Důvěryhodné spuštění pro Azure Kubernetes Service (AKS)

Trusted Launch zlepšuje zabezpečení virtuálních počítačů generace 2 tím, že chrání před pokročilými a trvalými technikami útoku. Umožňuje správcům nasazovat uzly AKS, které obsahují základní virtuální počítače s ověřenými a podepsanými spouštěcími zavaděči, jádry operačního systému a ovladači. Pomocí zabezpečeného a měřeného spouštění získávají správci přehledy a jistotu o integritě celého spouštěcího řetězce.

Tento článek vám pomůže pochopit tuto novou funkci a jak ji implementovat.

Poznámka:

Trusted Launch se podporuje s Node Auto Provisioning (NAP). Další informace naleznete v tématu Povolit důvěryhodné spuštění v clusterech NAP.

Důležité

Od 30. listopadu 2025 už Azure Kubernetes Service (AKS) nepodporuje ani neposkytuje aktualizace zabezpečení pro Azure Linux 2.0. Bitová kopie uzlu Azure Linux 2.0 je zmrazená na vydání 202512.06.0. Od 31. října 2026 se image uzlů odeberou a nebudete moct škálovat fondy uzlů. Přejděte na podporovanou verzi Azure Linuxu aktualizací poolů uzlů na podporovanou verzi Kubernetes nebo migrací na osSku AzureLinux3. Další informace najdete v tématu Problém s vyřazením z GitHubu a oznámení o vyřazení aktualizací Azure. Pokud chcete mít přehled o oznámeních a aktualizacích, postupujte podle poznámek k verzi AKS.

Přehled

Trusted Launch se skládá z několika koordinovaných technologií infrastruktury, které lze povolit nezávisle. Každá technologie poskytuje další vrstvu ochrany před sofistikovanými hrozbami.

vTPM – Trusted Launch zavádí virtualizovanou verzi hardwarového čipu TPM (Trusted Platform Module ), která je kompatibilní se specifikací TPM 2.0. Slouží jako vyhrazené zabezpečené úložiště pro klíče a naměřené hodnoty. Trusted Launch poskytuje virtuálnímu počítači vlastní vyhrazenou instanci TPM spuštěnou v zabezpečeném prostředí mimo dosah jakéhokoli virtuálního počítače. vTPM umožňuje atestaci tím, že měří celý spouštěcí řetězec vašeho virtuálního počítače (UEFI, operační systém, systém a ovladače). Trusted Launch používá virtuální počítač vTPM k provedení vzdáleného ověření cloudem. Používá se pro kontroly stavu platformy a pro rozhodování na základě důvěryhodnosti. Při kontrole stavu může důvěryhodné spuštění kryptograficky certifikovat, že se váš virtuální počítač správně spustil. Pokud proces selže, pravděpodobně proto, že váš virtuální počítač používá neautorizovanou komponentu, Microsoft Defender for Cloud vydá upozornění na narušení integrity. Mezi výstrahy patří podrobnosti o tom, které komponenty neprošly kontrolou integrity.
Zabezpečené spouštění – Základem Důvěryhodného spuštění vašeho virtuálního počítače je zabezpečené spouštění. Tento režim, který je implementován v firmwaru platformy, chrání před instalací rootkitů a spouštěcích sad založených na malwaru. Zabezpečené spouštění funguje s cílem zajistit, aby se mohly spouštět jenom podepsané operační systémy a ovladače. Vytvoří "kořen důvěryhodnosti" pro softwarový zásobník na vašem virtuálním počítači. Pokud je povolené zabezpečené spouštění, musí být všechny spouštěcí komponenty operačního systému (zavaděč spouštění, jádro, ovladače jádra) podepsané důvěryhodnými vydavateli. Windows i výběr linuxových distribucí podporují zabezpečené spouštění. Pokud Secure Boot nedokáže ověřit bitovou kopii podepsanou důvěryhodným vydavatelem, virtuálnímu počítači nebude dovoleno spustit se. Další informace najdete v tématu Zabezpečené spouštění.

Než začnete

Azure CLI verze 2.66.0 nebo novější. Spuštěním az --version zjistíte verzi a spuštěním az upgrade verzi aktualizujete. Pokud potřebujete instalaci nebo upgrade, přečtěte si téma Instalace Azure CLI.
Pokud chcete používat Trusted Launch se službou Azure Container Linux (ACL), nainstalujte Azure CLI verze 2.86.0 nebo novější.

Secure Boot vyžaduje podepsané zavaděče, jádra operačního systému a ovladače.

Omezení

AKS podporuje Trusted Launch od verze Kubernetes 1.25.2 výše.
Fondy uzlů ACL s důvěryhodným spuštěním vyžadují AKS verze 1.34 nebo novější.
Důvěryhodné spuštění podporuje pouze virtuální počítače Azure 2. generace.
Skupiny uzlů s operačním systémem Windows Server nejsou podporovány.
U fondů uzlů Ubuntu a Azure Linux nemůžete povolit Trusted Launch ve stejném fondu uzlů jako Arm64, Sandboxing podů nebo Confidential VM. Azure Container Linux (ACL) podporuje důvěryhodné spuštění na podporovaných velikostech virtuálních počítačů AMD64 a podporovaných velikostech virtuálních počítačů Arm64. Další informace najdete v dokumentaci k imagím uzlů.
Důvěryhodné spuštění můžete povolit ve stejném fondu uzlů jako FIPS s Ubuntu 22.04 nebo ACL.
Trusted Launch nepodporuje virtuální uzel.
Skupiny dostupnosti nejsou podporovány, podporovány jsou pouze škálovací sady virtuálních počítačů.
Pokud chcete povolit zabezpečené spouštění ve fondech uzlů GPU pomocí operačního systému Ubuntu, musíte přeskočit instalaci ovladače GPU (--gpu-driver None). Další informace najdete v tématu Vynechání instalace ovladače GPU a použití GRAFICKÝch procesorů NVIDIA na Azure Kubernetes Service (AKS). Toto omezení neplatí pro spouštění úloh GPU s operačními systémy Azure Linux nebo Azure Container Linux.
Efemérní disky operačního systému lze vytvořit s funkcí Trusted Launch a jsou podporovány ve všech oblastech. Nepodporují se ale všechny velikosti virtuálních počítačů. Další informace naleznete v tématu Velikosti efemérního operačního systému pro Trusted Launch.
Flatcar Container Linux pro AKS nepodporuje důvěryhodné spuštění v AKS.
Důvěryhodné spuštění se nepodporuje prostřednictvím poskytovatele Terraformu AzureRM (azurerm). Pokud chcete nasadit fondy uzlů s funkcí Trusted Launch, použijte pokyny pro Azure CLI, šablony ARM nebo Bicep uvedené v tomto článku.

Vytvořte cluster AKS s povolenou funkcí Trusted Launch

Při vytváření clusteru povolení virtuálního modulu TPM (vTPM) nebo zabezpečeného spouštění automaticky nakonfiguruje vaše fondy uzlů tak, aby používaly upravený bitový obraz Trusted Launch. Tato image je speciálně nakonfigurovaná tak, aby podporovala funkce zabezpečení povolené důvěryhodným spuštěním.

Vytvořte cluster AKS pomocí příkazu az aks create . Před spuštěním příkazu zkontrolujte následující parametry:
- --name: Zadejte jedinečný název clusteru AKS, například myAKSCluster.
- --resource-group: Zadejte název existující skupiny prostředků, ve které bude umístěn prostředek clusteru AKS.
- --enable-secure-boot: Umožňuje zabezpečené spuštění ověřit image podepsanou důvěryhodným vydavatelem.
- --enable-vtpm: Povolí vTPM a provede atestaci měřením celého spouštěcího řetězce vašeho virtuálního počítače.
Poznámka:

Secure Boot vyžaduje podepsané zavaděče, jádra operačního systému a ovladače. Pokud se po povolení zabezpečeného spouštění uzlů nespustí, můžete ověřit, které spouštěcí komponenty zodpovídají za selhání zabezpečeného spouštění na virtuálním počítači Azure s Linuxem. Přečtěte si informace o ověření selhání zabezpečeného spouštění.

Následující příklad vytvoří cluster myAKSCluster s jedním uzlem v myResourceGroup a povolí zabezpečené spouštění a vTPM:
```
az aks create \
    --name myAKSCluster \
    --resource-group myResourceGroup \
    --node-count 1 \
    --enable-secure-boot \
    --enable-vtpm \
    --generate-ssh-keys
```
Spuštěním následujícího příkazu získejte přihlašovací údaje pro přístup ke clusteru Kubernetes. Použijte příkaz az aks get-credentials a nahraďte hodnoty názvu clusteru a názvu skupiny prostředků.
```
az aks get-credentials --resource-group myResourceGroup --name myAKSCluster
```

Vytvořte šablonu s parametry důvěryhodného spuštění. Před vytvořením šablony si projděte následující parametry:
- enableSecureBoot: Umožňuje zabezpečené spuštění ověřit image podepsanou důvěryhodným vydavatelem.
- enableVTPM: Povolí vTPM a provede atestaci měřením celého spouštěcího řetězce vašeho virtuálního počítače.
V šabloně zadejte hodnoty pro enableVTPM a enableSecureBoot. Stejné schéma použité pro nasazení CLI existuje v definici pod Microsoft.ContainerService/managedClusters/agentPools v sekci "properties", jak ukazuje následující příklad:
```
"properties": {
    ...,
    "securityProfile": {
        "enableVTPM": true,
        "enableSecureBoot": true,
    }
}
```
Nasaďte svou šablonu se zapnutým vTPM a zabezpečeným spouštěním ve vašem clusteru. Podrobné pokyny najdete v tématu Nasazení clusteru AKS pomocí šablony ARM .

Vytvořte soubor Bicep s parametry důvěryhodného spuštění. Před vytvořením souboru si projděte následující parametry:
- enableSecureBoot: Umožňuje zabezpečené spuštění ověřit image podepsanou důvěryhodným vydavatelem.
- enableVTPM: Povolí vTPM a provede atestaci měřením celého spouštěcího řetězce vašeho virtuálního počítače.
Do souboru Bicep zadejte hodnoty pro enableVTPM a enableSecureBoot. Stejné schéma použité pro nasazení CLI existuje v definici pod Microsoft.ContainerService/managedClusters/agentPools v sekci properties, jak ukazuje následující příklad:
```
properties: {
  // ...
  securityProfile: {
    enableVTPM: true
    enableSecureBoot: true
  }
}
```
Nasaďte v clusteru svůj soubor Bicep s povolenými funkcemi vTPM a zabezpečeného spouštění. Podrobné pokyny najdete v tématu Nasazení clusteru AKS pomocí souboru Bicep.

Zprostředkovatel Terraformu AzureRM (azurerm) nepodporuje Trusted Launch, protože nezpřístupňuje nastavení fondu uzlů pro Trusted Launch. Pokud chcete vytvořit cluster AKS s povolenou funkcí Trusted Launch, použijte pokyny k použití Azure CLI, šablony ARM nebo Bicepu uvedené v tomto článku.

Portál Azure nepodporuje vytvoření clusteru AKS s povoleným důvěryhodným spuštěním. Pokud chcete vytvořit cluster AKS s povolenou funkcí Trusted Launch, použijte pokyny k použití Azure CLI, šablony ARM nebo Bicepu uvedené v tomto článku.

Přidejte fond uzlů se zapnutou funkcí Trusted Launch

Když vytvoříte fond uzlů, povolení vTPM nebo zabezpečeného spouštění automaticky nakonfiguruje fondy uzlů tak, aby používaly přizpůsobenou bitovou kopii Trusted Launch. Tato image je speciálně nakonfigurovaná tak, aby podporovala funkce zabezpečení povolené důvěryhodným spuštěním.

Přidejte fond uzlů se zapnutou funkcí Trusted Launch pomocí příkazu az aks nodepool add. Před spuštěním příkazu zkontrolujte následující parametry:
- --cluster-name: Zadejte název clusteru AKS.
- --resource-group: Zadejte název existující skupiny prostředků, ve které bude umístěn prostředek clusteru AKS.
- --name: Zadejte jedinečný název fondu uzlů. Název fondu uzlů může obsahovat pouze malá písmena a alfanumerické znaky a musí začínat malým písmenem. U fondů uzlů Linuxu musí být délka 1 až 11 znaků.
- --node-count: Počet uzlů ve fondu agentů Kubernetes. Výchozí hodnota je 3.
- --enable-secure-boot: Umožňuje zabezpečené spuštění ověřit image podepsanou důvěryhodným vydavatelem.
- --enable-vtpm: Povolí vTPM a provede atestaci měřením celého spouštěcího řetězce vašeho virtuálního počítače.
Poznámka:

Secure Boot vyžaduje podepsané zavaděče, jádra operačního systému a ovladače. Pokud se po povolení zabezpečeného spouštění uzlů nespustí, můžete ověřit, které spouštěcí komponenty zodpovídají za selhání zabezpečeného spouštění na virtuálním počítači Azure s Linuxem. Přečtěte si informace o ověření selhání zabezpečeného spouštění.

Následující příklad nasadí fond uzlů se zapnutým vTPM a zabezpečeným spouštěním v clusteru s názvem myAKSCluster se třemi uzly:
```
az aks nodepool add --resource-group myResourceGroup --cluster-name myAKSCluster --name mynodepool --node-count 3 --enable-vtpm --enable-secure-boot
```
Zkontrolujte, zda váš fond uzlů používá bitovou kopii Trusted Launch.

Uzly Trusted Launch mají následující výstup:
- Verze image uzlu obsahující "TL", například "AKSUbuntu-2204-gen2TLcontainerd".
- Parametr "Security-type" by měl mít hodnotu "Trusted Launch".
```
kubectl get nodes
kubectl describe node {node-name} | grep -e node-image-version -e security-type
```

Vytvořte šablonu s parametry důvěryhodného spuštění. Před vytvořením šablony si projděte následující parametry:
- enableSecureBoot: Umožňuje zabezpečené spuštění ověřit image podepsanou důvěryhodným vydavatelem.
- enableVTPM: Povolí vTPM a provede atestaci měřením celého spouštěcího řetězce vašeho virtuálního počítače.
V šabloně zadejte hodnoty pro enableVTPM a enableSecureBoot. Stejné schéma použité pro nasazení CLI existuje v definici pod Microsoft.ContainerService/managedClusters/agentPools v sekci "properties", jak ukazuje následující příklad:
```
"properties": {
    ...,
    "securityProfile": {
        "enableVTPM": true,
        "enableSecureBoot": true,
    }
}
```
Nasaďte svou šablonu se zapnutým vTPM a zabezpečeným spouštěním ve vašem clusteru. Podrobné pokyny najdete v tématu Nasazení clusteru AKS pomocí šablony ARM .

Vytvořte soubor Bicep s parametry důvěryhodného spuštění. Před vytvořením souboru si projděte následující parametry:
- enableSecureBoot: Umožňuje zabezpečené spuštění ověřit image podepsanou důvěryhodným vydavatelem.
- enableVTPM: Povolí vTPM a provede atestaci měřením celého spouštěcího řetězce vašeho virtuálního počítače.
Do souboru Bicep zadejte hodnoty pro enableVTPM a enableSecureBoot. Stejné schéma použité pro nasazení CLI existuje v definici pod Microsoft.ContainerService/managedClusters/agentPools v sekci properties, jak ukazuje následující příklad:
```
properties: {
  // ...
  securityProfile: {
    enableVTPM: true
    enableSecureBoot: true
  }
}
```
Nasaďte v clusteru svůj soubor Bicep s povolenými funkcemi vTPM a zabezpečeného spouštění. Podrobné pokyny najdete v tématu Nasazení clusteru AKS pomocí souboru Bicep.

Zprostředkovatel Terraformu AzureRM (azurerm) nepodporuje Trusted Launch, protože nezpřístupňuje nastavení fondu uzlů pro Trusted Launch. Pokud chcete přidat fond uzlů s povoleným Důvěryhodným spuštěním, použijte pokyny v tomto článku pro Azure CLI, šablonu ARM nebo Bicep.

Portál Azure nepodporuje přidání fondu uzlů s povoleným důvěryhodným spuštěním. Pokud chcete přidat fond uzlů s povoleným Důvěryhodným spuštěním, použijte pokyny v tomto článku pro Azure CLI, šablonu ARM nebo Bicep.

Přidejte fond uzlů s povolenými funkcemi Trusted Launch a FIPS

Důvěryhodné spuštění a FIPS můžete povolit společně pro fondy uzlů Ubuntu 22.04 a Azure Container Linux (ACL) ve velikostech virtuálních počítačů generace 2.

Informace o operacích specifických pro FIPS, jako je zakázání FIPS ve stávajícím fondu uzlů, najdete v tématu Povolení standardu FIPS (Federal Information Processing Standard) pro fondy uzlů Azure Kubernetes Service (AKS).

Přidejte fond uzlů se zapnutými funkcemi Trusted Launch a FIPS pomocí příkazu az aks nodepool add. Před spuštěním příkazu zkontrolujte následující parametry:
- --cluster-name: Zadejte název clusteru AKS.
- --resource-group: Zadejte název existující skupiny prostředků, ve které bude umístěn prostředek clusteru AKS.
- --name: Zadejte jedinečný název fondu uzlů. Název fondu uzlů může obsahovat pouze malá písmena a alfanumerické znaky a musí začínat malým písmenem. U fondů uzlů Linuxu musí být délka 1 až 11 znaků.
- --node-count: Počet uzlů ve fondu agentů Kubernetes. Výchozí hodnota je 3.
- --enable-secure-boot: Umožňuje zabezpečené spuštění ověřit image podepsanou důvěryhodným vydavatelem.
- --enable-vtpm: Povolí vTPM a provede atestaci měřením celého spouštěcího řetězce vašeho virtuálního počítače.
- --enable-fips-image: Povolí pro fond uzlů bitovou kopii uzlu splňující standard FIPS.
- --os-sku: Volitelné. Nastavením na AzureContainerLinux vytvoříte fond uzlů ACL se zapnutým Trusted Launch a FIPS.
Poznámka:

Secure Boot vyžaduje podepsané zavaděče, jádra operačního systému a ovladače. Pokud se po povolení zabezpečeného spouštění uzlů nespustí, můžete ověřit, které spouštěcí komponenty zodpovídají za selhání zabezpečeného spouštění na virtuálním počítači Azure s Linuxem. Přečtěte si informace o ověření selhání zabezpečeného spouštění.

Následující příklad nasadí fond uzlů s povoleným vTPM, zabezpečeným spouštěním a standardem FIPS v clusteru s názvem myAKSCluster se třemi uzly:
```
az aks nodepool add --resource-group myResourceGroup --cluster-name myAKSCluster --name mynodepool --node-count 3 --enable-vtpm --enable-secure-boot --enable-fips-image
```
Pokud chcete vytvořit fond uzlů pomocí seznamu ACL, přidejte --os-sku AzureContainerLinux.
Ověřte, zda váš fond uzlů používá bitovou kopii Trusted Launch.

Uzly Trusted Launch mají následující výstup:
- Verze bitové kopie uzlu obsahující jak "TL", tak "FIPS".
- "Security-type" je "Trusted Launch".
```
kubectl get nodes
kubectl describe node {node-name} | grep -e node-image-version -e security-type
```

Vytvořte šablonu s parametry Důvěryhodné spuštění a FIPS. Před vytvořením šablony si projděte následující parametry:
- enableSecureBoot: Umožňuje zabezpečené spuštění ověřit image podepsanou důvěryhodným vydavatelem.
- enableVTPM: Povolí vTPM a provede atestaci měřením celého spouštěcího řetězce vašeho virtuálního počítače.
- enableFips: Povolí pro fond uzlů bitovou kopii uzlu splňující standard FIPS.
- osSKU: Volitelné. Nastavením na AzureContainerLinux vytvoříte fond uzlů ACL s povolenými funkcemi Trusted Launch a FIPS.
V šabloně zadejte hodnoty pro enableVTPM, enableSecureBoota enableFips. Stejné schéma použité pro nasazení CLI existuje v definici pod Microsoft.ContainerService/managedClusters/agentPools v sekci "properties", jak ukazuje následující příklad:
```
"properties": {
    ...,
    "osSKU": "Ubuntu",
    "enableFips": true,
    "securityProfile": {
        "enableVTPM": true,
        "enableSecureBoot": true,
    }
}
```
Nasaďte šablonu s povolenými funkcemi virtuálního TPM, zabezpečeného spouštění a FIPS ve vašem clusteru. Pokud chcete vytvořit fond uzlů pomocí seznamu ACL, nastavte "osSKU": "AzureContainerLinux". Podrobné pokyny najdete v tématu Nasazení clusteru AKS pomocí šablony ARM .

Vytvořte soubor Bicep s parametry Trusted Launch a FIPS. Před vytvořením souboru si projděte následující parametry:
- enableSecureBoot: Umožňuje zabezpečené spuštění ověřit image podepsanou důvěryhodným vydavatelem.
- enableVTPM: Povolí vTPM a provede atestaci měřením celého spouštěcího řetězce vašeho virtuálního počítače.
- enableFips: Povolí pro fond uzlů bitovou kopii uzlu splňující standard FIPS.
- osSKU: Volitelné. Nastavením na AzureContainerLinux vytvoříte fond uzlů ACL se zapnutým Trusted Launch a povoleným FIPS.
V souboru Bicep zadejte hodnoty pro enableVTPM, enableSecureBoota enableFips. Stejné schéma použité pro nasazení CLI existuje v definici pod Microsoft.ContainerService/managedClusters/agentPools v sekci properties, jak ukazuje následující příklad:
```
properties: {
  // ...
  osSKU: 'Ubuntu'
  enableFips: true
  securityProfile: {
    enableVTPM: true
    enableSecureBoot: true
  }
}
```
Nasaďte soubor Bicep pomocí nástroje vTPM, zabezpečeného spouštění a povoleného FIPS ve vašem clusteru. Pokud chcete vytvořit fond uzlů s ACL, nastavte osSKU: 'AzureContainerLinux'. Podrobné pokyny najdete v tématu Nasazení clusteru AKS pomocí souboru Bicep.

Zprostředkovatel Terraformu AzureRM (azurerm) nepodporuje Trusted Launch, protože nezpřístupňuje nastavení fondu uzlů pro Trusted Launch. Pokud chcete přidat fond uzlů s povolenými funkcemi Trusted Launch a FIPS, použijte pokyny pro Azure CLI, šablony ARM nebo Bicep v tomto článku.

Portál Azure nepodporuje přidání fondu uzlů s povolenými funkcemi Trusted Launch a FIPS. Pokud chcete přidat fond uzlů s povolenými funkcemi Trusted Launch a FIPS, použijte pokyny pro Azure CLI, šablony ARM nebo Bicep v tomto článku.

Povolte virtuální TPM (vTPM) nebo Secure Boot ve stávajícím fondu uzlů Linuxu

U existujícího standardního fondu uzlů Linux, který používá image Ubuntu nebo Azure Linux podporující Trusted Launch, můžete povolit vTPM, zabezpečené spouštění nebo obojí. Skupina uzlů už nemusí používat image Trusted Launch, ale musí splňovat stávající požadavky a omezení Trusted Launch.

AKS převede fond uzlů na bitovou kopii Trusted Launch, čímž znovu vytvoří uzly a naruší běh úloh. Proveďte aktualizaci během okna údržby a ujistěte se, že vaše úlohy zvládnou opětovné vytvoření image uzlů.

Aktualizujte fond uzlů tak, aby podporoval vTPM nebo zabezpečené spouštění, pomocí příkazu az aks nodepool update. Před spuštěním příkazu zkontrolujte následující parametry:
- --resource-group: Zadejte název existující skupiny prostředků hostující existující cluster AKS.
- --cluster-name: Zadejte jedinečný název clusteru AKS, například myAKSCluster.
- --name: Zadejte název fondu uzlů, například mynodepool.
- --enable-secure-boot: Umožňuje zabezpečené spuštění ověřit, že image byla podepsána důvěryhodným vydavatelem.
- --enable-vtpm: Povolí vTPM a provede atestaci měřením celého spouštěcího řetězce vašeho virtuálního počítače.
Poznámka:

Secure Boot vyžaduje podepsané zavaděče, jádra operačního systému a ovladače. Pokud se po povolení zabezpečeného spouštění uzlů nespustí, můžete ověřit, které spouštěcí komponenty zodpovídají za selhání zabezpečeného spouštění v rámci virtuálního počítače s Linuxem Azure. Přečtěte si informace o ověření selhání zabezpečeného spouštění.

Následující příklad aktualizuje fond uzlů mynodepool v clusteru myAKSCluster ve skupině prostředků myResourceGroup a povoluje vTPM:
```
az aks nodepool update --cluster-name myAKSCluster --resource-group myResourceGroup --name mynodepool --enable-vtpm
```
Následující příklad aktualizuje fond uzlů mynodepool v myAKSCluster v myResourceGroup a povolí zabezpečené spouštění:
```
az aks nodepool update --cluster-name myAKSCluster --resource-group myResourceGroup --name mynodepool --enable-secure-boot
```
Následující příklad aktualizuje fond uzlů mynodepool v clusteru myAKSCluster ve skupině prostředků myResourceGroup a povoluje virtuální modul TPM (vTPM) i zabezpečené spouštění:
```
az aks nodepool update \
    --cluster-name myAKSCluster \
    --resource-group myResourceGroup \
    --name mynodepool \
    --enable-vtpm \
    --enable-secure-boot
```
Po dokončení aktualizace ověřte, že váš fond uzlů používá image Důvěryhodného spuštění.

Uzly Trusted Launch mají následující výstup:
- Verze image uzlu obsahující "TL", například "AKSUbuntu-2204-gen2TLcontainerd".
- "Security-type" je "Trusted Launch".
```
kubectl get nodes
kubectl describe node {node-name} | grep -e node-image-version -e security-type
```

Aktualizujte šablonu ARM s parametry důvěryhodného spuštění. Před aktualizací šablony si projděte následující parametry:
- enableSecureBoot: Umožňuje zabezpečené spuštění ověřit image podepsanou důvěryhodným vydavatelem.
- enableVTPM: Povolí vTPM a provede atestaci měřením celého spouštěcího řetězce vašeho virtuálního počítače.
V šabloně nastavte enableVTPM, enableSecureBoot nebo obojí v fondu uzlů securityProfile. Následující příklad povoluje virtuální modul TPM (vTPM) i zabezpečené spouštění:
```
"properties": {
    ...,
    "securityProfile": {
        "enableVTPM": true,
        "enableSecureBoot": true,
    }
}
```
Nasaďte aktualizovanou šablonu s povolenými funkcemi vTPM a zabezpečeného spouštění do fondu uzlů. Podrobné pokyny najdete v tématu Nasazení clusteru AKS pomocí šablony ARM.
Po dokončení nasazení ověřte, že váš fond uzlů používá bitovou kopii Trusted Launch.

Uzly Trusted Launch mají následující výstup:
- Verze image uzlu obsahující "TL", například "AKSUbuntu-2204-gen2TLcontainerd".
- "Security-type" je "Trusted Launch".
```
kubectl get nodes
kubectl describe node {node-name} | grep -e node-image-version -e security-type
```

Aktualizujte svůj soubor Bicep o parametry Trusted Launch. Před aktualizací souboru zkontrolujte následující parametry:
- enableSecureBoot: Umožňuje zabezpečené spuštění ověřit image podepsanou důvěryhodným vydavatelem.
- enableVTPM: Povolí vTPM a provede atestaci měřením celého spouštěcího řetězce vašeho virtuálního počítače.
V souboru Bicep nastavte enableVTPM, enableSecureBoot nebo obojí ve fondu uzlů securityProfile. Následující příklad povoluje virtuální modul TPM (vTPM) i zabezpečené spouštění:
```
properties: {
  // ...
  securityProfile: {
    enableVTPM: true
    enableSecureBoot: true
  }
}
```
Nasaďte aktualizovaný soubor Bicep se zapnutými funkcemi vTPM a zabezpečeného spouštění na vašem fondu uzlů. Podrobné pokyny najdete v tématu Nasazení clusteru AKS pomocí souboru Bicep.
Po dokončení nasazení ověřte, že váš fond uzlů používá bitovou kopii Trusted Launch.

Uzly Trusted Launch mají následující výstup:
- Verze image uzlu obsahující "TL", například "AKSUbuntu-2204-gen2TLcontainerd".
- "Security-type" je "Trusted Launch".
```
kubectl get nodes
kubectl describe node {node-name} | grep -e node-image-version -e security-type
```

Zprostředkovatel Terraformu AzureRM (azurerm) nepodporuje Trusted Launch, protože nezpřístupňuje nastavení fondu uzlů pro Trusted Launch. Pokud chcete u existujícího fondu uzlů povolit vTPM nebo zabezpečené spouštění, postupujte podle pokynů v tomto článku pro Azure CLI, šablonu ARM nebo Bicep.

Portál Azure nepodporuje povolení virtuálního modulu TPM (vTPM) ani zabezpečeného spouštění u existujícího fondu uzlů. Pokud chcete u existujícího fondu uzlů povolit vTPM nebo zabezpečené spouštění, postupujte podle pokynů v tomto článku pro Azure CLI, šablonu ARM nebo Bicep.

Přiřaďte pody k uzlům se zapnutou funkcí Trusted Launch

Pod můžete omezit tak, aby běžel jen na konkrétním uzlu nebo konkrétních uzlech, případně upřednostnit uzly s povolenou funkcí Trusted Launch. Můžete to ovládat pomocí následujícího selektoru fondu uzlů v manifestu podu.

spec:
  nodeSelector:
        kubernetes.azure.com/security-type = "TrustedLaunch"

Zakázat vTPM nebo zabezpečené spouštění ve stávajícím fondu uzlů se systémem Linux

Ve stávajícím fondu linuxových uzlů můžete zakázat vTPM, zabezpečené spuštění nebo obojí. Pokud některá z těchto funkcí zůstane povolená, fond uzlů bude nadále používat cestu k bitové kopii Trusted Launch. Pokud v běžném fondu uzlů Ubuntu nebo Azure Linux zakážete obě funkce, služba AKS fond uzlů znovu naimageruje na odpovídající image bez Trusted Launch a změní typ zabezpečení podkladové škálovací sady virtuálních počítačů zpět na Standard.

Aktualizujte fond uzlů pomocí příkazu az aks nodepool update a zakažte zabezpečené spouštění nebo vTPM. Před spuštěním příkazu zkontrolujte následující parametry:
- --resource-group: Zadejte název existující skupiny prostředků hostující existující cluster AKS.
- --cluster-name: Zadejte jedinečný název clusteru AKS, například myAKSCluster.
- --name: Zadejte název fondu uzlů, například mynodepool.
- --disable-secure-boot: Zakáže zabezpečené spouštění.
- --disable-vtpm: Zakáže vTPM.
Následující příklad aktualizuje fond uzlů mynodepool v clusteru myAKSCluster ve skupině prostředků myResourceGroup a vypne vTPM:
```
az aks nodepool update --cluster-name myAKSCluster --resource-group myResourceGroup --name mynodepool --disable-vtpm
```
Následující příklad aktualizuje fond uzlů mynodepool v clusteru myAKSCluster ve skupině prostředků myResourceGroup a vypne funkci Secure Boot:
```
az aks nodepool update --cluster-name myAKSCluster --resource-group myResourceGroup --name mynodepool --disable-secure-boot
```
Následující příklad aktualizuje fond uzlů mynodepool v clusteru myAKSCluster ve skupině prostředků myResourceGroup a zakáže vTPM i funkci zabezpečeného spouštění:
```
az aks nodepool update \
    --cluster-name myAKSCluster \
    --resource-group myResourceGroup \
    --name mynodepool \
    --disable-vtpm \
    --disable-secure-boot
```
Po dokončení aktualizace ověřte, že fond uzlů používá požadovanou image.

Pokud zůstane povolený buď vTPM, nebo zabezpečené spouštění, uzly Trusted Launch mají následující výstup:
- Verze image uzlu obsahující "TL", například "AKSUbuntu-2204-gen2TLcontainerd".
- "Security-type" je "Trusted Launch".
Pokud zakážete vTPM i zabezpečené spouštění, verze bitové kopie uzlu by neměla obsahovat "TL" a hodnota "Security-type" by neměla být "Trusted Launch".
```
kubectl get nodes
kubectl describe node {node-name} | grep -e node-image-version -e security-type
```

Aktualizujte šablonu ARM s parametry důvěryhodného spuštění. Před aktualizací šablony si projděte následující parametry:
- enableSecureBoot: Umožňuje zabezpečené spuštění ověřit image podepsanou důvěryhodným vydavatelem.
- enableVTPM: Povolí vTPM a provede atestaci měřením celého spouštěcího řetězce vašeho virtuálního počítače.
V šabloně nastavte enableVTPM, enableSecureBoot nebo obojí v fondu uzlů securityProfile. Následující příklad zakáže modul vTPM i zabezpečené spouštění:
```
"properties": {
    ...,
    "securityProfile": {
        "enableVTPM": false,
        "enableSecureBoot": false,
    }
}
```
Nasaďte aktualizovanou šablonu s vypnutými funkcemi vTPM a zabezpečeného spouštění do fondu uzlů. Podrobné pokyny najdete v tématu Nasazení clusteru AKS pomocí šablony ARM.
Po dokončení nasazení ověřte, že fond uzlů používá očekávanou image.

Pokud zůstane povolený buď vTPM, nebo zabezpečené spouštění, uzly Trusted Launch mají následující výstup:
- Verze image uzlu obsahující "TL", například "AKSUbuntu-2204-gen2TLcontainerd".
- "Security-type" je "Trusted Launch".
Pokud zakážete vTPM i zabezpečené spouštění, verze bitové kopie uzlu by neměla obsahovat "TL" a hodnota "Security-type" by neměla být "Trusted Launch".
```
kubectl get nodes
kubectl describe node {node-name} | grep -e node-image-version -e security-type
```

Aktualizujte svůj soubor Bicep o parametry Trusted Launch. Před aktualizací souboru zkontrolujte následující parametry:
- enableSecureBoot: Umožňuje zabezpečené spuštění ověřit image podepsanou důvěryhodným vydavatelem.
- enableVTPM: Povolí vTPM a provede atestaci měřením celého spouštěcího řetězce vašeho virtuálního počítače.
V souboru Bicep nastavte enableVTPM, enableSecureBoot nebo obojí ve fondu uzlů securityProfile. Následující příklad zakáže modul vTPM i zabezpečené spouštění:
```
properties: {
  // ...
  securityProfile: {
    enableVTPM: false
    enableSecureBoot: false
  }
}
```
Nasaďte aktualizovaný soubor Bicep do poolu uzlů s vypnutým vTPM a zabezpečeným spouštěním. Podrobné pokyny najdete v tématu Nasazení clusteru AKS pomocí souboru Bicep.
Po dokončení nasazení ověřte, že fond uzlů používá očekávanou image.

Pokud zůstane povolený buď vTPM, nebo zabezpečené spouštění, uzly Trusted Launch mají následující výstup:
- Verze image uzlu obsahující "TL", například "AKSUbuntu-2204-gen2TLcontainerd".
- "Security-type" je "Trusted Launch".
Pokud zakážete vTPM i zabezpečené spouštění, verze bitové kopie uzlu by neměla obsahovat "TL" a hodnota "Security-type" by neměla být "Trusted Launch".
```
kubectl get nodes
kubectl describe node {node-name} | grep -e node-image-version -e security-type
```

Zprostředkovatel Terraformu AzureRM (azurerm) nepodporuje Trusted Launch, protože nezpřístupňuje nastavení fondu uzlů pro Trusted Launch. Pokud chcete zakázat vTPM nebo zabezpečené spouštění ve stávajícím fondu uzlů, použijte pokyny pro Azure CLI, šablony ARM nebo Bicep v tomto článku.

Portál Azure nepodporuje zakázání virtuálního modulu TPM (vTPM) ani zabezpečeného spouštění v existujícím fondu uzlů. Pokud chcete zakázat vTPM nebo zabezpečené spouštění ve stávajícím fondu uzlů, použijte pokyny pro Azure CLI, šablony ARM nebo Bicep v tomto článku.

Další kroky

V tomto článku jste zjistili, jak povolit důvěryhodné spuštění. Zjistěte více o Trusted Launch.

Váš názor

Byla tato stránka užitečná?

Poslední aktualizace v 2026-10-13