A conformidade exige a criptografia BitLocker dos discos do sistema operacional e de dados para todos os hosts de sessão do Azure Virtual Desktop. As chaves de criptografia devem ser armazenadas no Azure Key Vault com proteção contra exclusão permanente (purge protection). Você precisa implementar isso para um pool de hosts existente sem reimplantar as VMs. O que você deve fazer?

A opção correta é habilitar o Azure Disk Encryption (ADE) em cada VM. O ADE utiliza o BitLocker para VMs Windows e pode ser ativado em VMs existentes sem reimplantá-las. Ele integra-se ao Azure Key Vault para armazenar as chaves de criptografia, e o Key Vault deve ter soft-delete e purge protection habilitados para atender aos requisitos de conformidade. Criar um Disk Encryption Set não é a solução, pois ele é usado para criptografia em repouso de discos gerenciados com chaves gerenciadas pelo cliente, mas não ativa o BitLocker dentro da VM. Contar com a criptografia do lado do servidor com chaves gerenciadas pela plataforma não atende ao requisito de BitLocker dentro do convidado nem ao armazenamento de chaves no Key Vault com purge protection. Configurar o Windows LAPS é para gerenciamento de senhas de administradores locais, não para criptografia de disco.