Ensure that 'OS and Data' disks are encrypted with Customer Managed Key (CMK)

Por que Esto es Importante

Cifrar los discos del sistema operativo y de datos con Claves Gestionadas por el Cliente (Customer Managed Keys, CMK) le otorga el control sobre las claves de cifrado en lugar de depender de las claves predeterminadas gestionadas por la plataforma de Azure (Platform Managed Keys, PMK). Sin CMK, sus datos seguirían siendo vulnerables si las claves de Microsoft se vieran comprometidas, y usted no podría rotar o deshabilitar las claves de forma independiente. Para datos de alto riesgo, CMK proporciona una capa de seguridad adicional esencial para evitar la recuperación no autorizada de datos a partir de discos desmontados.

Que Verifica Aether365

Aether365 verifica que todos los discos del sistema operativo y de datos conectados a maquinas virtuales dentro de su suscripcion de Azure esten cifrados usando Claves Gestionadas por el Cliente (CMK). Esta verificacion aparece en el panel de control de Aether365 bajo la seccion azure-azure-virtual-machines.

Como Solucionarlo

Nota importante: Los discos deben estar desmontados de sus maquinas virtuales antes de poder cambiar la configuracion de cifrado.

1. Inicie sesion en Azure Portal y navegue hasta Virtual machines.
2. Seleccione cada maquina virtual, luego vaya a Settings y haga clic en Disks.
3. Haga clic en la X junto al disco del sistema operativo o de datos para desmontarlo de la VM.
4. En la barra de busqueda de Azure, escriba Disks y localice el disco no conectado.
5. Haga clic en el nombre del disco, luego seleccione Encryption en el menu izquierdo.
6. Cambie el tipo de cifrado a Customer Managed Key y seleccione su conjunto de cifrado desde Azure Key Vault.
7. Haga clic en Save para aplicar el cambio de cifrado.
8. Regrese a la maquina virtual original y vuelva a conectar el disco en la configuracion de Disks.

Cumplimiento

• CIS Microsoft Azure Foundations 3.0.0 8.3 (Nivel 2)
• EIDSCA: Relacionado con controles de proteccion de datos
• CISA: Referencia para configuracion segura en la nube

Recursos Relacionados

• Azure Disk Encryption para VMs y VMSS
• Resumen del Cifrado de Discos de Security Center
• Mejores Practicas de Cifrado de Datos en Reposo
• Habilitar Claves Gestionadas por el Cliente con PowerShell

Microsoft references

• Azure disk encryption vms vmss
• Security center disk encryption
• Data encryption best practices
• Disk encryption portal quickstart
• Delete
• Update
• Security controls v2 data protection
• Disks enable customer managed keys powershell