El cumplimiento requiere el cifrado BitLocker de los discos del sistema operativo y de datos para todos los hosts de sesión de Azure Virtual Desktop. Las claves de cifrado deben almacenarse en Azure Key Vault con protección de purga. Debe implementar esto para un grupo de hosts existente sin volver a implementar las máquinas virtuales. ¿Qué debe hacer?

La opción correcta es habilitar Azure Disk Encryption (ADE) en cada máquina virtual utilizando la extensión de VM correspondiente. ADE permite cifrar los discos del sistema operativo y de datos con BitLocker para máquinas virtuales Windows, y las claves de cifrado se almacenan de forma segura en Azure Key Vault. Es crucial que el Key Vault tenga habilitadas la eliminación temporal (soft-delete) y la protección de purga para cumplir con los requisitos de seguridad y recuperación. Esta solución se puede aplicar a máquinas virtuales existentes sin necesidad de volver a implementarlas. Las otras opciones son incorrectas porque: Crear un Disk Encryption Set con una clave administrada por el cliente no habilita BitLocker dentro de la VM ni almacena las claves de recuperación de BitLocker en Key Vault de la forma requerida. Confiar en el cifrado del lado del servidor con claves administradas por la plataforma no cumple con el requisito explícito de usar BitLocker ni de almacenar las claves en un Key Vault específico con protección de purga. Configurar Windows LAPS es para la gestión de contraseñas de cuentas locales, no para el cifrado de discos con BitLocker y el almacenamiento de sus claves de cifrado.