Azure托管数据磁盘加密失败求助：执行命令后仅OS Disk加密成功

我之前处理过好几起类似的OS盘加密成功但数据盘失败的案例，咱们一步步来定位问题：

1. 先确认数据磁盘的基础状态 #

• 检查数据磁盘是否已正确挂载并被OS识别：
  有时候磁盘只是附加到VM，但没在操作系统内完成初始化、格式化和挂载，Azure磁盘加密只会处理OS能识别的已挂载磁盘。你可以用Azure CLI命令查看磁盘状态：

  az vm disk list --resource-group RGName --vm-name VMName --query "[].{Name:name, ManagedBy:managedBy, State:diskState}"
  

  同时登录VM内部，用磁盘管理工具（Windows的磁盘管理、Linux的lsblk/fdisk）确认数据盘是否处于正常挂载状态。
• 验证磁盘类型是否符合加密要求：
  确保数据磁盘是托管磁盘（非托管磁盘已逐步淘汰，且加密支持有限），同时不是共享磁盘（Azure Shared Disk需要特定条件才能加密），且磁盘状态为Attached。

2. 检查密钥保管库（KV）的配置 #

• 确认KV与VM处于同一Azure区域：
  Azure磁盘加密要求密钥保管库和目标VM必须在同一个区域，否则数据盘加密会静默失败。用以下命令核对：

  # 查看KV区域
  az keyvault show --name KVName --query location
  # 查看VM区域
  az vm show --resource-group RGName --name VMName --query location
  

• 验证KV的访问权限：
  确保VM的身份（系统分配或用户分配）拥有KV的get、wrapKey、unwrapKey权限。如果用的是系统分配身份，先获取VM的主体ID：

  az vm show --resource-group RGName --name VMName --query identity.principalId --output tsv
  

  然后检查KV的访问策略是否包含该主体ID的对应权限：

  az keyvault policy list --name KVName --query "[].{ObjectId:objectId, Permissions:permissions.keys}"
  

  如果权限缺失，补充对应的访问策略。
• 确认KV已启用软删除和清除保护：
  这是Azure磁盘加密的强制要求（即使OS盘加密成功，数据盘可能因这个配置失败），检查命令：

  az keyvault show --name KVName --query "{SoftDelete:properties.enableSoftDelete, PurgeProtection:properties.enablePurgeProtection}"
  

  如果任一为false，需要先启用（注意启用软删除后7天内无法禁用）：

  az keyvault update --name KVName --enable-soft-delete true
  az keyvault update --name KVName --enable-purge-protection true
  

3. 查看加密操作的详细日志与状态 #

• 获取加密状态详情：
  用CLI命令查看具体的加密状态和错误信息：

  az vm encryption show --resource-group RGName --name VMName --query "volumeStatuses"
  

  这里会列出每个磁盘的加密状态、错误代码和描述，是定位问题最直接的方式。
• 检查Azure活动日志：
  在Azure门户中找到VM，进入活动日志，筛选“更新虚拟机”相关的操作，查看操作的详细状态和错误信息，通常会给出具体的失败原因（比如权限不足、磁盘状态异常等）。

4. 其他常见排查点 #

• 清理旧加密状态后重试：
  如果数据磁盘之前被加密过又解密，可能残留了旧的加密元数据，导致新的加密操作失败。先禁用数据盘加密：

  az vm encryption disable --resource-group RGName --name VMName --volume-type Data
  

  等待操作完成后，再重新执行加密命令。
• 检查VM的代理配置：
  如果VM需要通过代理访问Azure服务，确保代理允许访问密钥保管库的端点（https://KVName.vault.azure.net）和Azure加密服务的相关端点，否则加密操作无法完成。
• 验证Azure Disk Encryption扩展版本：
  确保VM上的加密扩展是最新版本，旧版本可能存在兼容性问题。查看扩展状态：

  # Windows VM
  az vm extension list --resource-group RGName --vm-name VMName --query "[?name=='AzureDiskEncryption']"
  # Linux VM
  az vm extension list --resource-group RGName --vm-name VMName --query "[?name=='AzureDiskEncryptionForLinux']"
  

  如果版本较旧，可以卸载后重新安装最新版本。

内容的提问来源于stack exchange，提问作者BigDevJames