Verwenden der Microsoft Azure-Festplattenverschlüsselung mit Ihren Farmen und VDI-Desktops in Ihrer Horizon Cloud-Umgebung

Wenn Sie eine RDSH-Farm oder eine VDI-Desktop-Zuweisung in Ihrem Horizon Cloud-Pod in Microsoft Azure erstellen, können Sie entscheiden, ob Sie die Festplattenverschlüsselung aktivieren möchten. Wenn Sie die Festplattenverschlüsselung für eine Farm oder VDI-Desktop-Zuweisung aktivieren, werden alle Festplatten für alle virtuellen Maschinen (VMs) in dieser Farm oder VDI-Desktop-Zuweisung verschlüsselt. Sie geben die Festplattenverschlüsselung an, wenn Sie die Farm oder VDI-Desktop-Zuweisung erstellen. Sie können den Verschlüsselungsstatus nach dem Erstellen der Farm oder Zuweisung nicht mehr ändern.

Die Workflows zum Erstellen einer Farm und einer VDI-Desktop-Zuweisung umfassen einen Schalter zum Aktivieren der Festplattenverschlüsselung. Weitere Informationen zu diesen Workflows finden Sie unter:

• First-Gen-Horizon Cloud-Pods – Erstellen und Verwalten von Farmen
• Erstellen einer dedizierten VDI-Desktop-Zuweisung, die von einem einzelnen Pod in Microsoft Azure bereitgestellt wird
• Erstellen einer dynamischen VDI-Desktop-Zuweisung, die von einem einzelnen Pod in Microsoft Azure bereitgestellt wird

Hinweis:

• Diese Version unterstützt keine Festplattenverschlüsselung für flexible VDI-Zuweisungen, die Image-VMs mit angehängten Datenfestplatten verwenden.

Auswirkungen der Festplattenverschlüsselung auf die Leistung

Die Funktion der Festplattenverschlüsselung wird von der Azure Disk Encryption-Funktion (ADE) der Microsoft Azure-Cloud bereitgestellt. ADE verwendet die BitLocker-Funktion von Microsoft Windows, um Verschlüsselung für das Betriebssystem und die Datenfestplatten der VMs in Microsoft Azure bereitzustellen. Im Allgemeinen verursacht BitLocker einen Leistungs-Overhead im einstelligen Bereich, sodass die Leistung der verschlüsselten VMs spürbar beeinträchtigt werden kann. Der Nachteil der VM-Verschlüsselung besteht darin, dass die Daten-, Netzwerk- oder Computing-Ressourcennutzung erhöht werden kann, was wiederum zu zusätzlichen Lizenz- oder Abonnementkosten führen kann. Anstatt einfach nur Daten von der Festplatte zu lesen und auf eine unverschlüsselte Festplatte zu schreiben, muss die VM die Daten entschlüsseln, um sie zu lesen, und dann die Daten verschlüsseln, um sie wieder auf die verschlüsselte Festplatte zu schreiben. Bei diesem Vorgang werden Schlüssel aus dem Schlüsseltresor in Azure gelesen, wodurch die Netzwerknutzung erhöht wird, und CPU-Zyklen werden für die Durchführung der Verschlüsselung aufgewendet. Weitere Informationen finden Sie unter Häufig gestellte Fragen zu Azure Disk Encryption und häufig gestellte Fragen zur Bereitstellung und Verwaltung von BitLocker in der Microsoft-Dokumentation.

Der Verschlüsselungsschlüssel-Tresor

Der Schlüsseltresor, der für die verschlüsselten Farmen und VDI-Desktop-Zuweisungen des Pods verwendet wird, wird in derselben Microsoft Azure-Ressourcengruppe erstellt, die die Pod-Manager-VM enthält. Ein einzelner Schlüsseltresor wird für alle verschlüsselten Farmen und Desktop-Zuweisungen des Pods verwendet. Das System erstellt diesen Verschlüsselungsschlüssel-Tresor, wenn die erste verschlüsselte VM als Ergebnis der Erstellung der zugehörigen Farm oder VDI-Desktop-Zuweisung erstellt wird. Bis diese erste verschlüsselte VM erstellt wurde, wird dieser Schlüsseltresor nicht in den Ressourcengruppen Ihres Pods angezeigt.

Das System generiert den Namen des Schlüsseltresors mithilfe der Pod-ID, bei der es sich um einen Bezeichner im UUID-Format handelt. Um die Microsoft Azure-Benennungsregeln einzuhalten, legt das System den Schlüsseltresornamen wie folgt fest:

1. Abrufen der Pod-ID.
2. Die Buchstaben kv werden an den Anfang gestellt.
3. Entfernen aller nicht alphanumerischen Zeichen.
4. Kürzen von Zeichen nach Bedarf, um die maximale Länge von 24 einzuhalten.

Der folgende Screenshot veranschaulicht die Elemente in der Ressourcengruppe der Pod-Manager-VM, wenn dieser Pod über eine verschlüsselte Farm verfügt. Der Screenshot zeigt zwei Schlüsseltresore: Einmal den Schlüsseltresor für den Pod selbst, der während der Pod-Bereitstellung erstellt wurde, und den Schlüsseltresor, der erstellt wurde, wenn die erste verschlüsselte VM erstellt wird, die infolge der Erstellung einer Farm oder VDI-Desktop-Zuweisung mit aktivierter Festplattenverschlüsselung erstellt wird. Im Screenshot sehen Sie Folgendes:

• Die Pod-ID lautet e1c80e74-7f6f-434f-bd79-c1e3772f6c5a, im Namen der Pod-Manager-VM.
• Der Name des Verschlüsselungsschlüssel-Tresors lautet kve1c80e747f6f434fbd79c1, ermittelt durch Übernahme dieser UUID, kv Hinzufügen am Anfang, Entfernen der Bindestriche und Kürzen des Namens auf 24 Zeichen.

VORSICHT:

Löschen Sie keine Schlüsseltresore, die in der Ressourcengruppe der Pod-Manager-VM angezeigt werden. Die verschlüsselten VMs werden nicht eingeschaltet, wenn der Verschlüsselungsschlüssel-Tresor gelöscht wird. Die Pod-Manager-VM kann nicht eingeschaltet werden, wenn der eigene Schlüsseltresor des Pods gelöscht wird.

Erstellen und Löschen verschlüsselter VMs

Für jede verschlüsselte VM wird ein Verschlüsselungsschlüssel verwendet. Beim Erstellen einer VM-Instanz in einer verschlüsselten Farm oder VDI-Desktop-Zuweisung wird ein geheimer Schlüssel im Schlüsseltresor erstellt. Wenn eine VM-Instanz aus einer verschlüsselten Farm oder VDI-Desktop-Zuweisung gelöscht wird, wird der geheime Schlüssel aus dem Schlüsseltresor entfernt.

Wenn Sie die Horizon Cloud-Verwaltungskonsole verwenden, um eine verschlüsselte Farm oder VDI-Desktop-Zuweisung zu löschen, löscht das System die zugehörigen geheimen Schlüssel aus dem Schlüsseltresor. Wenn Sie den Pod selbst löschen, wird der Schlüsseltresor für die verschlüsselten VMs ebenfalls gelöscht.

Hinweis: Das Erstellen einer verschlüsselten Farm-VM oder Desktop-VM dauert ungefähr doppelt so lange wie das Erstellen einer nicht verschlüsselten VM. Demzufolge dauert das Erstellen einer Farm oder VDI-Desktop-Zuweisung mit aktivierter Festplattenverschlüsselung rund doppelt so lange wie das Erstellen einer Farm oder VDI-Desktop-Zuweisung ohne aktivierte Festplattenverschlüsselung.

Wenn eine Image-VM über eine Datenfestplatte verfügt, ist außerdem zusätzliche Zeit erforderlich, um eine verschlüsselte Farm-VM oder Desktop-VM basierend auf dieser Image-VM zu erstellen. Im Allgemeinen sind die Zeiten für die Festplattenverschlüsselung von VMs mit Datenfestplatten, auf denen Windows Server-Betriebssysteme ausgeführt werden, kürzer als für Windows 10- oder Windows 11-VMs mit Datenfestplatten. Die längsten Zeiten treten bei Windows 10- oder 11-Betriebssystemen mit größeren Datenträgern im Terabyte-Bereich auf.

Beim Planen der Energieverwaltung für Farmen und VDI-Desktop-Zuweisungen mit einer großen Anzahl verschlüsselter VMs

Das Einschalten einer verschlüsselten VM und die Bereitschaft der VM zum Akzeptieren einer Endbenutzerverbindung dauert länger als bei nicht verschlüsselten VMs. Wenn die VM nur wenige Kerne hat, z. B. Größe A1, kann dies etwa 12 Minuten dauern. Mit einer größeren Anzahl an Kernen verkürzt sich die Zeit auf ca. 6 Minuten.

Wenn Sie die Planungsfunktion für die Energieverwaltung des Systems verwenden, um eine große Anzahl von VMs einzuschalten, um einen prognostizierten Endbenutzerbedarf zu erfüllen, müssen Sie, wenn die VMs verschlüsselt sind, die zusätzliche Zeit einplanen, die benötigt wird, bis diese VMs bereit sind. Das System schaltet maximal 125 VMs gleichzeitig ein. Wenn Ihre VDI-Desktop-Zuweisung oder Farm über mehr als 125 VMs verfügt und laut Zeitplan für die Energieverwaltung das Einschalten der Zuweisung oder Farm um 08:00 Uhr erfolgt, beginnt das System, die virtuellen Maschinen um 08:00 Uhr in Stapeln von jeweils 125 einzuschalten. Wenn die VMs die kleinste A1-Größe aufweisen und verschlüsselt sind, ergibt sich für diese Kombination von 125 VMs pro Batch und 12 Minuten, die für die Verbindungsbereitschaft benötigt werden, eine ungefähre Zeitachse, die wie folgt aussieht:

• Um 08:12 Uhr sind 125 VMs bereit
• Um 08:24 Uhr sind 250 VMs bereit
• Um 08:36 Uhr sind 375 VMs bereit

Wenn Ihre VDI-Desktop-Zuweisung daher 2.000 verschlüsselte VMs der kleinen Größe A1 enthält, beläuft sich die Zeit, die benötigt wird, um alle VMs einzuschalten und für Endbenutzerverbindungen bereitzustellen, auf ca. 3,5 Stunden. Wenn Ihr Ziel darin besteht, dass alle verschlüsselten A1-Desktops um 8 Uhr bereit sein sollen, sollten Sie den Zeitplan für die Energieverwaltung um 4:30 Uhr starten.

Bei größeren VMs halbiert sich der Zeitaufwand bis zur Betriebsbereitschaft. Statt 3,5 Stunden dauert es also 75 Minuten, bis bei einer verschlüsselten VDI-Desktop-Zuweisung mit 2.000 verschlüsselten VMs (z. B. A4) 100 % von ihnen bereit sind, Endbenutzerverbindungen zu akzeptieren.

Ebenso ist eine verschlüsselte VDI-Desktop-Zuweisung mit weniger Desktops schneller bereit als die große Poolgröße von 2.000. Bei einem Pool mit 500 verschlüsselten Desktops der kleinen Größe A1 dauert es rund 48 Minuten, bis der gesamte Pool vollständig betriebsbereit ist. 500 VMs geteilt durch 125 pro Stapel ergibt 4 Stapel, die dann mit 12 Minuten pro Stapel multipliziert werden und 48 ergeben.