Müşteri tarafından yönetilen anahtarlarla şifrelenmiş görüntü sürümü oluşturma

Görüntü sürümü için bir disk şifreleme kümesi belirtmek için New-AzGalleryImageVersion parametresini -TargetRegion kullanın:

$sourceId = <ID of the image version source>
$osDiskImageEncryption = @{DiskEncryptionSetId='subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myRG/providers/Microsoft.Compute/diskEncryptionSets/myDESet'}
$dataDiskImageEncryption1 = @{DiskEncryptionSetId='subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myRG/providers/Microsoft.Compute/diskEncryptionSets/myDESet1';Lun=1}
$dataDiskImageEncryption2 = @{DiskEncryptionSetId='subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myRG/providers/Microsoft.Compute/diskEncryptionSets/myDESet2';Lun=2}
$dataDiskImageEncryptions = @($dataDiskImageEncryption1,$dataDiskImageEncryption2)
$encryption1 = @{OSDiskImage=$osDiskImageEncryption;DataDiskImages=$dataDiskImageEncryptions}
$region1 = @{Name='West US';ReplicaCount=1;StorageAccountType=Standard_LRS;Encryption=$encryption1}
$eastUS2osDiskImageEncryption = @{DiskEncryptionSetId='subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myRG/providers/Microsoft.Compute/diskEncryptionSets/myEastUS2DESet'}
$eastUS2dataDiskImageEncryption1 = @{DiskEncryptionSetId='subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myRG/providers/Microsoft.Compute/diskEncryptionSets/myEastUS2DESet1';Lun=1}
$eastUS2dataDiskImageEncryption2 = @{DiskEncryptionSetId='subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myRG/providers/Microsoft.Compute/diskEncryptionSets/myEastUS2DESet2';Lun=2}
$eastUS2DataDiskImageEncryptions = @($eastUS2dataDiskImageEncryption1,$eastUS2dataDiskImageEncryption2)
$encryption2 = @{OSDiskImage=$eastUS2osDiskImageEncryption;DataDiskImages=$eastUS2DataDiskImageEncryptions}
$region2 = @{Name='East US 2';ReplicaCount=1;StorageAccountType=Standard_LRS;Encryption=$encryption2}
$targetRegion = @($region1, $region2)

Görüntüyü oluşturma

New-AzGalleryImageVersion `
   -ResourceGroupName $rgname `
   -GalleryName $galleryName `
   -GalleryImageDefinitionName $imageDefinitionName `
   -Name $versionName -Location $location `
   -SourceImageId $sourceId `
   -ReplicaCount 2 `
   -StorageAccountType Standard_LRS `
   -PublishingProfileEndOfLifeDate '2020-12-01' `
   -TargetRegion $targetRegion

Sanal makineyi oluşturma

Azure İşlem Galerisi'nden bir sanal makine (VM) oluşturabilir ve diskleri şifrelemek için müşteri tarafından yönetilen anahtarları kullanabilirsiniz. Söz dizimi, görüntüden genelleştirilmiş veya özelleştirilmiş bir VM oluşturmakla aynıdır. Genişletilmiş parametre kümesini kullanın ve VM yapılandırmasına ekleyin Set-AzVMOSDisk -Name $($vmName +"_OSDisk") -DiskEncryptionSetId $diskEncryptionSet.Id -CreateOption FromImage .

Veri diskleri için Add-AzVMDataDisk kullanırken parametresini ekleyin-DiskEncryptionSetId $setID.

Görüntü sürümü için bir disk şifreleme kümesi belirtmek için az image gallery create-image-version parametresini --target-region-encryption kullanın. biçimi --target-region-encryption , işletim sistemini ve veri disklerini şifrelemek için virgülle ayrılmış bir anahtar listesidir. Şöyle görünmelidir: <encryption set for the OS disk>,<Lun number of the data disk>,<encryption set for the data disk>,<Lun number for the second data disk>,<encryption set for the second data disk>.

İşletim sistemi diskinin kaynağı yönetilen disk veya VM ise, görüntü sürümünün kaynağını belirtmek için kullanın --managed-image . Bu örnekte kaynak, LUN 0'da işletim sistemi diskini ve veri diskini içeren yönetilen bir görüntüdür. İşletim sistemi diski DiskEncryptionSet1 ile şifrelenir ve veri diski DiskEncryptionSet2 ile şifrelenir.

az sig image-version create \
   -g MyResourceGroup \
   --gallery-image-version 1.0.0 \
   --location westus \
   --target-regions westus=2=standard_lrs eastus2 \
   --target-region-encryption WestUSDiskEncryptionSet1,0,WestUSDiskEncryptionSet2 EastUS2DiskEncryptionSet1,0,EastUS2DiskEncryptionSet2 \
   --gallery-name MyGallery \
   --gallery-image-definition MyImage \
   --managed-image "/subscriptions/<subscription ID>/resourceGroups/myResourceGroup/providers/Microsoft.Compute/images/myImage"

İşletim sistemi diskinin kaynağı bir anlık görüntüyse, işletim sistemi diskini belirtmek için kullanın --os-snapshot . Görüntü sürümünün parçası olması gereken diğer veri diski anlık görüntülerini ekleyin. --data-snapshot-luns LUN'yi belirtmek için kullanın ve anlık görüntüleri belirtmek için kullanın--data-snapshots.

Bu örnekte kaynaklar disk anlık görüntüleridir. LUN 0'da işletim sistemi diski ve veri diski vardır. İşletim sistemi diski DiskEncryptionSet1 ile şifrelenir ve veri diski DiskEncryptionSet2 ile şifrelenir.

az sig image-version create \
   -g MyResourceGroup \
   --gallery-image-version 1.0.0 \
   --location westus\
   --target-regions westus=2=standard_lrs eastus\
   --target-region-encryption WestUSDiskEncryptionSet1,0,WestUSDiskEncryptionSet2 EastUS2DiskEncryptionSet1,0,EastUS2DiskEncryptionSet2 \
   --os-snapshot "/subscriptions/<subscription ID>/resourceGroups/myResourceGroup/providers/Microsoft.Compute/snapshots/myOSSnapshot" \
   --data-snapshot-luns 0 \
   --data-snapshots "/subscriptions/<subscription ID>/resourceGroups/myResourceGroup/providers/Microsoft.Compute/snapshots/myDDSnapshot" \
   --gallery-name MyGallery \
   --gallery-image-definition MyImage 

Sanal makineyi oluşturma

Azure İşlem Galerisi'nden vm oluşturabilir ve diskleri şifrelemek için müşteri tarafından yönetilen anahtarları kullanabilirsiniz. Söz dizimi, parametresinin eklenmesiyle --os-disk-encryption-set genelleştirilmiş veya özelleştirilmiş bir VM oluşturmakla aynıdır. Veri diskleri için, veri diskleri için disk şifreleme kümelerinin boşlukla ayrılmış bir listesiyle ekleyin --data-disk-encryption-sets .

Görüntü sürümünüzü portalda oluşturduğunuzda, depolama şifreleme kümelerinizi uygulamak için Şifreleme sekmesini kullanabilirsiniz.

1. Görüntü sürümü oluştur sayfasında Şifreleme sekmesini seçin.
2. Şifreleme türü bölümünde Müşteri tarafından yönetilen anahtarla bekleyen şifreleme'yi veya platform tarafından yönetilen ve müşteri tarafından yönetilen anahtarlarla çift şifreleme'yi seçin.
3. Görüntüdeki her disk için Disk şifreleme kümesi açılan listesinden bir şifreleme kümesi seçin.

Sanal makineyi oluşturma

Bir görüntü sürümünden VM oluşturabilir ve diskleri şifrelemek için müşteri tarafından yönetilen anahtarları kullanabilirsiniz. Portalda VM oluşturduğunuzda, Diskler sekmesinde Müşteri tarafından yönetilen anahtarlarla bekleyen şifreleme'yi veya Şifreleme türü için platform tarafından yönetilen ve müşteri tarafından yönetilen anahtarlarla çift şifreleme'yi seçin. Ardından açılan listeden şifreleme kümesini seçebilirsiniz.