Почему Disable-AzureRmVMDiskEncryption не требует ни ключа шифрования ключа, ни URL-адреса ключа шифрования диска

Question

Командлету Disable-AzureRmVMDiskEncryption (я считаю, что disable = decryption) просто требуется имя виртуальной машины, чтобы отключить шифрование.

Разве это не проблема безопасности, отключающая шифрование без ключа? Как защитить диски от отключения шифрования через RBAC?

Answer 1

Разве это не проблема безопасности, отключающая шифрование без ключа?

Это не похоже на проблему безопасности, потому что здесь есть две отдельные проблемы:

1. Защита данных в состоянии покоя - об этом заботится шифрование диска Azure (только если вы включите его в соответствии с рекомендациями по безопасности и шифрованию данных Azure)

2. Защита доступа к самой ВМ и ее ресурсам - об этом позаботится RBAC.

Когда вы отключите шифрование диска

Это действительно гарантирует, что в настоящее время зашифрованные данные будут расшифрованы обратно и больше не шифруются в состоянии покоя.

Поскольку Azure уже знает подробности о ключе шифрования ключа (KEK) и ключе шифрования диска (DEK) с того момента, как вы в первую очередь включили шифрование, ему не нужно запрашивать эти подробности, чтобы расшифровать в данный момент зашифрованная информация.

Вот детали потока расшифровки из Документов Microsoft:

Процесс расшифровки

Как защитить диски от отключения шифрования через RBAC?

Реальная забота о том, кто может управлять виртуальной машиной в целом или инициировать / отключать шифрование диска, может контролироваться путем назначения (или удаления) правильных ролей, таких как владелец или участник виртуальной машины, с использованием RBAC из Azure Portal/PowerShell и т. Д.