig sein. Mit dem folgenden Skript wird eine GUID für die Sequenzversion generiert. Bevor Sie Datenträger verschlüsseln, erstellen Sie eine Momentaufnahme, und sichern Sie den virtuellen Computer mithilfe von Azure Backup. Die PowerShell-Skripts zum Verschlüsseln eines neu hinzugefügten Datenträgers geben den Parameter bereits an -skipVmBackup .

• Verschlüsseln von Datenvolumes einer ausgeführten VM: Das folgende Skript initialisiert Ihre Variablen und führt das cmdlet Set-AzVMDiskEncryptionExtension aus. Erstellen Sie die Ressourcengruppe, die VM und den Schlüsseltresor als Voraussetzungen, bevor Sie das Skript ausführen. Ersetzen Sie „MyVirtualMachineResourceGroup“, „MySecureVM“ und „MySecureVault“ durch Ihre eigenen Werte. Zulässige Werte für den Parameter „-VolumeType“ sind „All“, „OS“ und „Data“. Wenn die VM zuvor mit dem Volumetyp „OS“ oder „All“ verschlüsselt war, sollte der Parameter „-VolumeType“ in „All“ geändert werden, damit sowohl das Betriebssystem als auch der neue Datenträger einbezogen werden.

  $KVRGname = 'MyKeyVaultResourceGroup';
  $VMRGName = 'MyVirtualMachineResourceGroup';
  $vmName = 'MySecureVM';
  $KeyVaultName = 'MySecureVault';
  $KeyVault = Get-AzKeyVault -VaultName $KeyVaultName -ResourceGroupName $KVRGname;
  $diskEncryptionKeyVaultUrl = $KeyVault.VaultUri;
  $KeyVaultResourceId = $KeyVault.ResourceId;
  $sequenceVersion = [Guid]::NewGuid();
  
  Set-AzVMDiskEncryptionExtension -ResourceGroupName $VMRGName -VMName $vmName -DiskEncryptionKeyVaultUrl $diskEncryptionKeyVaultUrl -DiskEncryptionKeyVaultId $KeyVaultResourceId -VolumeType 'data' –SequenceVersion $sequenceVersion -skipVmBackup;
  

• Verschlüsseln von Datenvolumes eines ausgeführten virtuellen Computers mithilfe von KEK: Zulässige Werte für den -VolumeType Parameter sind All, OSund Data. Wenn die VM zuvor mit einem Volumentyp von OS oder All verschlüsselt wurde, ändern Sie den Parameter -VolumeType in All, damit sowohl das Betriebssystem als auch der neue Datenträger für Daten enthalten sind.

   $KVRGname = 'MyKeyVaultResourceGroup';
   $VMRGName = 'MyVirtualMachineResourceGroup';
   $vmName = 'MyExtraSecureVM';
   $KeyVaultName = 'MySecureVault';
   $keyEncryptionKeyName = 'MyKeyEncryptionKey';
   $KeyVault = Get-AzKeyVault -VaultName $KeyVaultName -ResourceGroupName $KVRGname;
   $diskEncryptionKeyVaultUrl = $KeyVault.VaultUri;
   $KeyVaultResourceId = $KeyVault.ResourceId;
   $keyEncryptionKeyUrl = (Get-AzKeyVaultKey -VaultName $KeyVaultName -Name $keyEncryptionKeyName).Key.kid;
   $sequenceVersion = [Guid]::NewGuid();
  
   Set-AzVMDiskEncryptionExtension -ResourceGroupName $VMRGName -VMName $vmName -DiskEncryptionKeyVaultUrl $diskEncryptionKeyVaultUrl -DiskEncryptionKeyVaultId $KeyVaultResourceId -KeyEncryptionKeyUrl $keyEncryptionKeyUrl -KeyEncryptionKeyVaultId $KeyVaultResourceId -VolumeType 'data' –SequenceVersion $sequenceVersion -skipVmBackup;
  

  Hinweis

  Die Syntax für den Wert des Parameters disk-encryption-keyvault ist die vollständige Bezeichnerzeichenfolge: /subscriptions/[subscription-id-guid]/resourceGroups/[resource-group-name]/providers/Microsoft.KeyVault/vaults/[keyvault-name]
  Die Syntax für den Wert des Parameters key-encryption-key ist der vollständige URI für den KEK wie in: https://[keyvault-name].vault.azure.net/keys/[kekname]/[kek-unique-id]