La conformité exige le chiffrement BitLocker des disques de système d'exploitation et de données pour tous les hôtes de session Azure Virtual Desktop. Les clés de chiffrement doivent être stockées dans Azure Key Vault avec protection contre la purge. Vous devez implémenter cela pour un pool d'hôtes existant sans redéployer les machines virtuelles. Que devez-vous faire ?

La bonne réponse est d'activer Azure Disk Encryption (ADE) sur chaque machine virtuelle en utilisant l'extension de machine virtuelle ADE et de spécifier un Key Vault avec suppression réversible et protection contre la purge. ADE chiffre les disques du système d'exploitation et les disques de données des machines virtuelles Azure, en utilisant BitLocker pour les machines virtuelles Windows, et stocke les clés de chiffrement dans Azure Key Vault. L'utilisation de l'extension permet d'appliquer le chiffrement à des machines virtuelles existantes sans redéploiement. La suppression réversible et la protection contre la purge dans Key Vault garantissent la conformité en protégeant les clés contre la suppression accidentelle ou malveillante. Créer un Disk Encryption Set avec une clé gérée par le client chiffre les disques gérés, mais ne gère pas le chiffrement BitLocker à l'intérieur de la machine virtuelle ni le stockage des clés dans Key Vault de la manière requise pour les machines virtuelles existantes. S'appuyer sur le chiffrement côté serveur avec des clés gérées par la plateforme ne répond pas à l'exigence de stockage des clés dans un Key Vault spécifique avec protection contre la purge, car les clés sont gérées par Azure. Configurer Windows LAPS est destiné à la gestion des mots de passe des administrateurs locaux et n'est pas lié au chiffrement BitLocker des disques.