Retour d'une recommandeation déjà appliquée : Windows virtual machines should enable Azure Disk Encryption or EncryptionAtHost.

Question

Retour d'une recommandeation déjà appliquée : Windows virtual machines should enable Azure Disk Encryption or EncryptionAtHost.

stephane 20

Bonjour.

Nous avons activé l'EncryptionAtHost sur chaque disque de nos 4 VM il y a plusieurs mois. La recommandation de l'advisor avait disparu, mais elle revient sous une forme différente mais je ne sais pas comment la traiter.

"Description

Although a virtual machine's OS and data disks are encrypted-at-rest by default using platform managed keys; resource disks (temp disks), data caches, and data flowing between Compute and Storage resources are not encrypted. Use Azure Disk Encryption or EncryptionAtHost to remediate. To compare encryption offerings, visit link. This policy uses Guest Configuration and requires two pre-requisites to be deployed to the policy assignment scope. For details, visit guest config onboarding."

Statut actuel de nos VM :

Image de l’utilisateur

Etat de nos disques :

Image de l’utilisateur

Merci par avance.

Suchitra Suregaunkar 16,780 Points de réputation Personnel externe de Microsoft Corporation Modérateur

2026-05-22T14:09:00.3333333+00:00

Hello Stéphane

Merci d'avoir publié votre question sur la plateforme Microsoft Q&A.

Nous examinons ce problème et vous tiendrons informé des mises à jour.

Thanks,

Suchitra.
Anonyme

2026-05-25T08:30:47.4166667+00:00

Juste vérifier si les informations fournies ont été utiles ! Veuillez nous faire savoir si le problème a des questions.
Nikhil Duserla 9,950 Points de réputation Personnel externe de Microsoft Corporation Modérateur

2026-06-01T09:52:46.6633333+00:00
Hey Stéphane,

Ce que vous voyez maintenant n’est plus la reco “Advisor” classique, mais une règle Azure Policy (Guest Configuration) qui vérifie via l’agent que vos VM sont chiffrées « in-guest » (BitLocker/Azure Disk Encryption) et pas seulement au niveau hôte (EncryptionAtHost). Du coup même si vous avez bien EncryptionAtHost = True, la règle reste en échec car elle s’attend à trouver un chiffrement BitLocker dans le système d’exploitation (et couvre aussi les disques temporaires, caches, flux entre compute et storage).

Vous avez donc deux voies pour traiter cette recommandation :

Passer sur le policy built-in non-GuestConfig qui ne fait que vérifier la propriété EncryptionAtHost au niveau de la VM

Built-in policy : “Configure encryption-at-host on virtual machines”

ID : fdd8b8e9-d0e0-4d4b-93bf-41cf68f8646a

Cette définition regarde uniquement vm.properties.securityProfile.encryptionAtHost == true.

Vos VMs passeront alors direct en compliant.

Ou bien répondre à la Guest Configuration : déployer Azure Disk Encryption (ADE/BitLocker) in-guest

Cette policy utilise Guest Configuration, qui requiert : • que votre souscription ait le resource provider Microsoft.GuestConfiguration enregistré • que le rôle Managed Identity Operator soit assigné à l’identité managée du policy assignment • que l’extension Guest Configuration soit installée sur chaque VM

Une fois ces pré-requis en place (docs 👉 https://aka.ms/gcpol), la règle verra votre chiffrement ADE et passera à l’état Compliant.

En résumé, si vous voulez rester sur EncryptionAtHost seul, choisissez la policy ID fdd8b8e9-d0e0-4d4b-93bf-41cf68f8646a. Si vous souhaitez utiliser la suite Guest Configuration et couvrir aussi disques temporaires et flux internes, onboardez le service et déployez Azure Disk Encryption.

N’hésitez pas si vous avez besoin de précisions sur l’une ou l’autre approche !

Références

Comparaison des options de chiffrement : https://aka.ms/diskencryptioncomparison

Onboarding Guest Configuration : https://aka.ms/gcpol

Configure encryption-at-host on VMs (policy détail) : https://docs.microsoft.com/azure/governance/policy/definitions/fdd8b8e9-d0e0-4d4b-93bf-41cf68f8646a

Note: This content was drafted with the help of an AI system. Please verify the information before relying on it for decision-making.

Réponse acceptée par l’auteur(e) de la question

0 réponses supplémentaires

Votre réponse

Suchitra Suregaunkar 16,780 Points de réputation Personnel externe de Microsoft Corporation Modérateur

2026-05-22T14:09:00.3333333+00:00

Hello Stéphane

Merci d'avoir publié votre question sur la plateforme Microsoft Q&A.

Nous examinons ce problème et vous tiendrons informé des mises à jour.

Thanks,

Suchitra.
Anonyme

2026-05-25T08:30:47.4166667+00:00

Juste vérifier si les informations fournies ont été utiles ! Veuillez nous faire savoir si le problème a des questions.

Answer 1

Bonjour Stéphane,

Merci pour votre retour ainsi que pour les captures d’écran partagées.

Après vérification des informations fournies, nous pouvons confirmer que EncryptionAtHost est déjà correctement activé sur les machines virtuelles et les disques concernés. Vos VM sont donc protégées, et cela n’indique pas un problème réel de chiffrement ou de sécurité.

Le comportement actuellement observé est lié à un nouveau mécanisme de validation de conformité basé sur Azure Policy / Guest Configuration, et non à la recommandation Azure Advisor d’origine.

La stratégie suivante :

« Les machines virtuelles Windows doivent activer Azure Disk Encryption ou EncryptionAtHost »

vérifie désormais la conformité via Azure Guest Configuration à l’intérieur de la VM. Par conséquent, la recommandation peut continuer à apparaître si les prérequis Guest Configuration ne sont pas entièrement configurés ou si l’état de conformité n’a pas encore été remonté correctement.

Afin qu’Azure Policy puisse valider correctement l’état EncryptionAtHost, merci de vérifier les prérequis suivants sur chaque VM :

Activer l’identité managée attribuée par le système Accédez à :

VM → Identity → System assigned → Set Status to On → Save

Installer l’extension Guest Configuration

Vous pouvez installer l’extension depuis :

VM → Extensions + Applications

az vm extension set \
  --resource-group <ResourceGroupName> \
  --vm-name <VMName> \
  --name GuestConfiguration \
  --publisher Microsoft.GuestConfiguration

Une fois ces prérequis configurés, Azure Policy relancera automatiquement l’évaluation de conformité de la VM. Ce processus peut prendre environ 15 à 30 minutes.

Après la mise à jour de conformité, la stratégie devrait détecter que : EncryptionAtHost = True

et mettre la ressource à l’état « Conforme », ce qui fera disparaître la recommandation.

À ce stade, le comportement semble donc lié à l’évaluation de conformité Azure Policy et au reporting Guest Configuration, plutôt qu’à un problème de configuration du chiffrement de la VM.

Pour référence complémentaire :

Comparaison EncryptionAtHost et Azure Disk Encryption

J’espère que ces informations vous seront utiles. N’hésitez pas à revenir vers nous si vous avez d’autres questions.

[Veuillez noter que mes commentaires ont été traduits à l’aide de Google Traduction ; certaines formulations peuvent donc être approximatives.]

stephane 20 Points de réputation

2026-05-26T08:22:10.0133333+00:00

Bonjour.

Le system assigned est pourtant déjà bien configuré:

Cordialement,

Stéphane