Compliance erfordert die BitLocker-Verschlüsselung der Betriebssystem- und Datenlaufwerke für alle Azure Virtual Desktop-Sitzungshosts. Die Verschlüsselungsschlüssel müssen in Azure Key Vault mit Purge Protection gespeichert werden. Sie müssen dies für einen bestehenden Hostpool implementieren, ohne die VMs neu bereitzustellen. Was sollten Sie tun?

Die Aktivierung von Azure Disk Encryption (ADE) auf jeder VM mithilfe der VM-Erweiterung ist die korrekte Methode, um BitLocker-Verschlüsselung für Betriebssystem- und Datenlaufwerke auf bestehenden Azure Virtual Desktop-Sitzungshosts zu implementieren, ohne die VMs neu bereitzustellen. ADE nutzt BitLocker innerhalb des Gastbetriebssystems und speichert die Verschlüsselungsschlüssel sicher in Azure Key Vault, wobei die Anforderung für Soft-Delete und Purge Protection erfüllt wird. Das Erstellen eines Disk Encryption Sets mit einem kundenverwalteten Schlüssel ist für die Verschlüsselung neuer Datenträger oder die Konvertierung bestehender Datenträger gedacht, nicht für die Aktivierung von BitLocker auf bereits laufenden VMs. Die serverseitige Verschlüsselung mit plattformverwalteten Schlüsseltn erfüllt nicht die Anforderung, BitLocker innerhalb des Gastes zu verwenden und die Schlüssel in Key Vault zu speichern. Die Konfiguration von Windows LAPS dient der Verwaltung lokaler Administratorkennwörter und hat keinen direkten Bezug zur BitLocker-Laufwerksverschlüsselung.