Implementación de una máquina virtual con inicio seguro habilitado

Se aplica a: ✔️ Máquinas virtuales Linux ✔️ Máquinas virtuales Windows ✔️ Conjuntos de escalado flexibles ✔️ Conjuntos de escalado uniformes.

El inicio seguro es una manera de mejorar la seguridad de las máquinas virtuales (VM) de segunda generación. Protege frente a técnicas de ataque persistentes y avanzadas, gracias a la combinación de tecnologías de infraestructura como el Módulo de plataforma segura virtual (vTPM) y el arranque seguro.

Requisitos previos

• Se recomienda incorporar la suscripción a Microsoft Defender for Cloud si aún no lo está. Defender for Cloud tiene un nivel gratuito, que ofrece información útil para varios recursos de Azure e híbridos. Con la ausencia de Defender for Cloud, los usuarios de la máquina virtual de inicio seguro no pueden supervisar integridad de arranque de máquina virtual.

• Asigne iniciativas de directiva de Azure a su suscripción. Estas iniciativas de directiva solo se deben asignar una vez por suscripción. Las directivas ayudarán a implementar y auditar las máquinas virtuales de inicio seguro al instalar automáticamente todas las extensiones necesarias en todas las máquinas virtuales compatibles.

  • Configure la iniciativa de directiva integrada de las máquinas virtuales de inicio seguro.
  • Configurar los requisitos previos para habilitar la atestación de invitado en máquinas virtuales habilitadas para inicio seguro.
  • Configure las máquinas para instalar automáticamente los agentes de seguridad de Azure y Azure Monitor en máquinas virtuales.

• Permita la etiqueta de servicio AzureAttestation en las reglas de salida del grupo de seguridad de red para permitir el tráfico de Azure Attestation. Para más información, consulte Etiquetas de servicio de red virtual.

• Asegúrese de que las directivas de firewall permiten el acceso a *.attest.azure.net.

Nota:

Si usa una imagen de Linux y prevé que la máquina virtual podría tener controladores de kernel sin firmar o no firmados por el proveedor de distribución de Linux, es posible que quiera considerar la posibilidad de desactivar el arranque seguro. En Azure Portal, en la página Crear una máquina virtual para el parámetro Security type con inicio seguro de máquinas virtuales, seleccione Configurar características de seguridad y desactive la casilla Habilitar arranque seguro. En la CLI de Azure, PowerShell o SDK, establezca el parámetro de arranque seguro en false.

Implementación de una máquina virtual con inicio seguro

Cree una máquina virtual con inicio seguro habilitado. Elija una de las opciones siguientes:

Portal

1. Inicie sesión en Azure Portal.

2. Busque Máquinas virtuales.

3. En Servicios, seleccione Máquinas virtuales.

4. En la página Máquinas virtuales, seleccione Agregar y, después, Máquina virtual.

5. En Detalles del proyecto, asegúrese de que está seleccionada la suscripción correcta.

6. En Grupo de recursos, seleccione Crear nuevo. Escriba un nombre para el grupo de recursos o seleccione un grupo de recursos existente en la lista desplegable.

7. En Detalles de la instancia, escriba un nombre para el nombre de la máquina virtual y elija una región que admita el inicio seguro.

8. En Tipo de seguridad, seleccione Máquinas virtuales de inicio seguro. Cuando aparezcan las opciones Arranque seguro, vTPM y Supervisión de integridad, seleccione las opciones adecuadas para la implementación. Para obtener más información, consulte Características de seguridad habilitadas para inicio seguro.

   

9. En Imagen, seleccione una imagen de las imágenes recomendadas de segunda generación compatibles con inicio seguro. Para obtener una lista, consulte Inicio seguro.

   Sugerencia

   Si no ve la versión de segunda generación de la imagen que desea en la lista desplegable, seleccione Ver todas las imágenes. A continuación, cambie el filtro Tipo de seguridad a Inicio seguro.

10. Seleccione un tamaño de máquina virtual que admita inicio seguro. Para obtener más información, consulte la lista de tamaños admitidos.

11. Rellene la información de Cuenta de administrador y Reglas del puerto de entrada.

12. En la parte inferior de la página, seleccione Revisar y crear.

13. En la página Crear una máquina virtual verá la información sobre la máquina virtual que va a implementar. Después de superar la validación, seleccione Crear.

La implementación de la VM tardará unos minutos.

CLI

Asegúrese de que está ejecutando la versión más reciente de la CLI de Azure.

1. Inicio de sesión en Azure mediante az login.

   az login 
   

2. Cree una máquina virtual con inicio seguro.

   az group create -n myresourceGroup -l eastus 
   
   az vm create \
      --resource-group myResourceGroup \
      --name myVM \
      --image Canonical:UbuntuServer:18_04-lts-gen2:latest \
      --admin-username azureuser \
      --generate-ssh-keys \
      --security-type TrustedLaunch \
      --enable-secure-boot true \ 
      --enable-vtpm true 
   

3. En el caso de las máquinas virtuales existentes, puede habilitar o deshabilitar la configuración de arranque seguro y vTPM. La actualización de la máquina virtual con la configuración de arranque seguro y vTPM desencadena el reinicio automático.

   az vm update \
      --resource-group myResourceGroup \
      --name myVM \
      --enable-secure-boot true \
      --enable-vtpm true 
   

Para más información sobre cómo instalar la supervisión de la integridad de arranque mediante la extensión de atestación de invitado, consulte Integridad de arranque.

PowerShell

Para aprovisionar una máquina virtual con inicio seguro, primero debe habilitarse con el parámetro TrustedLaunch mediante el cmdlet Set-AzVmSecurityProfile. A continuación, puede usar el cmdlet Set-AzVmUefi para establecer la configuración de vTPM y Secure Boot. Use el siguiente fragmento de código como inicio rápido. Recuerde reemplazar los valores de este ejemplo por los suyos propios.

$rgName = "myResourceGroup"
$location = "West US"
$vmName = "myTrustedVM"
$vmSize = Standard_B2s
$publisher = "MicrosoftWindowsServer"
$offer = "WindowsServer"
$sku = "2019-datacenter-gensecond"
$version = latest
$cred = Get-Credential `
   -Message "Enter a username and password for the virtual machine."

$vm = New-AzVMConfig -VMName $vmName -VMSize $vmSize 

$vm = Set-AzVMOperatingSystem `
   -VM $vm -Windows `
   -ComputerName $vmName `
   -Credential $cred `
   -ProvisionVMAgent `
   -EnableAutoUpdate 

$vm = Add-AzVMNetworkInterface -VM $vm `
   -Id $NIC.Id 

$vm = Set-AzVMSourceImage -VM $vm `
   -PublisherName $publisher `
   -Offer $offer `
   -Skus $sku `
   -Version $version 

$vm = Set-AzVMOSDisk -VM $vm `
   -StorageAccountType "StandardSSD_LRS" `
   -CreateOption "FromImage" 

$vm = Set-AzVmSecurityProfile -VM $vm `
   -SecurityType "TrustedLaunch" 

$vm = Set-AzVmUefi -VM $vm `
   -EnableVtpm $true `
   -EnableSecureBoot $true 

New-AzVM -ResourceGroupName $rgName -Location $location -VM $vm 

Plantilla

Puede implementar máquinas virtuales de inicio seguro mediante una plantilla de inicio rápido.

Linux

Windows

Implementación de una máquina virtual de inicio seguro desde una imagen de Azure Compute Gallery

Las máquinas virtuales de inicio seguro de Azure admiten la creación y el uso compartido de imágenes personalizadas mediante Azure Compute Gallery. Hay dos tipos de imágenes que puede crear, en función de los tipos de seguridad de la imagen:

• Recomendado: las imágenes compatibles con la máquina virtual de inicio seguro (TrustedLaunchSupported) son imágenes en las que el origen no tiene información de estado de invitado de máquina virtual y se pueden usar para crear máquinas virtuales de segunda generación o máquinas virtuales de inicio de seguro.
• Las imágenes de máquina virtual de inicio seguro (TrustedLaunch) son imágenes en las que el origen normalmente tiene información de estado de invitado de máquina virtual y se pueden usar para crear únicamente máquinas virtuales de inicio seguro.

Imágenes compatibles con la máquina virtual de inicio seguro

Para los siguientes orígenes de imagen, el tipo de seguridad de la definición de imagen debería establecerse en TrustedLaunchsupported:

• VHD de disco del sistema operativo (SO) de segunda generación
• Imagen administrada de segunda generación
• Versión de imagen de la galería de segunda generación

No se puede incluir información de estado de invitado de máquina virtual en el origen de la imagen.

Puede usar la versión de imagen resultante para crear máquinas virtuales de Azure de segunda generación o máquinas virtuales de inicio seguro.

Estas imágenes se pueden compartir mediante Azure Compute Gallery: galería compartida de forma directa y Azure Compute Gallery: galería de la comunidad.

Nota:

El VHD del disco del sistema operativo, la imagen administrada o la versión de la imagen de la galería deben crearse a partir de una imagen de Gen2 que sea compatible con las máquinas virtuales de inicio seguro.

Portal

1. Inicie sesión en Azure Portal.
2. Busque y seleccione Versiones de imagen de máquina virtual en la barra de búsqueda.
3. En la página Versiones de imagen de máquina virtual, seleccione Crear.
4. En la pestaña Aspectos básicos de la página Crear la versión de la imagen de máquina virtual:
   1. seleccione la suscripción de Azure.
   2. Seleccione un grupo de recursos existente o cree uno nuevo.
   3. Seleccione la región de Azure.
   4. Escriba un número de versión de imagen.
   5. En Origen, seleccione Blobs de almacenamiento (VHD) o Imagen administrada u otra versión de imagen de máquina virtual.
   6. Si seleccionó Blobs de almacenamiento (VHD), escriba un VHD de disco del sistema operativo (sin el estado de invitado de la máquina virtual). Asegúrese de usar un disco duro virtual de segunda generación.
   7. Si seleccionó Imagen administrada, seleccione una imagen administrada existente de una máquina virtual de segunda generación.
   8. Si seleccionó Versión de la imagen de máquina virtual, seleccione una versión de imagen de galería existente de una máquina virtual de segunda generación.
   9. En Galería de procesos de Azure objetivo, seleccione o cree una galería para compartir la imagen.
   10. En Estado del sistema operativo, seleccione Generalizado o Especializado, en función de su caso de uso. Si usa una imagen administrada como origen, seleccione Generalizado siempre. Si usa un blob de almacenamiento (VHD) y quiere seleccionar Generalizado, siga los pasos para generalizar un VHD Linux o generalizar un VHD Windows antes de continuar. Si usa una versión de imagen de máquina virtual existente, seleccione Generalizado o Especializado en función de lo que se usa en la definición de imagen de máquina virtual de origen.
   11. En Definición de imagen de máquina virtual de destino, seleccione Crear nuevo.
   12. En el panel Crear una definición de imagen de máquina virtual, escriba un nombre para la definición. Asegúrese de que el tipo de seguridad está establecido en Compatibilidad con "TrustedLaunch". Escriba la información del publicador, la oferta y la SKU. Después, seleccione Aceptar.
5. En la pestaña Replicación, escribe el recuento de réplicas y las regiones de destino para la replicación de imágenes, si es necesario.
6. En la pestaña Cifrado, escribe información relacionada con el cifrado SSE, si es necesario.
7. Seleccione Revisar + crear.
8. Una vez validada correctamente la configuración, seleccione Crear para terminar de crear la imagen.
9. Una vez creada la versión de la imagen, seleccione Crear máquina virtual.
10. En la página Crear una máquina virtual, en Grupo de recursos, seleccione Crear nuevo. Escriba un nombre para el grupo de recursos o seleccione un grupo de recursos existente en la lista desplegable.
11. En Detalles de la instancia, escriba un nombre para el nombre de la máquina virtual y elija una región que admita el inicio seguro.
12. En Tipo de seguridad, seleccione Máquinas virtuales de inicio seguro. Las casillas Arranque seguro y vTPM están habilitadas de forma predeterminada.
13. Rellene la información de Cuenta de administrador y Reglas del puerto de entrada.
14. En la página de validación, revise los detalles de la máquina virtual.
15. Una vez que la validación se ha realizado correctamente, seleccione Crear para terminar de crear la máquina virtual.

CLI

Asegúrese de que está ejecutando la versión más reciente de la CLI de Azure.

1. Inicio de sesión en Azure mediante az login.

   az login 
   

2. Crea una definición de imagen con el tipo de seguridad TrustedLaunchSupported.

   az sig image-definition create --resource-group MyResourceGroup --location eastus \ 
   --gallery-name MyGallery --gallery-image-definition MyImageDef \ 
   --publisher TrustedLaunchPublisher --offer TrustedLaunchOffer --sku TrustedLaunchSku \ 
   --os-type Linux --os-state Generalized \ 
   --hyper-v-generation V2 \ 
   --features SecurityType=TrustedLaunchSupported
   

3. Use un VHD de disco del sistema operativo para crear una versión de imagen. Asegúrese de que el disco duro virtual Linux se generalizó antes de cargarlo en un blob de cuenta de Azure Storage mediante los pasos descritos en Preparación de Linux para la creación de imágenes en Azure.

   az sig image-version create --resource-group MyResourceGroup \
   --gallery-name MyGallery --gallery-image-definition MyImageDef \
   --gallery-image-version 1.0.0 \
   --os-vhd-storage-account /subscriptions/00000000-0000-0000-0000-00000000xxxx/resourceGroups/imageGroups/providers/Microsoft.Storage/storageAccounts/mystorageaccount \
   --os-vhd-uri https://mystorageaccount.blob.core.windows.net/container/path_to_vhd_file
   

4. Cree una máquina virtual de inicio seguro a partir de la versión anterior de la imagen.

   adminUsername=linuxvm
   az vm create --resource-group MyResourceGroup \
       --name myTrustedLaunchVM \
       --image "/subscriptions/00000000-0000-0000-0000-00000000xxxx/resourceGroups/MyResourceGroup/providers/Microsoft.Compute/galleries/MyGallery/images/MyImageDef" \
       --size Standard_D2s_v5 \
       --security-type TrustedLaunch \
       --enable-secure-boot true \ 
       --enable-vtpm true \
       --admin-username $adminUsername \
       --generate-ssh-keys
   

PowerShell

1. Crea una definición de imagen con el tipo de seguridad TrustedLaunchSupported.

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "eastus"
   $publisherName = "TrustedlaunchPublisher"
   $offerName = "TrustedlaunchOffer"
   $skuName = "TrustedlaunchSku"
   $description = "My gallery"
   $SecurityType = @{Name='SecurityType';Value='TrustedLaunchSupported'}
   $features = @($SecurityType)
   New-AzGalleryImageDefinition -ResourceGroupName $rgName -GalleryName $galleryName -Name $galleryImageDefinitionName -Location $location -Publisher $publisherName -Offer $offerName -Sku $skuName -HyperVGeneration "V2" -OsState "Generalized" -OsType "Windows" -Description $description -Feature $features
   

2. Para crear una versión de imagen, puede usar una versión existente de imagen de la galería de segunda generación, que se ha generalizado durante la creación.

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "eastus"
   $galleryImageVersionName = "1.0.0"
   $sourceImageId = "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myVMRG/providers/Microsoft.Compute/galleries/MyGallery/images/Gen2VMImageDef/versions/0.0.1"
   New-AzGalleryImageVersion -ResourceGroupName $rgName -GalleryName $galleryName -GalleryImageDefinitionName $galleryImageDefinitionName -Name $galleryImageVersionName -Location $location -SourceImageId $sourceImageId
   

3. Cree una máquina virtual de inicio seguro a partir de la versión anterior de la imagen.

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "eastus"
   $vmName = "myVMfromImage"
   $vmSize = "Standard_D2s_v5"
   $imageDefinition = Get-AzGalleryImageDefinition `
      -GalleryName $galleryName `
      -ResourceGroupName $rgName `
      -Name $galleryImageDefinitionName
   $cred = Get-Credential `
      -Message "Enter a username and password for the virtual machine"
   # Network pieces
   $subnetConfig = New-AzVirtualNetworkSubnetConfig `
      -Name mySubnet `
      -AddressPrefix 192.168.1.0/24
   $vnet = New-AzVirtualNetwork `
      -ResourceGroupName $rgName `
      -Location $location `
      -Name MYvNET `
      -AddressPrefix 192.168.0.0/16 `
      -Subnet $subnetConfig
   $pip = New-AzPublicIpAddress `
      -ResourceGroupName $rgName `
      -Location $location `
     -Name "mypublicdns$(Get-Random)" `
     -AllocationMethod Static `
     -IdleTimeoutInMinutes 4
   $nsgRuleRDP = New-AzNetworkSecurityRuleConfig `
      -Name myNetworkSecurityGroupRuleRDP  `
      -Protocol Tcp `
     -Direction Inbound `
      -Priority 1000 `
      -SourceAddressPrefix * `
      -SourcePortRange * `
      -DestinationAddressPrefix * `
      -DestinationPortRange 3389 `
      -Access Deny
   $nsg = New-AzNetworkSecurityGroup `
      -ResourceGroupName $rgName `
      -Location $location `
     -Name myNetworkSecurityGroup `
     -SecurityRules $nsgRuleRDP
   $nic = New-AzNetworkInterface `
      -Name myNic `
      -ResourceGroupName $rgName `
      -Location $location `
     -SubnetId $vnet.Subnets[0].Id `
     -PublicIpAddressId $pip.Id `
     -NetworkSecurityGroupId $nsg.Id
   $vm = New-AzVMConfig -vmName $vmName -vmSize $vmSize | `
         Set-AzVMOperatingSystem -Windows -ComputerName $vmName -Credential $cred | `
         Set-AzVMSourceImage -Id $imageDefinition.Id | `
         Add-AzVMNetworkInterface -Id $nic.Id
   $vm = Set-AzVMSecurityProfile -SecurityType "TrustedLaunch" -VM $vm
   $vm = Set-AzVmUefi -VM $vm `
      -EnableVtpm $true `
      -EnableSecureBoot $true 
   New-AzVM `
      -ResourceGroupName $rgName `
      -Location $location `
      -VM $vm
   

Imágenes de máquina virtual de inicio seguro

El tipo de seguridad de la definición de imagen debe establecerse en TrustedLaunch para los siguientes orígenes de imagen:

• Captura de máquina virtual de inicio seguro
• Disco de sistema operativo administrado
• Instantánea de disco del sistema operativo administrado

Puede usar la versión de imagen resultante solo para crear máquinas virtuales de inicio seguro de Azure.

Portal

1. Inicie sesión en Azure Portal.
2. Para crear una imagen de Azure Compute Gallery desde una máquina virtual, abra una máquina virtual de inicio seguro existente y seleccione Capturar.
3. En la página Crear una imagen, permita que la imagen se comparta en la galería como una versión de imagen de máquina virtual. No se admite la creación de imágenes administradas para máquinas virtuales de inicio seguro.
4. Cree una instancia de Azure Compute Gallery de destino o seleccione una galería existente.
5. Seleccione el Estado del sistema operativo como Generalizado o Especializado. Si desea crear una imagen generalizada, asegúrese de generalizar la máquina virtual para quitar información específica de la máquina antes de que seleccione esta opción. Si el cifrado basado en Bitlocker está habilitado en la máquina virtual Windows de inicio seguro, es posible que no pueda generalizar lo mismo.
6. Proporciona un nombre, un publicador, una oferta y detalles de la SKU para crear una definición de la imagen. El tipo de seguridad para la definición de imagen ya debe establecerse en Inicio seguro.
7. Proporcione un número de versión para la versión de la imagen.
8. Modifique las opciones de replicación, si es necesario.
9. En la parte inferior de la página Crear una imagen, seleccione Revisar y crear. Después de superar la validación, seleccione Crear.
10. Una vez creada la versión de la imagen, vaya directamente a la versión de la imagen. Como alternativa, puede ir a la versión de la imagen requerida a través de la definición de la imagen.
11. En la página Versión de la imagen de máquina virtual, seleccione + Crear máquina virtual para ir a la página Crear una máquina virtual.
12. En la página Crear una máquina virtual, en Grupo de recursos, seleccione Crear nuevo. Escriba un nombre para el grupo de recursos o seleccione un grupo de recursos existente en la lista desplegable.
13. En Detalles de la instancia, escriba un nombre para el nombre de la máquina virtual y elija una región que admita el inicio seguro.
14. La imagen y el tipo de seguridad ya están rellenados en función de la versión de imagen seleccionada. Las casillas Arranque seguro y vTPM están habilitadas de forma predeterminada.
15. Rellene la información de Cuenta de administrador y Reglas del puerto de entrada.
16. En la parte inferior de la página, seleccione Revisar y crear.
17. En la página de validación, revise los detalles de la máquina virtual.
18. Una vez que la validación se ha realizado correctamente, seleccione Crear para terminar de crear la máquina virtual.

Si quiere usar un disco administrado o una instantánea de disco administrado como origen de la versión de la imagen (en lugar de una máquina virtual de inicio seguro), siga estos pasos.

1. Inicie sesión en Azure Portal.
2. Busque Versiones de imagen de máquina virtual y seleccione Crear.
3. Proporcione la suscripción, el grupo de recursos, la región y el número de versión de la imagen.
4. Seleccione el origen como Discos o Instantáneas.
5. Seleccione el disco del sistema operativo como un disco administrado o una instantánea de discoadministrado en la lista desplegable.
6. Seleccione una galería de Azure Compute Gallery de destino para crear y compartir la imagen. Si no existe ninguna galería, cree una nueva galería.
7. Seleccione el Estado del sistema operativo como Generalizado o Especializado. Si desea crear una imagen generalizada, asegúrese de generalizar el disco o la instantánea para quitar información específica de la máquina.
8. En Definición de imagen de máquina virtual de destino, seleccione Crear nueva. En la ventana que se abre, seleccione un nombre de definición de imagen y asegúrese de que el tipo de seguridad esté establecido en Inicio seguro. Proporcione la información del publicador, la oferta y la SKU y seleccione Aceptar.
9. La pestaña Replicación se puede usar para establecer el recuento de réplicas y las regiones de destino para la replicación de imágenes, si es necesario.
10. La pestaña Cifrado también se puede usar para proporcionar información relacionada con el cifrado SSE, si es necesario.
11. Seleccione Crear en la pestaña Revisar y crear para crear la imagen.
12. Una vez creada correctamente la versión de la imagen, seleccione + Crear máquina virtual para ir a la página Crear una máquina virtual.
13. Siga los pasos del 12 al 18 como se mencionó anteriormente para crear una máquina virtual de inicio seguro con esta versión de imagen.

CLI

Asegúrese de que está ejecutando la versión más reciente de la CLI de Azure.

1. Inicio de sesión en Azure mediante az login.

   az login 
   

2. Crea una definición de imagen con el tipo de seguridad TrustedLaunch.

   az sig image-definition create --resource-group MyResourceGroup --location eastus \ 
   --gallery-name MyGallery --gallery-image-definition MyImageDef \ 
   --publisher TrustedLaunchPublisher --offer TrustedLaunchOffer --sku TrustedLaunchSku \ 
   --os-type Linux --os-state Generalized \ 
   --hyper-v-generation V2 \ 
   --features SecurityType=TrustedLaunch
   

3. Para crear una versión de imagen, puede capturar una máquina virtual de inicio seguro basada en Linux que ya exista. Generalice la máquina virtual de inicio seguro antes de crear la versión de la imagen.

   az sig image-version create --resource-group MyResourceGroup \
   --gallery-name MyGallery --gallery-image-definition MyImageDef \
   --gallery-image-version 1.0.0 \
   --managed-image /subscriptions/00000000-0000-0000-0000-00000000xxxx/resourceGroups/MyResourceGroup/providers/Microsoft.Compute/virtualMachines/myVM
   

   Si se debe usar un disco administrado o una instantánea de disco administrado como origen de imagen para la versión de la imagen, reemplace --managed-image en el comando anterior por --os-snapshot y proporcione el disco o el nombre del recurso de instantánea.

4. Cree una máquina virtual de inicio seguro a partir de la versión anterior de la imagen.

   adminUsername=linuxvm
   az vm create --resource-group MyResourceGroup \
       --name myTrustedLaunchVM \
       --image "/subscriptions/00000000-0000-0000-0000-00000000xxxx/resourceGroups/MyResourceGroup/providers/Microsoft.Compute/galleries/MyGallery/images/MyImageDef" \
       --size Standard_D2s_v5 \
       --security-type TrustedLaunch \
       --enable-secure-boot true \ 
       --enable-vtpm true \
       --admin-username $adminUsername \
       --generate-ssh-keys
   

PowerShell

1. Crea una definición de imagen con el tipo de seguridad TrustedLaunch.

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "eastus"
   $publisherName = "TrustedlaunchPublisher"
   $offerName = "TrustedlaunchOffer"
   $skuName = "TrustedlaunchSku"
   $description = "My gallery"
   $SecurityType = @{Name='SecurityType';Value='TrustedLaunch'}
   $features = @($SecurityType)
   New-AzGalleryImageDefinition -ResourceGroupName $rgName -GalleryName $galleryName -Name $galleryImageDefinitionName -Location $location -Publisher $publisherName -Offer $offerName -Sku $skuName -HyperVGeneration "V2" -OsState "Generalized" -OsType "Windows" -Description $description -Feature $features
   

2. Para crear una versión de imagen, puede capturar una máquina virtual de inicio seguro basada en Windows que ya exista. Generalice la máquina virtual de inicio seguro antes de crear la versión de la imagen.

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "eastus"
   $galleryImageVersionName = "1.0.0"
   $sourceImageId = "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myVMRG/providers/Microsoft.Compute/virtualMachines/myVM"
   New-AzGalleryImageVersion -ResourceGroupName $rgName -GalleryName $galleryName -GalleryImageDefinitionName $galleryImageDefinitionName -Name $galleryImageVersionName -Location $location -SourceImageId $sourceImageId
   

3. Cree una máquina virtual de inicio seguro a partir de la versión anterior de la imagen.

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "eastus"
   $vmName = "myVMfromImage"
   $vmSize = "Standard_D2s_v5"
   $imageDefinition = Get-AzGalleryImageDefinition `
      -GalleryName $galleryName `
      -ResourceGroupName $rgName `
      -Name $galleryImageDefinitionName
   $cred = Get-Credential `
      -Message "Enter a username and password for the virtual machine"
   # Network pieces
   $subnetConfig = New-AzVirtualNetworkSubnetConfig `
      -Name mySubnet `
      -AddressPrefix 192.168.1.0/24
   $vnet = New-AzVirtualNetwork `
      -ResourceGroupName $rgName `
      -Location $location `
      -Name MYvNET `
      -AddressPrefix 192.168.0.0/16 `
      -Subnet $subnetConfig
   $pip = New-AzPublicIpAddress `
      -ResourceGroupName $rgName `
      -Location $location `
     -Name "mypublicdns$(Get-Random)" `
     -AllocationMethod Static `
     -IdleTimeoutInMinutes 4
   $nsgRuleRDP = New-AzNetworkSecurityRuleConfig `
      -Name myNetworkSecurityGroupRuleRDP  `
      -Protocol Tcp `
     -Direction Inbound `
      -Priority 1000 `
      -SourceAddressPrefix * `
      -SourcePortRange * `
      -DestinationAddressPrefix * `
      -DestinationPortRange 3389 `
      -Access Deny
   $nsg = New-AzNetworkSecurityGroup `
      -ResourceGroupName $rgName `
      -Location $location `
     -Name myNetworkSecurityGroup `
     -SecurityRules $nsgRuleRDP
   $nic = New-AzNetworkInterface `
      -Name myNic `
      -ResourceGroupName $rgName `
      -Location $location `
     -SubnetId $vnet.Subnets[0].Id `
     -PublicIpAddressId $pip.Id `
     -NetworkSecurityGroupId $nsg.Id
   $vm = New-AzVMConfig -vmName $vmName -vmSize $vmSize | `
         Set-AzVMOperatingSystem -Windows -ComputerName $vmName -Credential $cred | `
         Set-AzVMSourceImage -Id $imageDefinition.Id | `
         Add-AzVMNetworkInterface -Id $nic.Id
   $vm = Set-AzVMSecurityProfile -SecurityType "TrustedLaunch" -VM $vm
   $vm = Set-AzVmUefi -VM $vm `
      -EnableVtpm $true `
      -EnableSecureBoot $true 
   New-AzVM `
      -ResourceGroupName $rgName `
      -Location $location `
      -VM $vm
   

Directivas integradas de inicio seguro

Para ayudar a los usuarios a adoptar el inicio seguro, las directivas de Azure están disponibles a fin de permitir a los propietarios de recursos adoptar inicio seguro. El objetivo principal es ayudar a convertir las máquinas virtuales de primera y segunda generación que son compatibles con inicio seguro.

La directiva única La máquina virtual debe tener habilitado el inicio seguro comprueba si la máquina virtual está habilitada actualmente con configuraciones de seguridad de inicio seguro. La directiva Discos y sistema operativo compatibles con el inicio seguro comprueba si las máquinas virtuales creadas anteriormente tienen el sistema operativo de segunda generación y el tamaño de máquina virtual adecuados para implementar una máquina virtual de inicio seguro.

Estas dos directivas se unen para crear la iniciativa de directiva de inicio seguro. Esta iniciativa le permite agrupar varias definiciones de directiva relacionadas para simplificar las asignaciones y los recursos de administración para incluir la configuración de inicio seguro.

Para obtener más información e iniciar la implementación, consulta las directivas integradas de Inicio seguro.

---

Comprobación o actualización de la configuración

En el caso de las máquinas virtuales creadas con inicio seguro habilitado, puede ver la configuración de inicio seguro; para ello, vaya a la página Información general de la máquina virtual en Azure Portal. La pestaña Propiedades muestra el estado de las características de inicio seguro.

Para cambiar la configuración de inicio seguro, en el menú de la izquierda, en Configuración, seleccione Configuración. En la sección Tipo de seguridad, puede habilitar o deshabilitar Arranque seguro, vTPM y Supervisión de integridad. Cuando haya terminado, seleccione Guardar en la parte superior de la página.

Si la máquina virtual se está ejecutando, recibirá un mensaje que indica que la máquina virtual se reiniciará. Seleccione Sí y espere a que se reinicie la máquina virtual para que los cambios surtan efecto.

Contenido relacionado

Obtenga más información sobre el inicio seguro y la supervisión de la integridad de arranque de las máquinas virtuales.