Tags: Azure, Desktop-Virtualisierung, Verschlüsselung
Azure Virtual Desktop (AVD) schützt Confidential Virtual Machines (CVMs) durch die Verschlüsselung des virtuellen Laufwerks, einen abgesicherten Boot-Vorgang (Trusted Launch) und Hardware-basierte Verschlüsselung des Arbeitsspeichers. Zudem können Benutzer nun mittels Private Link über Microsofts Backbone-Netzwerk auf virtuelle Desktops zugreifen.
Vertrauliche virtuelle Maschinen basieren auf der Secure Encrypted Virtualization (SEV) und dem Secure Nested Paging (SNP) der AMD Epyc-Prozessoren. Mit dieser Technik ist es möglich, den Arbeitsspeicher virtueller Maschinen mittels Hardware zu verschlüsseln und die VM so zusätzlich vom Hypervisor zu isolieren.
Sollte der Hypervisor kompromittiert werden, dann können sich Angreifer keinen Zugriff auf die Daten im RAM der VM verschaffen. Einzelheiten dazu gibt es in einer Dokumentation von Microsoft.
BitLocker und abgesicherter Start
Zusätzlich verschlüsselt Microsoft die virtuellen Laufwerke von CVMs mit Azure Disk Encryption. Es handelt sich dabei um BitLocker, das den virtuellen TPM der VM nutzt. Der Schlüssel zur Freigabe des Volume Master Key ist somit an das vTPM gebunden und der Festplatteninhalt daher nur innerhalb der virtuellen Maschine zugänglich.
Trusted Launch überträgt die von physischen Geräten bekannte Systemvalidierung (inklusive Secure Boot) auf die sichere Bereitstellung von VMs. Es prüft dazu Boot-Loader, Betriebssystem-Kern und Treiber. Zu guter Letzt unterstützen CVMs nun neben dem aktuellen Windows 11 22H2 den Vorgänger Windows 11 22H1.
Bereitstellung
Um CVMs über das AVD Host Pool Provisioning bereitzustellen, wählt man im Dropdown-Menü Security Type den Eintrag Confidential Virtual Machines aus. Anschließend lässt sich über ein Kontrollkästchen das Integrity Monitoring aktivieren.
Danach wählt man über Image das gewünschte Windows-11-Abbild aus, scrollt nach unten und setzt ein Häkchen hinter Confidential compute encryption.
Private Link
Microsoft kündigte mit Private Link ein weiteres Security-Feature für Azure Virtual Desktop an. Benutzer können damit sicher auf ihre Session Hosts und Workspaces zugreifen, indem sie dafür einen privaten Endpoint in ihrem virtuellen Netzwerk nutzen.
Der Traffic zwischen diesem virtuellen Netzwerk und AVD läuft dann über Microsoft Backbone und vermeidet somit das öffentliche Internet.
Täglich Know-how für IT-Pros mit unserem Newsletter
Verwandte Beiträge
Weitere Links