23、Azure 数据加密与 VM 加密全解析

Azure 数据加密与 VM 加密全解析

1. 存储服务加密（Storage Service Encryption）

1.1 磁盘加密的局限性

传统的磁盘加密方式仅能保障操作系统（OS）和数据磁盘的安全，虚拟机（VM）中的内存数据或临时磁盘数据仍有暴露风险。

1.2 Azure 托管磁盘自动加密

Azure 平台通过自动加密托管磁盘，由 Microsoft 管理数字加密密钥。这种方式让用户无需创建、管理、轮换或撤销密钥就能自动加密数据，但用户需信任 Microsoft 来保护这些密钥。

1.3 Azure 存储服务加密（SSE）

Azure 存储服务加密（SSE）可在存储账户级别对数据进行加密。数据写入账户时即被加密，Microsoft 负责处理加密密钥，无需用户进行管理或配置，Azure 平台会为用户抽象出密钥生成和管理的过程。用户也可选择创建并使用自己的加密密钥，但需承担一定的额外管理开销。

启用 SSE 后，Azure Blob 和文件在写入磁盘时会被加密，但 Azure 表和队列不会被加密。为增强数据安全性，可强制存储账户的所有通信使用安全通信协议（如 HTTPS），以保护数据在传输过程中的安全，直至其在磁盘上被加密。

1.4 强制存储流量使用安全传输

除启用 SSE 外，还可强制所有存储请求和传输使用安全通信方法。此设置会强制所有 REST API 调用使用 HTTPS，并丢弃未启用加密的 Azure 文件连接（如旧版本的 SMB 协议）。Azure SDK（如 Python SDK）可使用加密连接，各语言特定 SDK 的参考文档会提供