Zgodność z przepisami wymaga szyfrowania BitLockerem dysków systemu operacyjnego i danych dla wszystkich hostów sesji Azure Virtual Desktop. Klucze szyfrujące muszą być przechowywane w Azure Key Vault z ochroną przed czyszczeniem (purge protection). Musisz to zaimplementować dla istniejącej puli hostów bez ponownego wdrażania maszyn wirtualnych. Co należy zrobić?

Włączenie Azure Disk Encryption (ADE) na każdej maszynie wirtualnej za pomocą rozszerzenia ADE VM i określenie Key Vault z włączonym soft-delete i purge protection jest prawidłowym rozwiązaniem. ADE wykorzystuje BitLocker dla dysków systemu operacyjnego i danych w systemach Windows, a także integruje się z Azure Key Vault do bezpiecznego przechowywania kluczy szyfrujących, spełniając wymagania dotyczące ochrony przed czyszczeniem. To podejście pozwala na szyfrowanie istniejących maszyn wirtualnych bez ich ponownego wdrażania. Utworzenie Disk Encryption Set (DES) z kluczem zarządzanym przez klienta jest przeznaczone do szyfrowania dysków zarządzanych podczas ich tworzenia lub do szyfrowania istniejących dysków, ale nie bezpośrednio wykorzystuje BitLocker wewnątrz maszyny wirtualnej. Szyfrowanie po stronie serwera z kluczami zarządzanymi przez platformę szyfruje dyski w spoczynku, ale nie zapewnia kontroli nad kluczami ani nie wykorzystuje BitLocker w systemie operacyjnym gościa, co jest wymagane. Konfiguracja Windows LAPS służy do zarządzania hasłami kont lokalnych i hasłami odzyskiwania BitLocker, ale nie implementuje samego szyfrowania BitLocker ani nie spełnia wymagań dotyczących przechowywania kluczy w Key Vault z ochroną przed czyszczeniem.