ホストでのAzureディスク暗号化

ホスト機能での暗号化を使用して、MCSマシンカタログを作成できます。 現在、MCSはこの機能でマシンプロファイルワークフローのみをサポートします。 VMまたはテンプレートスペックをマシンプロファイルの入力として使用できます。

この暗号化方法は、Azure Storageでデータを暗号化しません。 VMをホストするサーバーがデータを暗号化し、暗号化されたデータがAzure Storageサーバーを通過します。 つまり、この暗号化方法はデータをエンドツーエンドで暗号化します。

制限事項

ホストでのAzureディスク暗号化は：

• すべてのAzureマシンサイズでサポートされているわけではありません
• Azure Disk Encryptionと互換性がありません

ホスト機能での暗号化を使用してマシンカタログを作成する

ホスト機能での暗号化を使用してマシンカタログを作成するには

1. ホスト機能での暗号化がサブスクリプションで有効になっているかどうかを確認します。 確認する方法については、https://learn.microsoft.com/ja-jp/rest/api/resources/features/get?tabs=HTTP/を参照してください。 有効になっていない場合は、サブスクリプションの機能を有効にする必要があります。 サブスクリプションでこの機能を有効にする方法については、https://learn.microsoft.com/ja-jp/azure/virtual-machines/disks-enable-host-based-encryption-portal?tabs=azure-powershell#prerequisites/を参照してください。

2. 使用するAzure VMのサイズがホストでの暗号化をサポートしているかどうかを確認します。 確認するには、PowerShellウィンドウで次のいずれかを実行します：

     PS XDHyp:\Connections\<your connection>\east us.region\serviceoffering.folder>
   <!--NeedCopy-->
   

     PS XDHyp:\HostingUnits\<your hosting unit>\serviceoffering.folder>
   <!--NeedCopy-->
   

3. Azure Portalでホストでの暗号化を有効にして、マシンプロファイルの入力として、VMまたはテンプレートスペックを作成します。

   • VMを作成する場合は、ホストでの暗号化をサポートしているVMサイズを選択します。 VMを作成すると、VMプロパティの ［Encryption at host］ が有効になります。
   • テンプレートスペックを使用する場合は、Encryption at HostパラメーターをsecurityProfile内でtrueにします。

4. VMまたはテンプレートスペックを選択して、マシンプロファイルワークフローでMCSマシンカタログを作成します。

   • OSディスクまたはデータディスク：顧客管理キーとプラットフォーム管理キーによって暗号化されます
   • エフェメラルOSディスク：プラットフォーム管理キーだけで暗号化されます
   • キャッシュディスク：顧客管理キーとプラットフォーム管理キーによって暗号化されます

   完全な構成インターフェイスを使用するか、PowerShellコマンドを実行して、マシンカタログを作成できます。

マシンプロファイルからホストでの暗号化情報を取得する

AdditionalDataパラメーターを指定してPowerShellコマンドを実行すると、マシンプロファイルからホストでの暗号化情報を取得できます。 EncryptionAtHostパラメーターがTrueの場合、ホストでの暗号化がマシンプロファイルに対して有効であることを示します。

例：マシンプロファイル入力がVMの場合、次のコマンドを実行します：

  (get-item XDHyp:\HostingUnits\myAzureNetwork\machineprofile.folder\abc.resourcegroup\def.vm).AdditionalData
<!--NeedCopy-->

例：マシンプロファイル入力がテンプレートスペックの場合、次のコマンドを実行します：

  (get-item XDHyp:\HostingUnits\myAzureNetwork\machineprofile.folder\abc.resourcegroup\def_templatespec.templatespec\EncryptionAtHost.templatespecversion).AdditionalData
<!--NeedCopy-->