Ensure that 'OS and Data' disks are encrypted with Customer Managed Key (CMK)

Pourquoi c'est important

Chiffrer les disques du système d'exploitation et de données avec des clés gérées par le client (CMK) vous donne le contrôle sur les clés de chiffrement, plutôt que de dépendre des clés gérées par la plateforme (PMK) par défaut d'Azure. Sans CMK, vos données restent vulnérables si les clés de Microsoft sont compromises, et vous ne pouvez pas faire pivoter ni désactiver les clés de manière indépendante. Pour les données à haut risque, CMK offre une couche de sécurité supplémentaire essentielle pour empêcher la récupération non autorisée des données à partir de disques détachés.

Ce que vérifie Aether365

Aether365 vérifie que tous les disques du système d'exploitation et de données attachés aux machines virtuelles dans votre abonnement Azure sont chiffrés à l'aide de clés gérées par le client (CMK). Cette vérification apparaît dans le tableau de bord Aether365 sous la section azure-azure-virtual-machines.

Comment corriger

Remarque importante : Les disques doivent être détachés de leurs machines virtuelles avant de pouvoir modifier les paramètres de chiffrement.

1. Connectez-vous au portail Azure et accédez à Virtual machines.
2. Sélectionnez chaque machine virtuelle, puis allez dans Settings et cliquez sur Disks.
3. Cliquez sur le X à côté du disque du système d'exploitation ou du disque de données pour le détacher de la machine virtuelle.
4. Dans la barre de recherche Azure, tapez Disks et localisez le disque non attaché.
5. Cliquez sur le nom du disque, puis sélectionnez Encryption dans le menu de gauche.
6. Modifiez le type de chiffrement en Customer Managed Key et sélectionnez votre jeu de chiffrement depuis Azure Key Vault.
7. Cliquez sur Save pour appliquer la modification de chiffrement.
8. Revenez à la machine virtuelle d'origine et rattachez le disque sous les paramètres Disks.

Conformité

• CIS Microsoft Azure Foundations 3.0.0 8.3 (Niveau 2)
• EIDSCA : Lié aux contrôles de protection des données
• CISA : Référence pour une configuration cloud sécurisée

Ressources associées

• Azure Disk Encryption pour les machines virtuelles et les groupes de machines virtuelles identiques
• Présentation du chiffrement des disques par le centre de sécurité
• Meilleures pratiques de chiffrement des données au repos
• Activer les clés gérées par le client avec PowerShell

Microsoft references

• Azure disk encryption vms vmss
• Security center disk encryption
• Data encryption best practices
• Disk encryption portal quickstart
• Delete
• Update
• Security controls v2 data protection
• Disks enable customer managed keys powershell