適用於 Linux VM 的 Azure 磁碟加密

適用於：✔️ Linux VM ✔️ 彈性擴展集

Azure 磁碟加密可協助您保護資料安全，以符合您組織的安全性和合規性承諾。 其會使用 Linux 的 DM-Crypt 功能，為 Azure 虛擬機器 (VM) 的作業系統和資料磁碟提供磁碟區加密，並與 Azure Key Vault 整合，協助您控制及管理磁碟加密金鑰和祕密。

Azure 磁碟加密具有區域復原性，與虛擬機器相同。 如需詳細資料，請參閱支援可用性區域的 Azure 服務。

若使用適用於雲端的 Microsoft Defender，則會在 VM 未加密時收到警示。 這些警示會顯示為高嚴重性，建議的處置方式是加密這些 VM。

透過使用 Azure CLI 快速入門來建立並加密 Linux VM，或使用 Azure PowerShell 快速入門來建立並加密 Linux VM，您可以在幾分鐘內了解適用於 Linux 的 Azure 磁碟加密的基本概念。

支援的 VM 和作業系統

支援的 VM

Linux VM 有各種大小。 第 1 代和第 2 代 VM 支援 Azure 磁碟加密。 Azure 磁碟加密也適用於含有進階儲存體的 VM。

請參閱無本機暫存磁碟的 Azure VM 大小。

基本、A 系列 VM，或在不符合下列最低記憶體需求的虛擬機器上，也無法使用 Azure 磁碟加密：

記憶體需求

在 Linux 虛擬機器上完成 OS 磁碟加密流程後，VM 就可以設定以較少的記憶體執行。

如需其他例外狀況，請參閱 Azure 磁碟加密：限制。

受支援的作業系統

Azure 加密 Linux 發行版本的子集支援 Azure 磁碟加密，其本身是所有 Linux 伺服器可能發行版本的子集。

未經過 Azure 背書的 Linux 伺服器發行版本不支援 Azure 磁碟加密；在經過背書的發行版本中，只有以下發行版本支援 Azure 磁碟加密：

* 適用於 2023 年 5 月以上的映像版本。

其他 VM 需求

Azure 磁碟加密需要系統中存在 dm-crypt 和 vfat 模組。 從預設映像中移除或停用 vfat，會讓系統無法讀取金鑰磁碟區，也無法在後續重新啟動時，取得解除鎖定磁碟所需的金鑰。 從系統移除 vfat 模組的系統強化步驟，或是強制擴充資料磁碟上的 OS 掛接點/資料夾，與 Azure 磁碟加密並不相容。

在啟用加密之前，要加密的資料磁碟必須在 /etc/fstab 中正確列出。 建立項目時，請使用「nofail」選項，並選擇持續性封鎖裝置名稱 (因為「/dev/sdX」格式的裝置名稱在重新啟動時，不會與相同磁碟相關聯，尤其是加密後；如需關於此行為的詳細資料，請參閱：針對 Linux VM 裝置名稱變更進行疑難排解)。

確定 /etc/fstab 設定已正確設定而能夠掛接。 若要設定這些設定，請執行 mount -a 命令，或重新啟動 VM 再以該方式觸發重新掛接。 完成之後，檢查 lsblk 命令的輸出以確認所需的磁碟機仍有掛接。

• 如果 /etc/fstab 檔案還未正確掛接磁碟機就啟用加密，Azure 磁碟加密將無法正確地掛接磁碟機。
• Azure 磁碟加密程序會在加密程序進行期間，將掛接資訊從 /etc/fstab 移出，並移入自己的設定檔中。 在資料磁碟機加密完成之後，若發現 /etc/fstab 中有項目遺失，請不要擔心。
• 啟動加密之前，請務必停止可能會寫入裝載資料磁碟的所有服務和程序，並將其停用，使其不會在重新開機後自動重新啟動。 這些可能會使分割區上的檔案保持開啟狀態，以防加密程序重新裝載這些檔案，造成加密失敗。
• 重新開機後，Azure 磁碟加密程序需要一點時間才能掛接新加密的磁碟。 這些磁碟無法在重新開機後立即可供使用。 此程序需要時間來將加密的磁碟機啟動、解除鎖定再加以掛接，然後這些磁碟機才可供其他程序來存取。 視系統特性而定，在重新開機後，此程序可能需要進行超過一分鐘。

以下是用於裝載資料磁碟和建立必要 /etc/fstab 項目的命令範例。

sudo UUID0="$(blkid -s UUID -o value /dev/sda1)"
sudo UUID1="$(blkid -s UUID -o value /dev/sda2)"
sudo mkdir /data0
sudo mkdir /data1
sudo echo "UUID=$UUID0 /data0 ext4 defaults,nofail 0 0" >>/etc/fstab
sudo echo "UUID=$UUID1 /data1 ext4 defaults,nofail 0 0" >>/etc/fstab
sudo mount -a

網路需求

若要啟用 Azure 磁碟加密功能，Linux VM 必須符合下列網路端點組態需求：

• Linux VM 必須能連線至託管 Azure 擴充存放庫的 Azure 儲存體端點，和託管 VHD 檔案的 Azure 儲存體帳戶。
• 如果您的安全性原則限制從 Azure VM 到網際網路的存取，您可以解析前述的 URI，並設定特定規則以允許輸出連線到 IP。 如需詳細資訊，請參閱防火牆後方的 Azure Key Vault。

加密金鑰儲存體需求

Azure 磁碟加密需要 Azure Key Vault 來控管磁碟加密金鑰及祕密。 您的金鑰保存庫必須和 VM 位於相同的 Azure 區域和訂閱中。

如需詳細資料，請參閱建立及設定適用於 Azure 磁碟加密的金鑰保存庫。

詞彙

下表定義 Azure 磁碟加密文件中所使用的一些常見詞彙：

下一步

• 快速入門 - 使用 Azure CLI 來建立和加密 Linux VM
• 快速入門 - 使用 Azure PowerShell 建立和加密 Linux 虛擬機器
• Linux VM 上的 Azure 磁碟加密案例 \(部分機器翻譯\)
• Azure 磁碟加密的必要 CLI 指令碼
• Azure 磁碟加密的必要 PowerShell 指令碼
• 建立及設定適用於 Azure 磁碟加密的金鑰保存庫