合规性要求所有 Azure Virtual Desktop 会话主机对操作系统和数据磁盘进行 BitLocker 加密。加密密钥必须存储在启用清除保护的 Azure Key Vault 中。你需要在不重新部署虚拟机的情况下，为现有主机池实现此功能。你应该怎么做？

合规性要求使用 BitLocker 对操作系统和数据磁盘进行加密，并将密钥存储在启用清除保护的 Azure Key Vault 中。Azure Disk Encryption (ADE) 允许您使用 BitLocker 为 Windows 虚拟机磁盘加密。通过在每台虚拟机上使用 Azure Disk Encryption VM 扩展，您可以启用 ADE，并指定一个已启用软删除和清除保护的 Key Vault 来存储加密密钥，这符合所有要求，且无需重新部署虚拟机。 使用客户管理的密钥创建 Disk Encryption Set (DES) 主要用于静态加密，但它不直接在虚拟机内部启用 BitLocker，也不适用于现有虚拟机的操作系统磁盘加密。依赖于平台管理密钥的服务器端加密不满足使用 BitLocker 的特定合规性要求。配置 Windows LAPS 主要用于管理本地管理员密码，与 BitLocker 磁盘加密无关。