Ihr Abonnement enthält eine VM namens VM1 und einen Schlüsseltresor namens KV1. Sie müssen die Verschlüsselung für VM1 so konfigurieren, dass der Verschlüsselungsschlüssel in KV1 gespeichert und verwendet wird, die Verschlüsselung intakt bleibt, wenn VM1 aus Azure heruntergeladen wird, und sowohl das Betriebssystemlaufwerk als auch die Datenlaufwerke verschlüsselt sind. Welche Verschlüsselungsmethode erfüllt diese Anforderungen?

Azure Disk Encryption (ADE) erfüllt alle genannten Anforderungen. ADE verwendet BitLocker für Windows-VMs und DM-Crypt für Linux-VMs, um Betriebssystem- und Datenlaufwerke zu verschlüsseln. Es integriert sich mit Azure Key Vault, um die Verschlüsselungsschlüssel zu verwalten und zu speichern, was die Verwendung von KV1 ermöglicht. Da ADE die Laufwerke auf VM-Ebene verschlüsselt, bleibt die Verschlüsselung auch dann intakt, wenn die VM heruntergeladen wird, da die Daten auf den virtuellen Festplatten verschlüsselt bleiben. Customer-managed keys (CMK) ist ein allgemeiner Begriff für die Verwendung eigener Schlüssel zur Verschlüsselung von Daten in Azure-Diensten, aber ADE ist die spezifische Implementierung für VM-Laufwerke. Confidential disk encryption (vertrauliche Datenträgerverschlüsselung) ist eine Funktion für vertrauliche VMs, die zusätzliche Sicherheit durch hardwarebasierte Verschlüsselung bietet und über die Anforderungen dieser Frage hinausgeht. Encryption at host (Verschlüsselung auf dem Host) verschlüsselt Daten auf dem Hostserver, bevor sie im Speicher abgelegt werden, aber die Schlüsselverwaltung ist nicht direkt an den Schlüsseltresor des Kunden gebunden und die Verschlüsselung bleibt nicht zwangsläufig intakt, wenn die VM heruntergeladen wird, da es sich um eine serverseitige Verschlüsselung handelt.