Vertrauenswürdiger Start für Azure virtuellen Computer

Gilt für: ✔️ Linux-VMs ✔️ Windows-VMs ✔️ Flexible Skalierungsgruppen ✔️ Uniforme Skalierungsgruppen

Azure Trusted Launch ermöglicht es, die Sicherheit von virtuellen Maschinen (VMs) der Generation 2 auf einfache Weise zu verbessern. Der vertrauenswürdige Start schützt vor erweiterten und beständigen Angriffstechniken, indem er verbesserten Schutz vor Bootkits, Rootkits und Angriffen auf Schadsoftware auf niedriger Ebene bereitstellt. Es verwendet mehrere koordinierte Infrastrukturtechnologien, die Sie unabhängig aktivieren können. Jede Technologie fügt eine weitere Verteidigungsschicht gegen komplexe Bedrohungen hinzu.

Der vertrauenswürdige Start wird sowohl für x64- als auch für Arm64-Architekturen unterstützt.

Wichtig

Vorteile

  • Sicheres Bereitstellen von virtuellen Computern mit überprüften Bootstrapladeprogrammen, Betriebssystemkernels und Treibern
  • Sicheres Schützen von Schlüsseln, Zertifikaten und Geheimnissen auf den VMs
  • Gewinnen von Einblicken und Vertrauen in die Integrität der gesamten Startkette.
  • Sicherstellen der Vertrauenswürdigkeit und Überprüfbarkeit von Workloads

Größen virtueller Computer

type Unterstützte Größenfamilien Derzeit nicht unterstützte Größenfamilien Nicht unterstützte Größenfamilien
Allgemeiner Zweck B-Familie, D-Familie, Dpsv6-Serie1, Dplsv6-Serie1 Dpsv5-Serie, Dpdsv5-Serie, Dplsv5-Serie, Dpldsv5-Serie A-Familie, Dv2-Serie, Dv3-Serie, DC-Confidential-Familie
Computeoptimiert F-Familie, Fx-Familie Alle Größen werden unterstützt.
Arbeitsspeicheroptimiert E-Familie, Eb-Family, Epsv6-Serie1 Mbdsv4-Größenreihe (Vorschau) M-Familie mit Ausnahme der Mbdsv4-Größenserie (Vorschauversion), EC-Confidential-Familie
Speicheroptimiert L-Familie Alle Größen werden unterstützt.
GPU NC-Familie, ND-Familie, NV-Familie, NDasrA100_v4-Serie, NDm_A100_v4-Serie NC-Serie, NV-Serie, NP-Serie
Hochleistungscompute HBv2-Serie2, HBv3-Serie, HBv4-Serie, HBv5-Serie, HC-Serie3, HX-Serie Alle Größen werden unterstützt.

1Arm64 Kobalt 100-basierte Größen, die Trusted Launch unterstützen.

2Die HBv2-Serie wird derzeit für Trusted Launch unterstützt, ist jedoch für die Stilllegung am 31. Mai 2027 geplant. Für neue HPC Trusted Launch-Bereitstellungen bevorzugen Sie die Größen der HBv5-Serie, der HX-Serie, der HBv4-Serie oder der HBv3-Serie.

3Die HC-Seriengrößen (Standard_HC44rs, Standard_HC44-16rs, Standard_HC44-32rs) werden am 31. Mai 2027 ausgemustert. Nach diesem Datum werden die verbleibenden VMs der HC-Serie freigegeben und verursachen keine Gebühren mehr. Die HC-Serie verfügt dann nicht mehr über Support oder SLAs. Der Verkauf von Reserved Instances für 1 und 3 Jahre endete am 2. April 2026. Berücksichtigen Sie für neue HPC Trusted Launch-Bereitstellungen HBv5-Serie für höhere Leistung und eine bessere Preisleistung oder HX-Serie für HPC-Workloads mit hohem Arbeitsspeicher. Planen Sie den Übergang von der HC-Serie deutlich vor dem Außerbetriebnahmedatum, um Unterbrechungen zu vermeiden.

Hinweis

  • Installation der CUDA & GRID-Treiber für sichere startfähige Windows VMs erfordern keine zusätzlichen Schritte.
  • Die Installation des CUDA-Treibers auf Ubuntu-VMs mit aktiviertem sicheren Start erfordert zusätzliche Schritte. Weitere Informationen finden Sie unter Installieren von NVIDIA GPU-Treibern für VMs der N-Serie unter Linux. Der sichere Start sollte für die Installation von CUDA-Treibern auf anderen Linux-VMs deaktiviert werden.
  • Für die Installation des GRID-Treibers muss der sichere Start für Linux-VMs deaktiviert werden.
  • Nicht unterstützte Größenfamilien unterstützen keine VMs der 2. Generation. Ändern Sie die VM-Größe in entsprechende unterstützte Größenfamilien, um den vertrauenswürdigen Start zu aktivieren.

Unterstützte Betriebssysteme

Betriebssystem Version
Alma Linux 8, 9, 10
Azure Linux 1.0, 2.0, 3.0
Debian 11, 12, 13
Oracle Linux 8.10, 9.6, 9.7, 10.1
Red Hat Enterprise Linux 8.6, 8.8, 8.10, 9.4, 9.5, 9.6, 9.7, 9.8, 10.0, 10.1, 10.2
Rocky Linux von CIQ 8.6, 8.10, 9.2, 9.4, 9.5, 9.6, 9.7
SUSE Enterprise Linux 15SP3, 15SP4, 15SP5, 15SP6, 15SP7, SLES 16
Ubuntu Server 18.04 LTS, 20.04 LTS, 22.04 LTS, 24.04 LTS, 26.04 LTS
Windows 10 Pro, Enterprise, Enterprise (Mehrere Sitzungen) *
Windows 11 Pro, Enterprise, Enterprise (Mehrere Sitzungen) *
Windows Server 2016, 2019, 2022, 2022-Azure-Edition, 2025, 2025-Azure-Edition *

* Variationen dieses Betriebssystems werden unterstützt.

Hinweis

Der Trusted Launch auf Arm64 wird unterstützt, wenn Sie anwendbare Arm64 Marketplace-Images für unterstützte Distributionen und Versionen verwenden. Stellen Sie für Cobalt 100 Größen den vertrauenswürdigen Start mithilfe von Arm64-Images bereit, die in Azure Marketplace verfügbar sind.

Weitere Informationen

Regionen:

  • Alle öffentlichen Regionen
  • Alle Azure-Government-Regionen
  • Alle Azure China-Regionen

Preise: Der vertrauenswürdige Start erhöht die Kosten für vorhandene VMs nicht.

Nicht unterstützte Funktionen

Derzeit werden die folgenden VM-Features nicht mit dem vertrauenswürdigen Start unterstützt:

Sicherer Start

Das Fundament des vertrauenswürdigen Starts bildet „Sicherer Start“ für Ihre VM. Sicherer Start, der in Plattformfirmware implementiert ist, schützt vor der Ausführung schadsoftwarebasierter Rootkits und Startkits. Der sichere Start bewirkt, dass nur signierte Betriebssysteme und Treiber gestartet werden können. Damit wird ein Vertrauensanker für den Softwarestapel der VM erstellt.

Bei aktiviertem sicherem Start müssen alle Betriebssystem-Startkomponenten (Startladeprogramm, Kernel, Kerneltreiber) von vertrauenswürdigen Herausgebern signiert sein. Sowohl Windows als auch wichtige Linux-Distributionen unterstützen den sicheren Start. Wenn der sichere Start nicht authentifiziert, dass das Image von einem vertrauenswürdigen Herausgeber signiert ist, kann der virtuelle Computer nicht gestartet werden. Weitere Informationen finden Sie unter Sicherer Start.

vTPM

Der Trusted Launch führt auch das virtuelle Trusted Platform Module (vTPM) für Azure VMs ein. Diese virtualisierte Version eines Hardware-Trusted Platform Module ist mit der TPM2.0-Spezifikation kompatibel. Es dient als dedizierter sicherer Tresor für Schlüssel und Messungen.

Der vertrauenswürdige Start bietet für die VM eine eigene dedizierte TPM-Instanz, die in einer sicheren Umgebung außerhalb der Reichweite von VMs ausgeführt wird. vTPM ermöglicht den Nachweis durch Messung der gesamten Startkette der VM (UEFI, Betriebssystem, System und Treiber).

Beim vertrauenswürdigen Start wird vTPM verwendet, um einen Remotenachweis über die Cloud durchzuführen. Nachweise ermöglichen Plattformintegritätsprüfungen und werden für vertrauensbasierte Entscheidungsprozesse verwendet. Als Integritätsprüfung kann beim vertrauenswürdigen Start kryptografisch zertifiziert werden, dass die VM ordnungsgemäß gestartet wurde.

Wenn der Prozess fehlschlägt, kann es sein, dass ihre VM eine nicht autorisierte Komponente ausführt, Microsoft Defender for Cloud Integritätswarnungen ausgibt. Die Warnungen enthalten Details zu den Komponenten, bei denen die Integritätsprüfungen nicht erfolgreich durchgeführt wurden.

Virtualisierungsbasierte Sicherheit

Für die virtualisierungsbasierte Sicherheit (VBS) wird mit Hypervisor ein sicherer und isolierter Speicherbereich erstellt. Windows verwendet diese Regionen, um verschiedene Sicherheitslösungen mit erhöhtem Schutz vor Sicherheitsrisiken und böswilligen Exploits auszuführen. Mit dem vertrauenswürdigen Start können Sie die Hypervisor-Codeintegrität (HVCI) und Windows Defender Credential Guard aktivieren.

HVCI ist eine leistungsstarke Systemminderung, die Windows Kernelmodusprozesse vor Einfügung und Ausführung von bösartigem oder nicht überprüftem Code schützt. Kernelmodustreiber und -binärdateien werden vor der Ausführung überprüft, sodass nicht signierte Dateien nicht in den Speicher geladen werden können. Überprüfungen stellen sicher, dass ausführbarer Code nicht verändert werden kann, nachdem HVCI das Laden erlaubt hat. Weitere Informationen zu VBS und HVCI finden Sie unter Virtualisierungsbasierte Sicherheit und Hypervisor Enforced Code Integrity.

Mit der Funktion "Trusted Launch" und VBS können Sie Windows Defender Credential Guard aktivieren. Credential Guard isoliert und schützt Geheimnisse, sodass nur privilegierte Systemsoftware darauf zugreifen kann. Dadurch können der nicht autorisierte Zugriff auf Geheimnisse und Diebstahl von Anmeldeinformationen verhindert werden, z. B. PtH-Angriffe (Pass-the-Hash). Weitere Informationen finden Sie unter Credential Guard.

Microsoft Defender für Cloud-Integration

Der vertrauenswürdige Start ist in Defender for Cloud integriert, um sicherzustellen, dass Ihre virtuellen Computer ordnungsgemäß konfiguriert sind. Defender for Cloud bewertet kontinuierlich kompatible VMs und gibt relevante Empfehlungen.

  • Empfehlung zum Aktivieren des sicheren Starts: Die Empfehlung für den sicheren Start gilt nur für VMs, die den vertrauenswürdigen Start unterstützen. Defender for Cloud identifiziert VMs, die den sicheren Start deaktiviert haben. Es wird eine Empfehlung mit niedrigem Schweregrad für die Aktivierung ausgegeben.

  • Recommendation zum Aktivieren von vTPM: Wenn vTPM für vm aktiviert ist, kann Defender for Cloud es verwenden, um den Gastnachweis durchzuführen und erweiterte Bedrohungsmuster zu identifizieren. Wenn Defender for Cloud VMs identifiziert, die den vertrauenswürdigen Start mit deaktiviertem vTPM unterstützen, gibt es eine Empfehlung mit geringem Schweregrad, es zu aktivieren.

  • Empfehlung zur Installation der Gastnachweiserweiterung: Wenn Ihr virtueller Computer den sicheren Start und vTPM aktiviert hat, die Gastnachweiserweiterung jedoch nicht installiert ist, gibt Defender for Cloud Empfehlungen mit geringem Schweregrad heraus, um die Gastnachweiserweiterung darauf zu installieren. Diese Erweiterung ermöglicht es Defender for Cloud, die Startintegrität Ihrer virtuellen Computer proaktiv zu bestätigen und zu überwachen. Der Nachweis der Startintegrität erfolgt per Remotenachweis.

  • Attestierungszustandsbewertung oder Überwachung der Startintegrität: Wenn Ihre VM über aktiviertes Secure Boot und vTPM sowie die installierte Attestation-Erweiterung verfügt, kann Defender for Cloud remote überprüfen, ob Ihre VM auf gesunde Weise gestartet wurde Diese Vorgehensweise wird als Startintegritätsüberwachung bezeichnet. Defender for Cloud stellt eine Bewertung aus, die den Status der Remote-Attestierung angibt.

    Wenn Ihre virtuellen Computer ordnungsgemäß mit Trusted Launch eingerichtet sind, kann Defender for Cloud Probleme mit der VM-Integrität erkennen und Sie benachrichtigen.

  • Warnung für VM-Attestierungsfehler: Defender für Cloud führt regelmäßig eine Überprüfung Ihrer VMs durch. Der Nachweis erfolgt auch nach dem Starten der VM. Wenn beim Nachweis ein Fehler auftritt, wird eine Warnung mit mittlerem Schweregrad ausgelöst.

    Hinweis

    Warnungen zur VM-Client-Boot-Überprüfung, die in Microsoft Defender for Cloud angezeigt werden, sind rein informativer Natur und werden derzeit nicht im Defender-Portal dargestellt.

    Beim VM-Nachweis können aus folgenden Gründen Fehler auftreten:

    • Die nachgewiesenen Informationen, einschließlich eines Startprotokolls, weichen von einer vertrauenswürdigen Baseline ab. Jede Abweichung kann darauf hinweisen, dass nicht vertrauenswürdige Module geladen werden, und das Betriebssystem könnte kompromittiert werden.

    • Es konnte nicht überprüft werden, ob das Nachweisangebot von der vTPM-Instanz der VM stammt, für die der Nachweis erstellt wurde. Ein nicht überprüfter Ursprung kann darauf hindeuten, dass Schadsoftware vorhanden ist und den Datenverkehr an das vTPM abfangen könnte.

      Hinweis

      Warnungen sind für VMs mit aktivierter vTPM-Instanz und installierter Nachweiserweiterung verfügbar. Der sichere Start muss aktiviert sein, damit der Nachweisvorgang erfolgreich durchgeführt wird. Beim Nachweis treten Fehler auf, wenn der sichere Start deaktiviert ist. Wenn Sie den sicheren Start deaktivieren möchten, können Sie diese Warnung unterdrücken, um False Positives zu vermeiden.

  • Warnung bei nicht vertrauenswürdigem Linux-Kernelmodul: Beim vertrauenswürdigen Start mit aktiviertem sicherem Start ist es möglich, dass eine VM gestartet wird, obwohl bei der Überprüfung eines Kerneltreibers ein Fehler auftritt und das Laden nicht zulässig ist. Wenn fehler bei der Kerneltreiberüberprüfung auftreten, gibt Defender for Cloud Warnungen mit geringem Schweregrad aus. Es liegt zwar keine unmittelbare Bedrohung vor, weil der nicht vertrauenswürdige Treiber nicht geladen wurde, dennoch sollten diese Ereignisse untersucht werden. Stellen Sie sich folgende Fragen:

    • Bei welchem Kerneltreiber sind Fehler aufgetreten? Bin ich mit dem ausgefallenen Kerneltreiber vertraut und erwarte ich, dass er geladen wird?
    • Entspricht die genaue Version des Treibers der erwarteten Version? Sind die Binärdateien des Treibers intakt? Wenn ein fehlerhafter Treiber ein Partnertreiber ist, hat der Partner die Betriebssystem-Kompatibilitätstests bestanden, um ihn signieren zu lassen?

(Allgemeine Verfügbarkeit) Vertrauenswürdiger Start als Standard

Wichtig

Vertrauenswürdiger Start ist standardmäßig allgemein verfügbar für neue virtuelle Computer der Gen2 (VMs) und Virtual Machine Scale Sets (Scale Sets). TLaD in der REST-API ist eine schnelle und berührungslose Methode zur Verbesserung des Sicherheitsstatus für neue Bereitstellungen von Gen2-basierten Azure-VMs und Virtual Machine Scale Sets. Wenn Sie das Abonnement für dieses Feature registrieren, legt "Trusted Launch as Default" alle neuen Gen2-VMs oder Skalierungssätze fest, die Sie über alle Clienttools (z. B. ARM-Vorlage, Bicep, Terraform) erstellen, auf vertrauenswürdige Start-VMs mit sicherem Start und vTPM standardmäßig aktiviert. Diese Änderung überschreibt keine Eingaben, die als Teil des Bereitstellungscodes bereitgestellt werden.

Für Kunden des Azure-Portals, von PowerShell und der CLI ist Trusted Launch standardmäßig aktiviert.

TLaD aktivieren (Vertrauenswürdiger Start als Standard)

Um dieses Feature für alle virtuellen Computer verfügbar zu machen, die Sie standardmäßig für Ihre Workloads erstellen, registrieren Sie zuerst das Feature TrustedLaunchByDefaultPreview unter dem Microsoft.Compute Namespace im Abonnement Ihres virtuellen Computers. Weitere Informationen finden Sie unter Einrichten von Vorschaufeatures im Azure-Abonnement.

Führen Sie Ihr vorhandenes Bereitstellungsskript über Azure SDK, Terraform oder eine andere Methode aus, um eine neue Gen2-VM oder einen Skalierungssatz mit der Standardeinstellung "Trusted Launch" zu erstellen.

Hinweis

Beim Erstellen von VMs ist Trusted Launch im Azure-Portal, über die CLI oder mit PowerShell standardmäßig aktiviert, unabhängig davon, ob das Feature registriert wurde.

VM- und Skalierungsgruppenbereitstellungen mit TLaD

Vorhandenes Verhalten

Um VMs und Skalierungsgruppen mit vertrauenswürdigem Start zu erstellen, müssen Sie das folgende securityProfile-Element in die Bereitstellung aufnehmen:

"securityProfile": {
    "securityType": "TrustedLaunch",
    "uefiSettings": {
        "secureBootEnabled": true,
        "vTpmEnabled": true,
    }
}

Wenn das SecurityProfile-Element im Bereitstellungscode nicht vorhanden ist, wird vm & scale set bereitgestellt, ohne den vertrauenswürdigen Start zu aktivieren.

Beispiele

  • vm-windows-admincenter – Die Azure Resource Manager (ARM)-Vorlage stellt eine Gen2-VM bereit, ohne den sicheren Start zu aktivieren.
  • vm-simple-Windows – Die ARM-Vorlage stellt eine Trusted Launch-VM bereit (ohne Standard- securityProfile explizit zur ARM-Vorlage hinzugefügt wird)

Neues Verhalten

Wenn Sie API Version 2025-11-01 oder höher verwenden, ist der vertrauenswürdige Start standardmäßig für neue VMs und Skalierungssätze aktiviert, die bereitgestellt werden, wenn die folgenden Bedingungen erfüllt sind:

Die Bereitstellung verwendet nicht standardmäßig vertrauenswürdigen Start, wenn eine oder mehrere der aufgeführten Bedingungen nicht erfüllt sind, und wird dennoch erfolgreich abgeschlossen, sodass eine neue Gen2-VM und ein Scale Set ohne vertrauenswürdigen Start erstellt werden.

Sie können den Standardwert für die Bereitstellung von VMs und Scale Sets explizit umgehen, indem Sie Standard als Wert für den Parameter securityType festlegen und die API-Version 2025-11-01 oder höher verwenden. Weitere Informationen finden Sie unter "Kann ich den vertrauenswürdigen Start für eine neue VM-Bereitstellung deaktivieren".

Bekannte Einschränkungen

Es ist nicht möglich, die Größe einer VM oder VM-Skalierungsgruppe nach der Standardeinstellung für den vertrauenswürdigen Start auf eine nicht unterstützte VM-Größenfamilie für den vertrauenswürdigen Start (z. B. M-Series) zu ändern.

Das Ändern der Größe von Trusted Launch VMs auf eine nicht mit Trusted Launch unterstützte VM-Größenfamilie wird nicht unterstützt.

Registrieren Sie als Abhilfemaßnahme das Feature-Flag UseStandardSecurityType Unter Microsoft.Compute Namespace und Rollen Sie die VM von Trusted Launch auf Gen2-Only (Non-Trusted Launch) zurück, indem Sie securityType = Standard mithilfe verfügbarer Clienttools (außer dem Azure-Portal).

Nachdem ein VM- oder VM-Skalierungssatz mit dem vertrauenswürdigen Start erstellt wurde, können Sie die Größe nicht in eine VM-Größenfamilie ändern, die den vertrauenswürdigen Start nicht unterstützt, z. B. eine nicht unterstützte Größe der M-Serie. Um eine nicht unterstützte Größe zu verwenden, heben Sie zuerst die Zuordnung der Ressource auf und ändern Sie securityType zu Standard mithilfe der Microsoft.Compute-API-Version 2025-11-01 oder höher über ein unterstütztes Clienttools. Dieser Vorgang ist im Azure Portal nicht verfügbar.

TLaD deaktivieren

Um TLaD zu deaktivieren, heben Sie die Registrierung der Vorschaufunktion TrustedLaunchByDefaultPreview im Namespace Microsoft.Compute für das Abonnement des virtuellen Computers auf. Für bestimmte virtuelle Computer können Sie TLaD umgehen, indem Sie den Sicherheitstyp auf Standardfestlegen. Weitere Informationen finden Sie unter "Vorschaufeature aufheben".

Hinweis

Azure-Portal, CLI und PowerShell erstellen standardmäßig Gen2-VMs mit Trusted Launch, unabhängig von der Feature-Registrierung.

Verwandte Inhalte

  • Last updated on