مشاركة عبر

إنشاء إصدار صورة مشفر باستخدام مفاتيح يديرها العميل

  • مقالة

ينطبق على: ✔️ أجهزة ظاهرية بنظام التشغيل Linux ✔️ أجهزة ظاهرية بنظام التشغيل Windows ✔️ مجموعات التوسعة المرنة ✔️ مجموعات التوسعة الموحدة

يتم تخزين الصور في معرض حوسبة Azure (المعروف سابقا باسم معرض الصور المشتركة) كلقطات. يتم تشفير هذه الصور تلقائيا من خلال تشفير AES من جانب الخادم 256 بت. يتوافق التشفير من جانب الخادم أيضاً مع FIPS 140-2. لمزيد من المعلومات حول وحدات التشفير الكامنة في أقراص Azure المُدارة، راجع واجهة برمجة تطبيقات التشفير: الجيل التالي.

يمكنك الاعتماد على المفاتيح المُدارة بواسطة النظام الأساسي لتشفير صورك، أو استخدام المفاتيح الخاصة بك. يمكنك أيضا استخدام هاتين الميزتين معا للتشفير المضاعف. إذا اخترت إدارة التشفير باستخدام المفاتيح الخاصة بك، فيمكنك تحديد مفتاح يديره العميل لاستخدامه في تشفير وفك تشفير جميع الأقراص الموجودة في صورك.

يستخدم التشفير من جانب الخادم من خلال المفاتيح المُدارة بواسطة العميل Azure Key Vault. يمكنك إما استيراد مفاتيح RSA إلى المخزن الرئيسي أو إنشاء مفاتيح RSA جديدة في Azure Key Vault.

المتطلبات الأساسية

تتطلب هذه المقالة أن يكون لديك بالفعل مجموعة تشفير قرص في كل منطقة تريد نسخ صورتك فيها نسخا متماثلا:

  • لاستخدام مفتاح مُدار بواسطة العميل فقط، راجع المقالات المتعلقة بتمكين المفاتيح المُدارة بواسطة العميل باستخدام التشفير من جانب الخادم باستخدام مدخل Azure أو PowerShell.

  • لاستخدام كل من المفاتيح المُدارة بواسطة النظام الأساسي والمفاتيح المُدارة بواسطة العميل (للتشفير المزدوج)، راجع المقالات حول تمكين التشفير المزدوج في حال عدم التشغيل باستخدام مدخل Azure أو PowerShell.

    هام

    يجب عليك استخدام الارتباط https://aka.ms/diskencryptionupdates للوصول إلى مدخل Azure. التشفير المزدوج غير مرئي حالياً في مدخل Azure العام إلا إذا كنت تستخدم هذا الارتباط.

القيود

عندما تستخدم مفاتيح يديرها العميل لتشفير الصور في Azure Compute Gallery، تنطبق هذه القيود:

  • يجب أن تكون مجموعات مفاتيح التشفير في نفس الاشتراك مثل صورتك.

  • مجموعات مفاتيح التشفير هي موارد إقليمية، لذلك تتطلب كل منطقة مجموعة مفاتيح تشفير مختلفة.

  • بعد استخدام المفاتيح الخاصة بك لتشفير صورة، لا يمكنك العودة إلى استخدام مفاتيح مدارة بواسطة النظام الأساسي لتشفير هذه الصور.

  • لا يمكن استخدام مصدر إصدار صورة ACG المشفر باستخدام CMK كمصدر لإنشاء إصدار صورة ACG آخر.

  • بعض الميزات مثل النسخ المتماثل لصورة SSE+CMK، وإنشاء صورة من قرص SSE+CMK المشفر وما إلى ذلك غير مدعومة من خلال المدخل.

إنشاء الصورة

لتحديد تعيين تشفير قرص لإصدار صورة، استخدم New-AzGalleryImageVersion مع المعلمة -TargetRegion:

$sourceId = <ID of the image version source>
$osDiskImageEncryption = @{DiskEncryptionSetId='subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myRG/providers/Microsoft.Compute/diskEncryptionSets/myDESet'}
$dataDiskImageEncryption1 = @{DiskEncryptionSetId='subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myRG/providers/Microsoft.Compute/diskEncryptionSets/myDESet1';Lun=1}
$dataDiskImageEncryption2 = @{DiskEncryptionSetId='subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myRG/providers/Microsoft.Compute/diskEncryptionSets/myDESet2';Lun=2}
$dataDiskImageEncryptions = @($dataDiskImageEncryption1,$dataDiskImageEncryption2)
$encryption1 = @{OSDiskImage=$osDiskImageEncryption;DataDiskImages=$dataDiskImageEncryptions}
$region1 = @{Name='West US';ReplicaCount=1;StorageAccountType=Standard_LRS;Encryption=$encryption1}
$eastUS2osDiskImageEncryption = @{DiskEncryptionSetId='subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myRG/providers/Microsoft.Compute/diskEncryptionSets/myEastUS2DESet'}
$eastUS2dataDiskImageEncryption1 = @{DiskEncryptionSetId='subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myRG/providers/Microsoft.Compute/diskEncryptionSets/myEastUS2DESet1';Lun=1}
$eastUS2dataDiskImageEncryption2 = @{DiskEncryptionSetId='subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myRG/providers/Microsoft.Compute/diskEncryptionSets/myEastUS2DESet2';Lun=2}
$eastUS2DataDiskImageEncryptions = @($eastUS2dataDiskImageEncryption1,$eastUS2dataDiskImageEncryption2)
$encryption2 = @{OSDiskImage=$eastUS2osDiskImageEncryption;DataDiskImages=$eastUS2DataDiskImageEncryptions}
$region2 = @{Name='East US 2';ReplicaCount=1;StorageAccountType=Standard_LRS;Encryption=$encryption2}
$targetRegion = @($region1, $region2)

إنشاء الصورة

New-AzGalleryImageVersion `
   -ResourceGroupName $rgname `
   -GalleryName $galleryName `
   -GalleryImageDefinitionName $imageDefinitionName `
   -Name $versionName -Location $location `
   -SourceImageId $sourceId `
   -ReplicaCount 2 `
   -StorageAccountType Standard_LRS `
   -PublishingProfileEndOfLifeDate '2020-12-01' `
   -TargetRegion $targetRegion

إنشاء الجهاز الظاهري

يمكنك إنشاء جهاز ظاهري (VM) من Azure Compute Gallery واستخدام المفاتيح التي يديرها العميل لتشفير الأقراص. بناء الجملة هو نفسه إنشاء جهاز ظاهري معمم أو متخصص من صورة. استخدم مجموعة المعلمات الموسعة وأضف Set-AzVMOSDisk -Name $($vmName +"_OSDisk") -DiskEncryptionSetId $diskEncryptionSet.Id -CreateOption FromImage إلى تكوين الجهاز الظاهري.

بالنسبة لأقراص البيانات، أضف المعلمة -DiskEncryptionSetId $setID عند استخدام Add-AzVMDataDisk.

الخطوات التالية

تعرف على المزيد حول تشفير القرص من جانب الخادم.

للحصول على معلومات حول كيفية توفير معلومات خطة الشراء، راجع توفير معلومات خطة الشراء لـAzure Marketplace عند إنشاء الصور.