你的订阅包含一个名为 VM1 的虚拟机和一个名为 KV1 的密钥保管库。你必须为 VM1 配置加密，以便加密密钥存储在 KV1 中并从 KV1 使用，如果 VM1 从 Azure 下载，加密仍然保持不变，并且操作系统磁盘和数据磁盘都已加密。哪种加密方法符合这些要求？

Azure Disk Encryption (ADE) 允许你加密 Azure 虚拟机的操作系统和数据磁盘。它使用行业标准的 BitLocker (Windows) 或 DM-Crypt (Linux) 技术，并将加密密钥存储在 Azure Key Vault 中。当 VM 从 Azure 下载时，加密会保持不变，因为加密是基于磁盘的。 客户管理的密钥 (CME) 允许你使用自己的密钥加密存储账户中的数据，但它不直接加密虚拟机磁盘本身。机密磁盘加密是 Azure 机密计算的一部分，它在硬件级别提供更强的保护，但 ADE 更侧重于将密钥存储在 Key Vault 中并加密下载后的磁盘。主机加密在主机级别加密数据，但它不满足将密钥存储在 Key Vault 并保持下载后加密的要求。