Creare una versione dell'immagine crittografata con chiavi gestite dal cliente
Si applica a: ✔️ macchine virtuali Linux ✔️ macchine virtuali Windows ✔️ set di scalabilità flessibili ✔️ set di scalabilità uniformi
Le immagini in una raccolta di calcolo di Azure (in precedenza note come Raccolta immagini condivise) vengono archiviate come snapshot. Queste immagini vengono crittografate automaticamente tramite la crittografia AES lato server a 256 bit. Anche la crittografia lato server è conforme a FIPS 140-2. Per altre informazioni sui moduli di crittografia sottostanti i dischi gestiti di Azure, vedere API di crittografia: Next Generation.
È possibile basarsi su chiavi gestite dalla piattaforma per la crittografia delle immagini o usare chiavi personalizzate. È anche possibile usare entrambe queste funzionalità insieme per la crittografia doppia. Se si sceglie di gestire la crittografia con le proprie chiavi, è possibile specificare una chiave gestita dal cliente da usare per crittografare e decrittografare tutti i dischi nelle immagini.
La crittografia lato server tramite chiavi gestite dal cliente usa Azure Key Vault. È possibile importare le chiavi RSA nell'insieme di credenziali delle chiavi o generare nuove chiavi RSA in Azure Key Vault.
Prerequisiti
Questo articolo richiede che sia già disponibile un set di crittografia del disco in ogni area in cui si vuole replicare l'immagine:
Per usare solo una chiave gestita dal cliente, vedere gli articoli sull'abilitazione delle chiavi gestite dal cliente con la crittografia lato server tramite il portale di Azure o PowerShell.
Per usare chiavi gestite dalla piattaforma e gestite dal cliente (per la doppia crittografia), vedere gli articoli sull'abilitazione della doppia crittografia dei dati inattivi tramite il portale di Azure o PowerShell.
Importante
È necessario usare il collegamento https://aka.ms/diskencryptionupdates per accedere alla portale di Azure. La doppia crittografia dei dati inattivi non è attualmente visibile nel portale di Azure pubblico, a meno che non si usi tale collegamento.
Limiti
Quando si usano chiavi gestite dal cliente per crittografare le immagini in una Raccolta di calcolo di Azure, si applicano queste limitazioni:
I set di chiavi di crittografia devono trovarsi nella stessa sottoscrizione dell'immagine.
I set di chiavi di crittografia sono risorse a livello di area, quindi ogni area richiede un set di chiavi di crittografia diverso.
Dopo aver usato le proprie chiavi per crittografare un'immagine, non è possibile tornare all'uso delle chiavi gestite dalla piattaforma per crittografare tali immagini.
L'origine della versione dell'immagine ACG crittografata con CMK non può essere usata come origine per creare un'altra versione dell'immagine ACG.
Alcune delle funzionalità, ad esempio la replica di un'immagine SSE+CMK, la creazione di un'immagine dal disco crittografato SSE+CMK e così via, non sono supportate tramite il portale.
Creazione dell'immagine
Per specificare un set di crittografia del disco per una versione dell'immagine, usare New-AzGalleryImageVersion con il -TargetRegion parametro :
$sourceId = <ID of the image version source>
$osDiskImageEncryption = @{DiskEncryptionSetId='subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myRG/providers/Microsoft.Compute/diskEncryptionSets/myDESet'}
$dataDiskImageEncryption1 = @{DiskEncryptionSetId='subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myRG/providers/Microsoft.Compute/diskEncryptionSets/myDESet1';Lun=1}
$dataDiskImageEncryption2 = @{DiskEncryptionSetId='subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myRG/providers/Microsoft.Compute/diskEncryptionSets/myDESet2';Lun=2}
$dataDiskImageEncryptions = @($dataDiskImageEncryption1,$dataDiskImageEncryption2)
$encryption1 = @{OSDiskImage=$osDiskImageEncryption;DataDiskImages=$dataDiskImageEncryptions}
$region1 = @{Name='West US';ReplicaCount=1;StorageAccountType=Standard_LRS;Encryption=$encryption1}
$eastUS2osDiskImageEncryption = @{DiskEncryptionSetId='subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myRG/providers/Microsoft.Compute/diskEncryptionSets/myEastUS2DESet'}
$eastUS2dataDiskImageEncryption1 = @{DiskEncryptionSetId='subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myRG/providers/Microsoft.Compute/diskEncryptionSets/myEastUS2DESet1';Lun=1}
$eastUS2dataDiskImageEncryption2 = @{DiskEncryptionSetId='subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myRG/providers/Microsoft.Compute/diskEncryptionSets/myEastUS2DESet2';Lun=2}
$eastUS2DataDiskImageEncryptions = @($eastUS2dataDiskImageEncryption1,$eastUS2dataDiskImageEncryption2)
$encryption2 = @{OSDiskImage=$eastUS2osDiskImageEncryption;DataDiskImages=$eastUS2DataDiskImageEncryptions}
$region2 = @{Name='East US 2';ReplicaCount=1;StorageAccountType=Standard_LRS;Encryption=$encryption2}
$targetRegion = @($region1, $region2)
Creare l'immagine
New-AzGalleryImageVersion `
-ResourceGroupName $rgname `
-GalleryName $galleryName `
-GalleryImageDefinitionName $imageDefinitionName `
-Name $versionName -Location $location `
-SourceImageId $sourceId `
-ReplicaCount 2 `
-StorageAccountType Standard_LRS `
-PublishingProfileEndOfLifeDate '2020-12-01' `
-TargetRegion $targetRegion
Creare la macchina virtuale
È possibile creare una macchina virtuale (VM) da una raccolta di calcolo di Azure e usare chiavi gestite dal cliente per crittografare i dischi. La sintassi equivale alla creazione di una macchina virtuale generalizzata o specializzata da un'immagine. Usare il set di parametri estesi e aggiungere Set-AzVMOSDisk -Name $($vmName +"_OSDisk") -DiskEncryptionSetId $diskEncryptionSet.Id -CreateOption FromImage alla configurazione della macchina virtuale.
Per i dischi dati, aggiungere il -DiskEncryptionSetId $setID parametro quando si usa Add-AzVMDataDisk.
Passaggi successivi
Vedere altre informazioni sulla crittografia dei dischi sul lato server.
Per informazioni su come fornire informazioni sul piano di acquisto, vedere Fornire informazioni sul piano di acquisto di Azure Marketplace durante la creazione di immagini.