الأسئلة المتداولة حول التشغيل الموثوق به

مقالة
09/04/2024

تنبيه

تشير هذه المقالة إلى CentOS، وهو توزيع Linux يقترب من حالة نهاية العمر الافتراضي (EOL). ضع في اعتبارك استخدامك والتخطيط وفقا لذلك. لمزيد من المعلومات، راجع إرشادات CentOS EOL.

الأسئلة المتداولة (FAQs) حول حالات استخدام ميزة Azure Trusted Launch، ودعم ميزات Azure الأخرى، وإصلاحات الأخطاء الشائعة.

حالات الاستخدام

يجيب هذا القسم على أسئلة حول حالات استخدام "التشغيل الموثوق به".

لماذا يجب استخدام "التشغيل الموثوق به"؟ ما الذي يحميه Trusted Launch؟

يحمي التشغيل الموثوق به من مجموعات التمهيد و rootkits والبرامج الضارة على مستوى النواة. هذه الأنواع المتطورة من البرامج الضارة تعمل في وضع kernel وتظل مخفية عن المستخدمين. على سبيل المثال:

rootkits البرنامج الثابت: هذه المجموعات الكتابة فوق البرنامج الثابت للجهاز الظاهري (VM) BIOS، بحيث يمكن أن تبدأ rootkit قبل نظام التشغيل (OS).
مجموعات التمهيد: تحل هذه المجموعات محل محمل تمهيد نظام التشغيل بحيث يقوم الجهاز الظاهري بتحميل مجموعة أدوات التمهيد قبل نظام التشغيل.
Kernel rootkits: تحل هذه المجموعات محل جزء من نواة نظام التشغيل، بحيث يمكن بدء تشغيل rootkit تلقائيا عند تحميل نظام التشغيل.
برامج تشغيل rootkits: تتظاهر هذه المجموعات بأنها واحدة من برامج التشغيل الموثوق بها التي يستخدمها نظام التشغيل للتواصل مع مكونات الجهاز الظاهري.

ما هي الاختلافات بين التمهيد الآمن والتمهيد المقيس؟

في سلسلة التمهيد الآمن، تتحقق كل خطوة في عملية التمهيد من توقيع تشفير الخطوات اللاحقة. على سبيل المثال، يتحقق BIOS من توقيع على المحمل، ويتحقق المحمل من التواقيع على جميع كائنات النواة التي يقوم بتحميلها، وما إلى ذلك. إذا تم اختراق أي من الكائنات، فإن التوقيع لا يتطابق ولا يتم تشغيل الجهاز الظاهري. لمزيد من المعلومات، راجعSecure Boot.

كيف يقارن "التشغيل الموثوق به" بالجهاز الظاهري المحمي من Hyper-V؟

Hyper-V Shielded VM متاح حالياً على Hyper-V فقط. عادة ما يتم نشر Hyper-V Shielded VM مع النسيج المحمي. يتكون Guarded Fabric من Host Guardian Service (HGS) ومضيف واحد أو أكثر محمي ومجموعة من الأجهزة الظاهرية المحمية. تستخدم الأجهزة الظاهرية المحمية بواسطة Hyper-V في الأقمشة حيث يجب حماية بيانات وحالة الجهاز الظاهري من مختلف الجهات الفاعلة. هذه الجهات الفاعلة هي على حد سواء مسؤولي النسيج والبرامج غير الموثوق بها التي قد تكون قيد التشغيل على مضيفي Hyper-V.

من ناحية أخرى، يمكن نشر التشغيل الموثوق به كجهاز ظاهري مستقل أو كمجموعات مقياس الجهاز الظاهري على Azure دون نشر وإدارة خدمة حماية المضيف الأخرى. يمكن تمكين جميع ميزات "التشغيل الموثوق به" بتغيير بسيط في التعليمات البرمجية للتوزيع أو خانة اختيار على مدخل Microsoft Azure.

ما هو VM Guest State (VMGS)؟

حالة ضيف الجهاز الظاهري (VMGS) خاصة ب Trusted Launch VMs. إنه كائن ثنائي كبير الحجم تديره Azure ويحتوي على قواعد بيانات توقيع التمهيد الآمن لواجهة البرامج الثابتة الموسعة الموحدة (UEFI) ومعلومات الأمان الأخرى. ترتبط دورة حياة الكائن الثنائي كبير الحجم VMGS إلى تلك الخاصة بقرص نظام التشغيل.

هل يمكنني تعطيل "التشغيل الموثوق به" لنشر جهاز ظاهري جديد؟

توفر لك أجهزة التشغيل الظاهرية الموثوق بها أمان الحوسبة الأساسية. نوصي بعدم تعطيلها لعمليات نشر جديدة لمجموعة مقياس الجهاز الظاهري أو الجهاز الظاهري إلا إذا كانت عمليات التوزيع الخاصة بك تعتمد على:

يمكنك استخدام المعلمة securityType Standard مع القيمة لتعطيل Trusted Launch في عمليات نشر جديدة لمجموعة مقياس الجهاز الظاهري أو VM باستخدام Azure PowerShell (v10.3.0+) وAzure CLI (v2.53.0+).

إشعار

لا نوصي بتعطيل التمهيد الآمن إلا إذا كنت تستخدم نواة أو برامج تشغيل مخصصة غير موقعة.

إذا كنت بحاجة إلى تعطيل التمهيد الآمن، ضمن تكوين الجهاز الظاهري، قم بإلغاء تحديد الخيار تمكين التمهيد الآمن.

المبادره القطريه
بوويرشيل

az vm create -n MyVm -g MyResourceGroup --image Ubuntu2204 `
    --security-type 'Standard'

$adminUsername = <USER NAME>
$adminPassword = <PASSWORD> | ConvertTo-SecureString -AsPlainText -Force
$vmCred = New-Object System.Management.Automation.PSCredential($adminUsername, $adminPassword)
New-AzVM -Name MyVm -Credential $vmCred -SecurityType Standard

الميزات والنشرات المدعومة

يناقش هذا القسم ميزات التشغيل الموثوق به والنشرات المدعومة.

هل Azure Compute Gallery مدعوم من قبل Trusted Launch؟

يسمح التشغيل الموثوق به الآن بإنشاء الصور ومشاركتها من خلال معرض حوسبة Azure (معرض الصور المشترك سابقا). يمكن أن يكون مصدر الصورة:

جهاز Azure ظاهري موجود إما معمم أو متخصص.
قرص مدار موجود أو لقطة.
VHD أو إصدار صورة من معرض آخر.

لمزيد من المعلومات حول نشر جهاز ظاهري لإطلاق موثوق به باستخدام معرض الحوسبة Azure، راجع نشر أجهزة التشغيل الظاهرية الموثوق بها.

هل Azure Backup مدعوم من قبل Trusted Launch؟

يدعم التشغيل الموثوق به الآن Azure Backup. لمزيد من المعلومات، راجع مصفوفة دعم نسخة احتياطية لجهاز ظاهري من Azure.

هل سيستمر Azure Backup في العمل بعد تمكين التشغيل الموثوق به؟

تستمر النسخ الاحتياطية التي تم تكوينها باستخدام النهج المحسن في أخذ نسخ احتياطية من الأجهزة الظاهرية بعد تمكين التشغيل الموثوق به.

هل أقراص نظام التشغيل سريعة الزوال مدعومة من قبل Trusted Launch؟

يدعم Trusted Launch أقراص نظام التشغيل المؤقتة. لمزيد من المعلومات، راجع التشغيل الموثوق به لأقراص نظام التشغيل المؤقتة.

إشعار

عند استخدام الأقراص سريعة الزوال لأجهزة التشغيل الظاهرية الموثوق بها، قد لا تستمر المفاتيح والأسرار التي تم إنشاؤها أو إغلاقها بواسطة الوحدة النمطية للنظام الأساسي الموثوق به الظاهري (vTPM) بعد إنشاء الجهاز الظاهري عبر عمليات مثل إعادة التعيين وأحداث النظام الأساسي مثل شفاء الخدمة.

هل تتوفر ميزات الأمان مع التشغيل الموثوق به قابلة للتطبيق على أقراص البيانات أيضا؟

يوفر التشغيل الموثوق به أمانا تأسيسيا لنظام التشغيل المستضاف في الجهاز الظاهري من خلال التصديق على تكامل التمهيد الخاص به. تنطبق ميزات أمان التشغيل الموثوق بها على تشغيل أقراص نظام التشغيل ونظام التشغيل فقط، ولا تنطبق على أقراص البيانات أو ثنائيات نظام التشغيل المخزنة في أقراص البيانات. لمزيد من التفاصيل، راجع نظرة عامة على التشغيل الموثوق به

هل يمكن استعادة جهاز ظاهري باستخدام النسخ الاحتياطية التي تم أخذها قبل تمكين "التشغيل الموثوق به"؟

يمكن استخدام النسخ الاحتياطية التي تم أخذها قبل ترقية جهاز ظاهري موجود من الجيل 2 إلى Trusted Launch لاستعادة الجهاز الظاهري بأكمله أو أقراص البيانات الفردية. لا يمكن استخدامها لاستعادة قرص نظام التشغيل أو استبداله فقط.

كيف يمكنني العثور على أحجام الأجهزة الظاهرية التي تدعم "التشغيل الموثوق به"؟

راجع قائمة أحجام الأجهزة الظاهرية من الجيل 2 التي تدعم التشغيل الموثوق به.

استخدم الأوامر التالية للتحقق مما إذا كان حجم الجهاز الظاهري من الجيل 2 لا يدعم التشغيل الموثوق به.

المبادره القطريه
بوويرشيل

subscription="<yourSubID>"
region="westus"
vmSize="Standard_NC12s_v3"

az vm list-skus --resource-type virtualMachines  --location $region --query "[?name=='$vmSize'].capabilities" --subscription $subscription

$region = "southeastasia"
$vmSize = "Standard_M64"
(Get-AzComputeResourceSku | where {$_.Locations.Contains($region) -and ($_.Name -eq $vmSize) })[0].Capabilities

الاستجابة مشابهة للنموذج التالي. يشير الإخراج الذي يتضمن TrustedLaunchDisabled True إلى أن حجم الجهاز الظاهري من الجيل 2 لا يدعم التشغيل الموثوق به. إذا كان حجم TrustedLaunchDisabled الجهاز الظاهري من الجيل 2 وليس جزءا من الإخراج، يتم دعم "التشغيل الموثوق به" لحجم الجهاز الظاهري هذا.

Name                                         Value
----                                         -----
MaxResourceVolumeMB                          8192000
OSVhdSizeMB                                  1047552
vCPUs                                        64
MemoryPreservingMaintenanceSupported         False
HyperVGenerations                            V1,V2
MemoryGB                                     1000
MaxDataDiskCount                             64
CpuArchitectureType                          x64
MaxWriteAcceleratorDisksAllowed              8
LowPriorityCapable                           True
PremiumIO                                    True
VMDeploymentTypes                            IaaS
vCPUsAvailable                               64
ACUs                                         160
vCPUsPerCore                                 2
CombinedTempDiskAndCachedIOPS                80000
CombinedTempDiskAndCachedReadBytesPerSecond  838860800
CombinedTempDiskAndCachedWriteBytesPerSecond 838860800
CachedDiskBytes                              1318554959872
UncachedDiskIOPS                             40000
UncachedDiskBytesPerSecond                   1048576000
EphemeralOSDiskSupported                     True
EncryptionAtHostSupported                    True
CapacityReservationSupported                 False
TrustedLaunchDisabled                        True
AcceleratedNetworkingEnabled                 True
RdmaEnabled                                  False
MaxNetworkInterfaces                         8

كيف يمكنني التحقق من أن صورة نظام التشغيل تدعم "التشغيل الموثوق به"؟

راجع قائمة إصدارات نظام التشغيل المدعومة مع التشغيل الموثوق به.

صور نظام التشغيل Marketplace

استخدم الأوامر التالية للتحقق مما إذا كانت صورة Azure Marketplace OS تدعم Trusted Launch.

المبادره القطريه
بوويرشيل

az vm image show --urn "MicrosoftWindowsServer:WindowsServer:2022-datacenter-azure-edition:latest"

الاستجابة مشابهة للنموذج التالي. إذا كان hyperVGeneration يحتوي v2 على TrustedLaunch و SecurityType في الإخراج، فإن صورة نظام التشغيل من الجيل 2 تدعم التشغيل الموثوق به.

{
  "architecture": "x64",
  "automaticOsUpgradeProperties": {
    "automaticOsUpgradeSupported": false
  },
  "dataDiskImages": [],
  "disallowed": {
    "vmDiskType": "Unmanaged"
  },
  "extendedLocation": null,
  "features": [
    {
      "name": "SecurityType",
      "value": "TrustedLaunchAndConfidentialVmSupported"
    },
    {
      "name": "IsAcceleratedNetworkSupported",
      "value": "True"
    },
    {
      "name": "DiskControllerTypes",
      "value": "SCSI, NVMe"
    },
    {
      "name": "IsHibernateSupported",
      "value": "True"
    }
  ],
  "hyperVGeneration": "V2",
  "id": "/Subscriptions/00000000-0000-0000-0000-00000000000/Providers/Microsoft.Compute/Locations/westus/Publishers/MicrosoftWindowsServer/ArtifactTypes/VMImage/Offers/WindowsServer/Skus/2022-datacenter-azure-edition/Versions/20348.1906.230803",
  "imageDeprecationStatus": {
    "alternativeOption": null,
    "imageState": "Active",
    "scheduledDeprecationTime": null
  },
  "location": "westus",
  "name": "20348.1906.230803",
  "osDiskImage": {
    "operatingSystem": "Windows",
    "sizeInGb": 127
  },
  "plan": null,
  "tags": null
}

Get-AzVMImage -Skus 22_04-lts-gen2 -PublisherName Canonical -Offer 0001-com-ubuntu-server-jammy -Location westus3 -Version latest

يمكنك استخدام إخراج الأمر مع الأجهزة الظاهرية - الحصول على واجهة برمجة التطبيقات. الاستجابة مشابهة للنموذج التالي. إذا كان hyperVGeneration يحتوي v2 على TrustedLaunch و SecurityType في الإخراج، فإن صورة نظام التشغيل من الجيل 2 تدعم التشغيل الموثوق به.

{
    "properties": {
        "hyperVGeneration": "V2",
        "architecture": "x64",
        "replicaType": "Managed",
        "replicaCount": 10,
        "disallowed": {
            "vmDiskType": "Unmanaged"
        },
        "automaticOSUpgradeProperties": {
            "automaticOSUpgradeSupported": false
        },
        "imageDeprecationStatus": {
            "imageState": "Active"
        },
        "features": [
            {
                "name": "SecurityType",
                "value": "TrustedLaunchSupported"
            },
            {
                "name": "IsAcceleratedNetworkSupported",
                "value": "True"
            },
            {
                "name": "DiskControllerTypes",
                "value": "SCSI, NVMe"
            },
            {
                "name": "IsHibernateSupported",
                "value": "True"
            }
        ],
        "osDiskImage": {
            "operatingSystem": "Linux",
            "sizeInGb": 30
        },
        "dataDiskImages": []
    },
    "location": "WestUS3",
    "name": "22.04.202309080",
    "id": "/Subscriptions/00000000-0000-0000-0000-000000000000/Providers/Microsoft.Compute/Locations/WestUS3/Publishers/Canonical/ArtifactTypes/VMImage/Offers/0001-com-ubuntu-server-jammy/Skus/22_04-lts-gen2/Versions/22.04.202309080"
}

صورة نظام تشغيل معرض الحوسبة Azure

استخدم الأوامر التالية للتحقق مما إذا كانت صورة Azure Compute Gallery OS تدعم Trusted Launch.

المبادره القطريه
بوويرشيل

az sig image-definition show `
    --gallery-image-definition myImageDefinition `
    --gallery-name myImageGallery `
    --resource-group myImageGalleryRg

{
  "architecture": "x64",
  "features": [
    {
      "name": "SecurityType",
      "value": "TrustedLaunchSupported"
    }
  ],
  "hyperVGeneration": "V2",
  "id": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myImageGalleryRg/providers/Microsoft.Compute/galleries/myImageGallery/images/myImageDefinition",
  "identifier": {
    "offer": "myImageDefinition",
    "publisher": "myImageDefinition",
    "sku": "myImageDefinition"
  },
  "location": "westus3",
  "name": "myImageDefinition",
  "osState": "Generalized",
  "osType": "Windows",
  "provisioningState": "Succeeded",
  "recommended": {
    "memory": {
      "max": 32,
      "min": 1
    },
    "vCPUs": {
      "max": 16,
      "min": 1
    }
  },
  "resourceGroup": "myImageGalleryRg",
  "tags": {},
  "type": "Microsoft.Compute/galleries/images"
}

Get-AzGalleryImageDefinition -ResourceGroupName myImageGalleryRg `
    -GalleryName myImageGallery -GalleryImageDefinitionName myImageDefinition

ResourceGroupName : myImageGalleryRg
OsType            : Windows
OsState           : Generalized
HyperVGeneration  : V2
Identifier        :
  Publisher       : myImageDefinition
  Offer           : myImageDefinition
  Sku             : myImageDefinition
Recommended       :
  VCPUs           :
    Min           : 1
    Max           : 16
  Memory          :
    Min           : 1
    Max           : 32
ProvisioningState : Succeeded
Id                : /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myImageGalleryRg/providers/Microsoft.Compute/galleries/myImageGallery/images/myImageDefinition
Name              : myImageDefinition
Type              : Microsoft.Compute/galleries/images
Location          : westus3
Tags              : {}
Features[0]       :
  Name            : SecurityType
  Value           : TrustedLaunchSupported
Architecture      : x64

كيف تعمل برامج تشغيل الاتصالات الخارجية مع أجهزة التشغيل الظاهرية الموثوق بها؟

تتطلب إضافة منافذ COM تعطيل التمهيد الآمن. يتم تعطيل منافذ COM بشكل افتراضي في Trusted Launch VMs.

استكشاف المشكلات وإصلاحها

يجيب هذا القسم على أسئلة حول حالات معينة وأنواع التمهيد ومشكلات التمهيد الشائعة.

ماذا يجب أن أفعل عندما يكون لدى جهاز التشغيل الموثوق به VM حالات فشل في النشر؟

يوفر هذا القسم تفاصيل إضافية حول فشل توزيع "التشغيل الموثوق به" لكي تتمكن من اتخاذ الإجراء المناسب لمنعها.

Virtual machine <vm name> failed to create from the selected snapshot because the virtual Trusted Platform Module (vTPM) state is locked.
To proceed with the VM creation, please select a different snapshot without a locked vTPM state.
For more assistance, please refer to “Troubleshooting locked vTPM state” in FAQ page at https://aka.ms/TrustedLaunch-FAQ.

يحدث خطأ التوزيع هذا عندما يتعذر الوصول إلى اللقطة أو نقطة الاستعادة المتوفرة أو غير قابلة للاستخدام للأسباب التالية:

حالة ضيف الجهاز الظاهري التالفة (VMGS)
vTPM في حالة تأمين
يوجد واحد أو أكثر من فهارس vTPM الهامة في حالة غير صالحة.

يمكن أن يحدث ما سبق إذا كان المستخدم أو حمل العمل الذي يعمل على الجهاز الظاهري يعين التأمين على vTPM أو يعدل فهارس vTPM الهامة التي تترك vTPM في حالة غير صالحة.

ستؤدي إعادة المحاولة بنفس نقطة اللقطة/الاستعادة إلى نفس الفشل.

لحل هذه المشكلة:

في المصدر Trusted Launch VM حيث تم إنشاء اللقطة أو نقطة الاستعادة، يجب تصحيح أخطاء vTPM.
1. إذا تم تعديل حالة vTPM بواسطة حمل عمل على الجهاز الظاهري، تحتاج إلى استخدام نفس الشيء للتحقق من حالات الخطأ وإحضار vTPM إلى حالة عدم الخطأ.
2. إذا تم استخدام أدوات TPM لتعديل حالة vTPM، فيجب عليك استخدام نفس الأدوات للتحقق من حالات الخطأ وإحضار vTPM إلى حالة عدم الخطأ.

بمجرد أن تكون اللقطة أو نقطة الاستعادة خالية من هذه الأخطاء، يمكنك استخدام هذا لإنشاء جهاز ظاهري جديد لإطلاق موثوق به.

لماذا لا يتم تشغيل الجهاز الظاهري للتشغيل الموثوق به بشكل صحيح؟

إذا تم الكشف عن المكونات غير الموقعة من UEFI (البرنامج الثابت للضيف) أو محمل التمهيد أو نظام التشغيل أو برامج تشغيل التمهيد، فلن يتم تشغيل الجهاز الظاهري للتشغيل الموثوق به. يفشل إعداد التمهيد الآمن في الجهاز الظاهري للتشغيل الموثوق به في التمهيد إذا تمت مصادفة مكونات تمهيد غير موقعة أو غير موثوق بها أثناء عملية التمهيد والتقارير كفشل في التمهيد الآمن.

لقطة شاشة تعرض مسار التشغيل الموثوق به من التمهيد الآمن إلى برامج تشغيل الجهات الخارجية.

إشعار

يجب ألا تواجه أجهزة التشغيل الظاهرية الموثوق بها التي تم إنشاؤها مباشرة من صورة Azure Marketplace حالات فشل التمهيد الآمن. يجب ألا تواجه صور معرض حوسبة Azure مع مصدر صور أصلي ل Azure Marketplace واللقطات التي تم إنشاؤها من أجهزة التشغيل الظاهرية الموثوق بها هذه الأخطاء أيضا.

كيف يمكنني التحقق من سيناريو عدم التمهيد في مدخل Microsoft Azure؟

عندما يصبح الجهاز الظاهري غير متوفر من فشل التمهيد الآمن، يعني "عدم التمهيد" أن الجهاز الظاهري يحتوي على مكون نظام التشغيل الذي تم توقيعه من قبل مرجع موثوق به، والذي يحظر تشغيل جهاز ظاهري موثوق به. في نشر الجهاز الظاهري، قد ترى معلومات من صحة الموارد داخل مدخل Microsoft Azure تفيد بوجود خطأ في التحقق من الصحة في التمهيد الآمن.

للوصول إلى صحة الموارد من صفحة تكوين الجهاز الظاهري، انتقل إلى صحة الموارد ضمن جزء التعليمات .

إذا تحققت من أن سبب عدم التمهيد هو فشل التمهيد الآمن:

الصورة التي تستخدمها هي إصدار أقدم قد يحتوي على مكون تمهيد واحد أو أكثر غير موثوق به وهو على مسار الإهمال. لمعالجة صورة قديمة، قم بتحديث إلى إصدار صورة أحدث مدعوم.
ربما تم إنشاء الصورة التي تستخدمها خارج مصدر السوق أو تم تعديل مكونات التمهيد وتحتوي على مكونات تمهيد غير موقعة أو غير موثوق بها. للتحقق مما إذا كانت صورتك تحتوي على مكونات تمهيد غير موقعة أو غير موثوق بها، راجع القسم التالي، "التحقق من فشل التمهيد الآمن".
إذا لم يتم تطبيق السيناريوهين السابقين، فمن المحتمل أن يكون الجهاز الظاهري مصابا بالبرامج الضارة (bootkit/rootkit). ضع في اعتبارك حذف الجهاز الظاهري وإعادة إنشاء جهاز ظاهري جديد من نفس الصورة المصدر أثناء تقييم جميع البرامج التي يتم تثبيتها.

لماذا يظهر جهاز التشغيل الموثوق به الظاهري ذاكرة أقل بسعة 50 ميغابايت؟

باستخدام Trusted Launch، يتم إنشاء بيئة تنفيذ تعرف عادة باسم "paravisor" ويتم تشغيلها داخل الجهاز الظاهري. عادة ما يتم استخدام حوالي 50 ميغابايت من الذاكرة من قبل المعلم وسيظهر على أنه "محجوز" داخل نظام التشغيل الضيف.

التحقق من فشل التمهيد الآمن

يساعدك هذا القسم على التحقق من فشل التمهيد الآمن.

أجهزة Linux الظاهرية

للتحقق من مكونات التمهيد المسؤولة عن فشل التمهيد الآمن داخل Azure Linux VM، يمكنك استخدام أداة SBInfo من حزمة أمان Linux.

إيقاف تشغيل التمهيد الآمن.
الاتصال ب Azure Linux Trusted Launch VM.
تثبيت أداة SBInfo للتوزيع الذي يعمل به الجهاز الظاهري. وهو موجود داخل حزمة أمان Linux.

تنطبق هذه الأوامر على Ubuntu و Debian والتوزيعات الأخرى المستندة إلى Debian.

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ trusty main" | sudo tee -a /etc/apt/sources.list.d/azure.list

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ xenial main" | sudo tee -a /etc/apt/sources.list.d/azure.list

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ bionic main" | sudo tee -a /etc/apt/sources.list.d/azure.list

wget https://packages.microsoft.com/keys/microsoft.asc

wget https://packages.microsoft.com/keys/msopentech.asc

sudo apt-key add microsoft.asc && sudo apt-key add msopentech.asc

sudo apt update && sudo apt install azure-security

تنطبق هذه الأوامر على RHEL وCentOS والتوزيعات الأخرى المستندة إلى Red Hat.

echo "[packages-microsoft-com-azurecore]" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "name=packages-microsoft-com-azurecore" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "baseurl=https://packages.microsoft.com/yumrepos/azurecore/" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "enabled=1" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "gpgcheck=0" | sudo tee -a /etc/yum.repos.d/azurecore.repo

sudo yum install azure-security

تنطبق هذه الأوامر على SLES وopenSUSE والتوزيعات الأخرى المستندة إلى SUSE.

sudo zypper ar -t rpm-md -n "packages-microsoft-com-azurecore" --no-gpgcheck https://packages.microsoft.com/yumrepos/azurecore/ azurecore

sudo zypper install azure-security

بعد تثبيت حزمة أمان Linux للتوزيع الخاص بك، قم بتشغيل sbinfo الأمر للتحقق من مكونات التمهيد المسؤولة عن فشل التمهيد الآمن عن طريق عرض جميع الوحدات النمطية غير الموقعة والنوى ومحملات التمهيد.

sudo sbinfo -u -m -k -b

لمعرفة المزيد حول أداة تشخيص SBInfo، يمكنك تشغيل sudo sbinfo -help.

لماذا أتلقى خطأ في مراقبة تكامل التمهيد؟

تتم مراقبة التشغيل الموثوق به لأجهزة Azure الظاهرية للتهديدات المتقدمة. إذا تم الكشف عن مثل هذه التهديدات، يتم تشغيل تنبيه. تتوفر التنبيهات فقط إذا تم تمكين ميزات الأمان المحسنة في Microsoft Defender for Cloud .

يقوم Microsoft Defender for Cloud بإجراء التصديق بشكل دوري. إذا فشل التصديق، يتم تشغيل تنبيه متوسط الخطورة. يمكن أن يفشل إثبات التشغيل الموثوق به للأسباب التالية:

المعلومات المثبتة، والتي تتضمن سجل قاعدة حوسبة موثوقة (TCB)، تحيد عن الأساس الموثوق (كما هو الحال عند تمكين Secure Boot). يشير أي انحراف إلى أنه تم تحميل وحدات نمطية غير موثوق بها وقد يتم اختراق نظام التشغيل.
تعذر التحقق من اقتباس التصديق لينشأ من vTPM للجهاز الظاهري المصدق عليه. يشير فشل التحقق إلى وجود برامج ضارة وقد تعترض حركة المرور إلى TPM.
ملحق التصديق على الجهاز الظاهري لا يستجيب. يشير الملحق غير المستجيب إلى هجوم رفض الخدمة من قبل البرامج الضارة أو مسؤول نظام التشغيل.

الشهادات

يوفر هذا القسم معلومات حول الشهادات.

كيف يمكنني إنشاء جذر الثقة مع أجهزة التشغيل الظاهرية الموثوق بها؟

توفر لك الشهادة العامة الظاهرية TPM AK رؤية للحصول على معلومات حول سلسلة الشهادات الكاملة (الشهادات الجذر والمتوسطة) لمساعدتك في التحقق من صحة الثقة في الشهادة وسلسلة الجذر. للتأكد من أن لديك باستمرار أعلى وضع أمان ل Trusted Launch، فإنه يوفر معلومات حول خصائص المثيل بحيث يمكنك التتبع مرة أخرى إلى السلسلة الكاملة.

تنزيل التعليمات

تكشف شهادات الحزمة، المكونة من .p7b (المرجع المصدق الكامل) .cer (المرجع المصدق المتوسط)، عن التوقيع والمرجع المصدق. انسخ المحتوى ذي الصلة واستخدم أدوات الشهادة لفحص تفاصيل الشهادات وتقييمها.

حدد لتنزيل .crt التالي ل Azure Virtual TPM Root Certificate Authority 2023

مرجع مصدق جذر Azure Virtual TPM 2023

حدد لعرض محتوى .p7b

Global Virtual TPM CA - 01:

حدد لعرض محتوى .cert للشهادة الجذر

مرجع مصدق جذر Azure Virtual TPM 2023

حدد لعرض محتوى المرجع المصدق الوسيط

شهادة المرجع المصدق المتوسطة ل TPM:

"Global Virtual TPM CA - XX" (intermediate CA) [.cer], 
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

Intermediate Certificate Authority

Thumbprint # db1f3959dcce7091f87c43446be1f4ab2d3415b7
Serial Number # 3300000002c0d17b4b8f979c35000000000002
Valid Until # November 3rd, 2025

ما هي الشهادات الموثوق بها المملوكة من Microsoft المضمنة في أجهزة Azure الظاهرية؟

بالنسبة للأجهزة الظاهرية ل Windows، تم إنشاء شهادة المرجع المصدق ل Windows في البرنامج الثابت ل UEFI. بالنسبة لأجهزة Linux الظاهرية، تم إنشاء شهادة المرجع المصدق ل Microsoft UEFI في البرنامج الثابت ل UEFI. بالنسبة لأجهزة Azure Linux الظاهرية فقط، تتم إضافة شهادة "Azure Services Linux Kmod PCA" إضافية في البرنامج الثابت UEFI لجميع توزيعات Linux. يتم استخدام Linux Kmod PCA لتوقيع وحدات النواة المملوكة ل Microsoft.

تتم إضافة شهادة Linux Kmod PCA لجعل تجربة العملاء أكثر سلاسة عند استخدام حلول Microsoft مثل Azure Site Recovery (ASR) الذي يقوم بتثبيت وحدة kernel. سيتم تحميل وحدة ASR kernel دون أي إجراء من العملاء لتوفير مفتاح حيث يتم توقيع وحدة ASR kernel باستخدام شهادة "خدمات Azure Services Linux Kmod PCA" الموثوق بها.

تنزيل التعليمات

شهادات الحزمة، المكونة من .p7b .cer تكشف عن التوقيع والمرجع المصدق. انسخ المحتوى ذي الصلة واستخدم أدوات الشهادة لفحص تفاصيل الشهادات وتقييمها.

حدد لتنزيل .crt التالي ل Microsoft Windows CA

Microsoft Windows CA

حدد لتنزيل .crt التالي ل MICROSOFT UEFI CA

Microsoft UEFI CA

حدد لعرض محتوى .p7b

خدمات Azure شهادة Linux kmod PCA:

مشاركة عبر

الأسئلة المتداولة حول التشغيل الموثوق به

حالات الاستخدام

لماذا يجب استخدام "التشغيل الموثوق به"؟ ما الذي يحميه Trusted Launch؟

ما هي الاختلافات بين التمهيد الآمن والتمهيد المقيس؟

كيف يقارن "التشغيل الموثوق به" بالجهاز الظاهري المحمي من Hyper-V؟

ما هو VM Guest State (VMGS)؟

هل يمكنني تعطيل "التشغيل الموثوق به" لنشر جهاز ظاهري جديد؟

الميزات والنشرات المدعومة

هل Azure Compute Gallery مدعوم من قبل Trusted Launch؟

هل Azure Backup مدعوم من قبل Trusted Launch؟

هل سيستمر Azure Backup في العمل بعد تمكين التشغيل الموثوق به؟

هل أقراص نظام التشغيل سريعة الزوال مدعومة من قبل Trusted Launch؟

هل تتوفر ميزات الأمان مع التشغيل الموثوق به قابلة للتطبيق على أقراص البيانات أيضا؟

هل يمكن استعادة جهاز ظاهري باستخدام النسخ الاحتياطية التي تم أخذها قبل تمكين "التشغيل الموثوق به"؟

كيف يمكنني العثور على أحجام الأجهزة الظاهرية التي تدعم "التشغيل الموثوق به"؟

كيف يمكنني التحقق من أن صورة نظام التشغيل تدعم "التشغيل الموثوق به"؟

صور نظام التشغيل Marketplace

صورة نظام تشغيل معرض الحوسبة Azure

كيف تعمل برامج تشغيل الاتصالات الخارجية مع أجهزة التشغيل الظاهرية الموثوق بها؟

استكشاف المشكلات وإصلاحها

ماذا يجب أن أفعل عندما يكون لدى جهاز التشغيل الموثوق به VM حالات فشل في النشر؟

لماذا لا يتم تشغيل الجهاز الظاهري للتشغيل الموثوق به بشكل صحيح؟

كيف يمكنني التحقق من سيناريو عدم التمهيد في مدخل Microsoft Azure؟

لماذا يظهر جهاز التشغيل الموثوق به الظاهري ذاكرة أقل بسعة 50 ميغابايت؟

التحقق من فشل التمهيد الآمن

أجهزة Linux الظاهرية

لماذا أتلقى خطأ في مراقبة تكامل التمهيد؟

الشهادات

كيف يمكنني إنشاء جذر الثقة مع أجهزة التشغيل الظاهرية الموثوق بها؟

تنزيل التعليمات

ما هي الشهادات الموثوق بها المملوكة من Microsoft المضمنة في أجهزة Azure الظاهرية؟

تنزيل التعليمات

الملاحظات

الموارد الإضافية