La conformità richiede la crittografia BitLocker del sistema operativo e dei dischi dati per tutti gli host di sessione di Azure Virtual Desktop. Le chiavi di crittografia devono essere archiviate in Azure Key Vault con protezione dall'eliminazione definitiva. È necessario implementare questa funzionalità per un pool di host esistente senza ridistribuire le VM. Cosa si dovrebbe fare?

La risposta corretta è abilitare Azure Disk Encryption (ADE) su ogni VM. ADE utilizza BitLocker per la crittografia del disco all'interno del guest e consente di specificare un Azure Key Vault per l'archiviazione delle chiavi, supportando i requisiti di soft-delete e purge protection. Questo metodo può essere applicato a VM esistenti senza ridistribuzione. Creare un Disk Encryption Set con una chiave gestita dal cliente (CMK) non è sufficiente, poiché le CMK crittografano i dischi a livello di piattaforma di archiviazione di Azure, non all'interno del guest con BitLocker, e non soddisfano direttamente il requisito di BitLocker. Affidarsi alla crittografia lato server con chiavi gestite dalla piattaforma (PMEK) non soddisfa il requisito di BitLocker gestito e dell'archiviazione delle chiavi in un Key Vault specifico. Configurare Windows LAPS è per la gestione delle password degli account locali e non ha relazione diretta con la crittografia BitLocker dei dischi.