为什么Disable-AzureRmVMDiskEncryption不需要密钥加密密钥或磁盘加密密钥URL

Question

Disable-AzureRmVMDiskEncryption cmdlet（我相信disable =解密）仅需要VM的名称即可禁用加密。

禁用没有任何密钥的加密不是安全问题吗？如何通过RBAC防止磁盘禁用加密？

Answer 1

  

在没有任何密钥的情况下禁用加密不是安全性问题吗？

它看起来不像是一个安全问题，因为这里有两个独立的问题：

1. 保护静态数据-由Azure磁盘加密处理（仅当您根据Azure数据安全性和加密最佳做法启用它时）

2. 保护对VM本身及其资源的访问-由RBAC负责。

禁用磁盘加密时

它实际上可以确保当前加密的数据被解密，并且在静止时不再加密。

由于Azure从一开始就启用加密以来就已经知道有关密钥加密密钥（KEK）和磁盘加密密钥（DEK）详细信息的细节，因此它实际上并不需要按顺序要求这些细节解密当前加密的信息。

以下是Microsoft Docs解密流程的详细信息：

Decryption workflow

  

如何保护磁盘免于通过以下方式禁用加密：   RBAC？

可以通过使用Azure Portal / PowerShell中的RBAC分配（或删除）正确的角色，例如Owner或Virtual Machine Contributor来控制谁可以一般管理VM或启动/禁用磁盘加密的真正问题。等