合規性要求所有 Azure Virtual Desktop 工作階段主機的作業系統和資料磁碟都必須使用 BitLocker 加密。加密金鑰必須儲存在已啟用清除保護的 Azure Key Vault 中。您需要為現有的主機集區實作此功能，而無需重新部署 VM。您應該怎麼做？

正確答案是使用 Azure Disk Encryption (ADE) VM 擴充功能，因為它允許您在現有的 Azure VM 上啟用 BitLocker 加密，而無需重新部署。ADE 支援將加密金鑰儲存在已啟用虛刪除和清除保護的 Azure Key Vault 中，這符合合規性要求。 建立包含客戶自管金鑰的磁碟加密集並將其關聯至受控磁碟，通常用於在建立新 VM 時加密磁碟，或在 VM 關閉時加密。它不適用於在執行中的 VM 上啟用 BitLocker。 依賴使用平台管理金鑰的伺服器端加密，該加密已在客體內部使用 BitLocker，這表示您將同時擁有兩種加密，且不符合將金鑰儲存在 Key Vault 中的特定要求。 設定 Windows LAPS 以將 BitLocker 復原密碼託管至 Microsoft Entra ID，這是一個管理 BitLocker 復原密碼的解決方案，但它本身不會啟用或管理 BitLocker 加密。