Sua assinatura contém uma VM chamada VM1 e um key vault chamado KV1. Você deve configurar a criptografia para a VM1 de modo que a chave de criptografia seja armazenada e usada a partir do KV1, a criptografia permaneça intacta se a VM1 for baixada do Azure, e tanto o disco do sistema operacional quanto os discos de dados sejam criptografados. Qual método de criptografia atende a esses requisitos?

Azure Disk Encryption (ADE) é a solução correta porque permite criptografar discos de SO e de dados de VMs do Azure usando chaves armazenadas no Azure Key Vault (KV1), atendendo a todos os requisitos. A criptografia persiste mesmo se a VM for desalocada. Chaves gerenciadas pelo cliente (Customer-managed keys) referem-se ao uso de chaves próprias no Key Vault para criptografar dados em repouso, mas não é um método de criptografia de disco por si só, e sim uma forma de gerenciar as chaves usadas por serviços como o ADE. A Criptografia de disco confidencial (Confidential disk encryption) é para VMs confidenciais e não é aplicável a uma VM padrão como a VM1. A Criptografia no host (Encryption at host) criptografa os dados em repouso no host do Azure, mas não diretamente nos discos da VM usando chaves do Key Vault para criptografia de SO e dados, como o ADE faz.