Använd Azure Portal för att aktivera kryptering på serversidan med kundhanterade nycklar för hanterade diskar

För tillfället har kundhanterade nycklar följande begränsningar:

• Om den här funktionen är aktiverad för en disk med inkrementella ögonblicksbilder kan den inte inaktiveras på den disken eller dess ögonblicksbilder. För att undvika detta kopierar du alla data till en helt annan hanterad disk som inte använder kundhanterade nycklar. Du kan göra det med antingen Azure CLI eller Azure PowerShell-modulen.
• En disk och alla dess associerade inkrementella ögonblicksbilder måste ha samma diskkrypteringsuppsättning.
• Endast programvara och HSM RSA-nycklar i storlekarna 2 048-bitars, 3 072- och 4 096-bitars stöds, inga andra nycklar eller storlekar.
  • HSM-nycklar kräver premiumnivån för Azure Key Vaults.
• Endast för Ultra Disks- och Premium SSD v2-diskar:
  • (Förhandsversion) Användartilldelade hanterade identiteter är tillgängliga för Ultra Disks- och Premium SSD v2-diskar som krypterats med kundhanterade nycklar.
  • (Förhandsversion) Du kan kryptera Ultra Disks- och Premium SSD v2-diskar med kundhanterade nycklar med hjälp av Azure Key Vaults som lagras i en annan Microsoft Entra-ID-klientorganisation.
• De flesta resurser som är relaterade till dina kundhanterade nycklar (diskkrypteringsuppsättningar, virtuella datorer, diskar och ögonblicksbilder) måste finnas i samma prenumeration och region.
  • Azure Key Vaults kan användas från en annan prenumeration men måste finnas i samma region som diskkrypteringsuppsättningen. Som förhandsversion kan du använda Azure Key Vaults från olika Microsoft Entra-klienter.
• Diskar som krypterats med kundhanterade nycklar kan bara flyttas till en annan resursgrupp om den virtuella dator som de är anslutna till frigörs.
• Diskar, ögonblicksbilder och bilder som krypterats med kundhanterade nycklar kan inte flyttas mellan prenumerationer.
• Hanterade diskar som för närvarande eller tidigare krypterats med Azure Disk Encryption kan inte krypteras med hjälp av kundhanterade nycklar.
• Det går bara att skapa upp till 5 000 diskkrypteringsuppsättningar per region per prenumeration.
• Information om hur du använder kundhanterade nycklar med delade bildgallerier finns i Förhandsversion: Använda kundhanterade nycklar för kryptering av bilder.

Följande avsnitt beskriver hur du aktiverar och använder kundhanterade nycklar för hanterade diskar:

När du konfigurerar kundhanterade nycklar för diskarna måste du skapa resurser i en viss ordning, om du gör det för första gången. Först måste du skapa och konfigurera ett Azure Key Vault.

Konfigurera ditt Azure Key Vault

1. Logga in på Azure-portalen.

2. Sök efter och välj Nyckelvalv.

   

   Viktigt!

   Diskkrypteringsuppsättningen, den virtuella datorn, diskarna och ögonblicksbilderna måste alla finnas i samma region och prenumeration för att distributionen ska lyckas. Azure Key Vaults kan användas från en annan prenumeration men måste finnas i samma region och klientorganisation som diskkrypteringsuppsättningen.

3. Välj +Skapa för att skapa ett nytt Nyckelvalv.

4. Skapa en ny resursgrupp.

5. Ange ett nyckelvalvnamn, välj en region och välj en prisnivå.

   Kommentar

   När du skapar Key Vault-instansen måste du aktivera skydd mot mjuk borttagning och rensning. Mjuk borttagning säkerställer att Key Vault innehåller en borttagen nyckel för en viss kvarhållningsperiod (standardvärdet 90 dagar). Rensningsskydd säkerställer att en borttagen nyckel inte kan tas bort permanent förrän kvarhållningsperioden förfaller. De här inställningarna skyddar dig från att förlora data på grund av oavsiktlig borttagning. De här inställningarna är obligatoriska när du använder ett Key Vault för att kryptera hanterade diskar.

6. Välj Granska + skapa, verifiera dina val och välj sedan Skapa.

   

7. När nyckelvalvet har distribuerats klart väljer du det.

8. Välj Nycklar under Objekt.

9. Välj Generera/Importera.

   

10. Låt både nyckeltypen vara inställd på RSA - och RSA-nyckelstorlek inställd på 2048.

11. Fyll i de återstående valen som du vill och välj sedan Skapa.

    

Lägga till en Azure RBAC-roll

Nu när du har skapat Azure-nyckelvalvet och en nyckel måste du lägga till en Azure RBAC-roll så att du kan använda ditt Azure-nyckelvalv med diskkrypteringsuppsättningen.

1. Välj Åtkomstkontroll (IAM) och lägg till en roll.
2. Lägg till rollerna Key Vault-administratör, ägare eller deltagare .

Konfigurera diskkrypteringsuppsättningen

1. Sök efter diskkrypteringsuppsättningar och välj det.

2. I fönstret Diskkrypteringsuppsättningar väljer du +Skapa.

3. Välj din resursgrupp, namnge krypteringsuppsättningen och välj samma region som ditt nyckelvalv.

4. Som Krypteringstyp väljer du Kryptering i vila med en kundhanterad nyckel.

   Kommentar

   När du har skapat en diskkrypteringsuppsättning med en viss krypteringstyp kan den inte ändras. Om du vill använda en annan krypteringstyp måste du skapa en ny diskkrypteringsuppsättning.

5. Kontrollera att Välj Azure-nyckelvalv och nyckel är markerade.

6. Välj nyckelvalvet och nyckeln som du skapade tidigare och versionen.

7. Om du vill aktivera automatisk rotation av kundhanterade nycklar väljer du Automatisk nyckelrotation.

8. Välj Granska och skapa och sedan Skapa.

   

9. Gå till diskkrypteringsuppsättningen när den har distribuerats och välj aviseringen som visas.

   

10. Detta ger nyckelvalvet behörighet till diskkrypteringsuppsättningen.

    

Distribuera en virtuell dator

Nu när du har skapat och konfigurerat nyckelvalvet och diskkrypteringsuppsättningen kan du distribuera en virtuell dator med hjälp av krypteringen. Distributionsprocessen för den virtuella datorn liknar standarddistributionsprocessen, de enda skillnaderna är att du behöver distribuera den virtuella datorn i samma region som dina andra resurser och du väljer att använda en kundhanterad nyckel.

1. Sök efter virtuella datorer och välj + Skapa för att skapa en virtuell dator.

2. I fönstret Grundläggande väljer du samma region som diskkrypteringsuppsättningen och Azure Key Vault.

3. Fyll i de andra värdena i fönstret Grundläggande som du vill.

   

4. I fönstret Diskar för Nyckelhantering väljer du diskkrypteringsuppsättningen, nyckelvalvet och nyckeln i listrutan.

5. Gör de återstående valen som du vill.

   

1. Navigera till en virtuell dator som finns i samma region som en av diskkrypteringsuppsättningarna.

2. Öppna den virtuella datorn och välj Stoppa.

3. När den virtuella datorn har stoppats väljer du Diskar och sedan den disk som du vill kryptera.

4. Välj Kryptering och under Nyckelhantering väljer du ditt nyckelvalv och nyckel i listrutan under Kundhanterad nyckel.

5. Välj Spara.

6. Upprepa den här processen för alla andra diskar som är anslutna till den virtuella dator som du vill kryptera.

7. När diskarna har växlat över till kundhanterade nycklar startar du den virtuella datorn om det inte finns några andra anslutna diskar som du vill kryptera.

Aktivera automatisk nyckelrotation på en befintlig diskkrypteringsuppsättning

1. Navigera till den diskkrypteringsuppsättning som du vill aktivera automatisk nyckelrotation på.

2. Under Inställningar väljer du Nyckel.

3. Välj Automatisk nyckelrotation och välj Spara.