Azure VM磁盘加密配置失败：Invalid URI错误及方案验证

结论：这种配置方式完全正确且可行，是Azure当前推荐的磁盘加密实现方案

原错误原因分析 #

你之前遇到的VMExtensionProvisioningError本质是BitLocker扩展解析加密密钥URI失败，手动替换实际值能运行，说明问题出在Terraform模块间的参数传递环节——大概率是diskencryption_key_uri在传递时丢失了https://前缀，或者被意外截断/格式转换，导致URI无效。

改用Disk Encryption Set的优势 #

直接在VM的os_disk（及data_disks）中配置disk_encryption_set_id，无需依赖BitLocker扩展：

• 这是Azure平台原生的加密配置方式，加密逻辑由Azure后台处理，避免了VM内部扩展运行的兼容性问题
• 配置流程更简洁，只需确保Disk Encryption Set已正确关联Key Vault和加密密钥，且VM资源组拥有访问该Set的权限
• 规避了扩展配置时的URI解析、权限传递等潜在坑点

关键配置注意事项 #

• Disk Encryption Set必须与VM、Key Vault处于同一区域
• Key Vault需启用「磁盘加密」访问策略，且Disk Encryption Set的系统身份需拥有密钥的get、wrapKey、unwrapKey权限
• 若修改现有VM的加密配置，会触发磁盘重新加密，需确保VM处于可操作状态

参考配置片段 #

# Key Vault模块输出Disk Encryption Set ID
output "disk_encryption_set_id" {
  value = azurerm_disk_encryption_set.des.id
}

# VM模块中关联Disk Encryption Set
resource "azurerm_linux_virtual_machine" "vm" {
  name                = "example-vm"
  resource_group_name = azurerm_resource_group.rg.name
  location            = azurerm_resource_group.rg.location
  # 其他VM基础配置...

  os_disk {
    caching              = "ReadWrite"
    storage_account_type = "Premium_LRS"
    disk_encryption_set_id = module.key_vault.disk_encryption_set_id
  }

  # 若有数据盘，同样配置
  data_disk {
    name                 = "example-data-disk"
    caching              = "ReadWrite"
    storage_account_type = "Premium_LRS"
    disk_size_gb         = 100
    disk_encryption_set_id = module.key_vault.disk_encryption_set_id
  }
}

内容的提问来源于stack exchange，提问作者One Developer