更新过期密钥- Azure OS磁盘加密

Question

今天早上在办公桌前做白日梦的时候，我突然想到了一些事情，我还没有找到答案。所以我希望有人能给我一些光明，或者好好讨论一下。

让我来布置一下。最近，我开始使用Azure Portal和他们提供的密钥库服务来进行磁盘加密。它比使用AD应用程序的旧方法更有意义。因此，我在资源组中创建了我的新密钥库，在其中创建了一个密钥，并按我认为合适的方式设置了密码操作。然后我组装了一个脚本，通过AzurePowerShell CLI运行，几分钟后，我在VM (MSServer2012r2)上的磁盘被加密了。所以我在我的测试环境的其余部分做了这个，只是为了检查它是否真的工作了。不是第一次在这里碰运气！

然后我突然想到，当/如果密钥过期了，接下来会发生什么？显然，在测试环境中，我并不在乎，如果发生这种情况的话，我可以把所有的东西都拉下来。但是，当我与拥有生产环境的客户交谈时，他们经常询问Azure中运行的机器的安全性，我想知道刷新这些密钥有多容易。我和很多人谈过，他们已经制定了关于钥匙骑自行车的政策，所以我不想要一个不会在200年后到期的钥匙。他们的安全一秒钟也不会考虑到这个想法。

有谁知道，更新密钥的最佳方法是什么？我最初的想法肯定是不可能的，那就是在到期前不加密磁盘。然后重新运行脚本，但是用一个全新的生成密钥来再次加密？这似乎是一条很长的路，但也许这是唯一的方法？

有没有其他人有过同样的想法，或者必须使用Azure密钥库实现密钥刷新？

Answer 1

所以，我和Azure的几个人聊过这件事。

与会者一致认为，在加密磁盘的密钥过期之前更新它们的最佳方法是：

• 使用加密的密钥加密磁盘(当然，在它过期之前)
• 导入/生成密钥库中的新密钥
• 使用新密钥重新运行加密脚本。
• 从金库中删除密钥

这是一个比我所希望的更长的进程，但是使用Azure Powershell CLI，它确实会在实际上重新加密和加密磁盘方面加快速度。