Horizon Cloud 環境のファームと VDI デスクトップでの Microsoft Azure ディスク暗号化の使用

Microsoft Azure の Horizon Cloud ポッドで RDSH ファームまたは VDI デスクトップ割り当てを作成するときに、ディスクの暗号化を有効にするかどうかを決定できます。ファームまたは VDI デスクトップ割り当てに対してディスク暗号化を有効にすると、そのファームまたは VDI デスクトップ割り当て内のすべての仮想マシンのすべてのディスクが暗号化されます。ファームまたは VDI デスクトップ割り当てを作成するときにディスクの暗号化を指定します。ファームまたは割り当ての作成後に暗号化状態を変更することはできません。

ファームと VDI デスクトップ割り当てを作成するワークフローには、ディスクの暗号化を有効にするためのトグルが含まれています。これらのワークフローの詳細については、以下を参照してください。

• 第 1 世代 Horizon Cloud ポッド - ファームの作成と管理
• Microsoft Azure のシングル ポッドによってプロビジョニングされた専用 VDI デスクトップ割り当ての作成
• Microsoft Azure のシングル ポッドによってプロビジョニングされたフローティング VDI デスクトップ割り当ての作成

注：

• このリリースでは、データ ディスクが接続されたイメージ仮想マシンを使用するフローティング VDI 割り当てのディスク暗号化をサポートしていません。

ディスク暗号化のパフォーマンスへの影響

ディスク暗号化機能は、Microsoft Azure クラウドの Azure Disk Encryption (ADE) 機能によって提供されます。ADE は、Microsoft Windows の BitLocker 機能を使用して、Microsoft Azure の仮想マシンの OS およびデータ ディスクを暗号化します。一般的に、BitLocker のパフォーマンス オーバーヘッドは 1 桁であるため、暗号化された仮想マシンのパフォーマンスに著しい影響を与える可能性があります。仮想マシンの暗号化の欠点は、データ、ネットワーク、コンピューティング リソースの使用量が増加し、その結果としてライセンスやサブスクリプションのコストが追加で発生する可能性があることです。仮想マシンは、単にディスクからデータを読み取って、暗号化されていないディスクにデータを書き込むのではなく、データの暗号化を解除して読み取り、データを暗号化して暗号化されたディスクに書き戻す必要があります。このプロセスでは、Azure のキー コンテナからキーが読み取られるため、ネットワーク使用率が増加し、CPU サイクルが暗号化の実行に使用されます。Microsoft ドキュメントのAzure Disk Encryption FAQ および BitLocker のデプロイと管理のFAQ を参照してください。

暗号化キー コンテナ

ポッドの暗号化されたファームと VDI デスクトップ割り当てに使用されるキー コンテナは、ポッドのマネージャ仮想マシンを含む同じ Microsoft Azure リソース グループに作成されます。単一のキー コンテナは、ポッドのすべての暗号化されたファームとデスクトップ割り当てに使用されます。システムは、関連付けられたファームまたは VDI デスクトップ割り当てを作成した結果として最初の暗号化された仮想マシンが作成されるときに、この暗号化キー コンテナを作成します。最初の暗号化された仮想マシンが作成されるまで、このキー コンテナはポッドのリソース グループに表示されません。

システムは、UUID 形式の識別子であるポッドの ID を使用してキー コンテナの名前を生成します。Microsoft Azure の命名規則に準拠するため、システムはキー コンテナの名前を次のように設定します。

1. ポッドの ID を取得します。
2. 文字 kv を先頭に追加します。
3. 英数字以外の文字を削除します。
4. 最大長を 24 文字に維持するために、必要に応じて文字を切り詰めます。

次のスクリーンショットは、ポッドに暗号化されたファームがある場合のポッドのマネージャ仮想マシンのリソース グループの項目を示しています。スクリーンショットには 2 つのキー コンテナが示されています。1 つは、ポッドのデプロイ中に作成されたポッド自体のキー コンテナで、もう 1 つは、ディスク暗号化が有効なファームまたは VDI デスクトップ割り当てを作成した結果として、最初の暗号化された仮想マシンが作成されたときに作成されたキー コンテナです。このスクリーンショットでは、次のことがわかります。

• ポッドの ID は、ポッドのマネージャ仮想マシンの名前に含まれる e1c80e74-7f6f-434f-bd79-c1e3772f6c5a です。
• 暗号化キー コンテナの名前は kve1c80e747f6f434fbd79c1 で、UUID の取得、先頭への kv の追加、ハイフンの削除、名前の 24 文字への切り詰めによって決まります。

注意：

ポッドのマネージャ仮想マシンのリソース グループにあるキー コンテナを削除しないでください。暗号化キー コンテナが削除されると、暗号化された仮想マシンはパワーオンされません。ポッド自体のキー コンテナが削除されると、ポッドのマネージャ仮想マシンはパワーオンされません。

暗号化された仮想マシンの作成と削除

暗号化された仮想マシンごとに暗号化シークレットが使用されます。暗号化されたファームまたは VDI デスクトップ割り当てに仮想マシン インスタンスが作成されると、キー コンテナにシークレットが作成されます。暗号化されたファームまたは VDI デスクトップ割り当てから仮想マシン インスタンスが削除されると、そのシークレットはキー コンテナから削除されます。

Horizon Cloud 管理コンソールを使用して暗号化されたファームまたは VDI デスクトップ割り当てを削除すると、システムはキー コンテナから関連付けられたシークレットを削除します。ポッド自体を削除すると、暗号化された仮想マシンのキー コンテナも削除されます。

メモ: 暗号化されたファーム仮想マシンまたはデスクトップ仮想マシンの作成は、暗号化されていない仮想マシンの作成の約 2 倍の時間がかかります。その結果、ディスクの暗号化が有効になっているファームまたは VDI デスクトップ割り当ての作成を完了するまでの時間は、ディスクの暗号化を有効にせずにファームまたは VDI デスクトップの割り当てを作成する場合の約 2 倍かかります。

また、イメージ仮想マシンにデータ ディスクがある場合は、そのイメージ仮想マシンに基づいて、暗号化されたファーム仮想マシンまたはデスクトップ仮想マシンを作成するための追加の時間が必要になります。一般的に、Windows Server オペレーティング システムを実行しているデータ ディスクを使用する仮想マシンのディスク暗号化にかかる時間は、データ ディスクを使用する Windows 10 または Windows 11 仮想マシンの場合よりも短くなります。より大きい、テラバイト単位のサイズのデータ ディスクがある Windows 10 または 11 オペレーティング システムでは、時間が最も長くなります。

暗号化された仮想マシンが多数あるファームおよび VDI デスクトップ割り当ての電源管理をスケジュールする場合

暗号化された仮想マシンをパワーオンし、仮想マシンがエンド ユーザー接続を受け入れる準備が完了するまでの時間は、暗号化されていない仮想マシンの場合よりも長くなります。仮想マシンのコア数が少ない場合(A1 サイズなど)、約 12 分かかることがあります。コア数が多いほど時間は短くなり、約 6 分になります。

予測されるエンド ユーザーの要求を満たすために多数の仮想マシンをパワーオンするためにシステムの電源管理スケジュール機能を使用している場合、仮想マシンが暗号化されている場合は、これらの仮想マシンを準備するためにさらに時間がかかることを考慮する必要があります。システムは最大 125 台の仮想マシンを同時にパワーオンします。VDI デスクトップ割り当てまたはファームに 125 台を超える仮想マシンがある場合、電源管理スケジュールで午前 8 時に割り当てまたはファームをパワーオンすると指定すると、システムは午前 8 時に 125 台の仮想マシンのパワーオンを一度に開始します。仮想マシンが最小の A1 サイズで暗号化されている場合、バッチあたり 125 台の仮想マシンと、接続可能になるまでの 12 分の組み合わせは、次のようなおおよそのタイムラインになります。

• 午前 8 時 12 分までに、125 台の仮想マシンが準備完了
• 午前 8 時 24 分までに、250 台の仮想マシンが準備完了
• 午前 8 時 36 分までに、375 台の仮想マシンが準備完了

その結果、VDI デスクトップ割り当てに小さな A1 サイズの暗号化された仮想マシンが 2,000 台ある場合、すべてをパワーオンしてエンド ユーザー接続の準備が完了するまでの時間は約 3.5 時間になります。暗号化された A1 サイズのデスクトップを午前 8 時に 100% 準備完了にすることが目標である場合は、電源管理スケジュールを午前 4:30 に開始するように設定することを検討する必要があります。

より大きなサイズの仮想マシンの場合、準備完了までの時間は約半分になります。したがって、暗号化された VDI デスクトップ割り当てが 2,000 台で、A4 サイズなどの大きなサイズの暗号化されている場合、100% の仮想マシンがエンドユーザー接続を受け入れる準備が完了するまでに 75 分かかります。

同様に、デスクトップ数が少ない暗号化された VDI デスクトップ割り当ては、大きな 2,000 プール サイズよりも早く準備完了になります。小さな A1 サイズの暗号化されたデスクトップが 500 台あるプールの場合、プールの 100% が約 48 分で準備完了します。仮想マシン 500 台をバッチあたり 125 で割ると 4 バッチになり、12 分を乗算して 48 分になります。