15、保障 Azure 虚拟桌面和基础设施安全的综合指南

保障 Azure 虚拟桌面和基础设施安全的综合指南

在当今数字化时代，保障虚拟桌面环境和基础设施的安全至关重要。本文将深入探讨如何确保 Azure 虚拟桌面（AVD）的安全性，以及如何配置 Azure 基础设施的安全措施。

1. 可信启动和机密计算

• 可信启动虚拟机选择 ：IT 管理员在选择可信启动虚拟机时，可自行决定开启哪些选项。当基于黄金映像部署会话主机时，该黄金映像也需采用可信启动安全类型创建。
• 机密计算介绍 ：在 Azure 中，存储和流量可进行加密。使用机密计算时，正在使用的数据也能加密。Azure Dcasv5 和 Ecasv5 虚拟机系列具备受信任执行环境（TEE），拥有 AMD 的 SEV - SNP 安全功能，可阻止管理程序访问虚拟机的内存和状态。此外，IT 管理员还能使用英特尔驱动的虚拟机，如 DCesv5 和 ECesv5 系列采用英特尔信任域扩展（Intel TDX）。
• 部署机密会话主机
  • 操作系统磁盘加密选项 ：有两种部署机密会话主机进行操作系统磁盘加密的方式，分别是使用平台管理密钥（PMK）和客户管理密钥（CMK）。若组织需使用自己的密钥，在部署会话主机前需创建额外资源，包括启用高级 SKU 和清除保护的 Azure 密钥保管库、具有 CVM 机密操作策略的 Azure 密钥保管库密钥、关联密钥保管库密钥的磁盘加密集、密钥保管库上磁盘加密集的访问策略，以及可选的 Azure 密钥保管库管理的 HSM。