Compliance vereist BitLocker-encryptie van het OS en de datadisks voor alle Azure Virtual Desktop-sessiehosts. Encryptiesleutels moeten worden opgeslagen in Azure Key Vault met purge protection. Je moet dit implementeren voor een bestaande hostpool zonder de VM's opnieuw te implementeren. Wat moet je doen?

De correcte optie is het inschakelen van Azure Disk Encryption (ADE) op elke VM met de ADE VM-extensie, waarbij een Key Vault met soft-delete en purge protection wordt gespecificeerd. ADE gebruikt BitLocker voor Windows VM's en kan worden toegepast op bestaande VM's zonder herimplementatie, wat voldoet aan de vereisten voor BitLocker-encryptie en sleutelbeheer in Azure Key Vault. Een Disk Encryption Set met een door de klant beheerde sleutel (CMK) is voor server-side encryptie, niet voor BitLocker in de gast-OS. Server-side encryptie met platform-managed keys (PMK) is standaard ingeschakeld, maar gebruikt geen BitLocker in de gast-OS en voldoet niet aan de eis voor BitLocker. Windows LAPS beheert lokale administrator-wachtwoorden, niet BitLocker-encryptie of sleutelbeheer.