Preguntas frecuentes del inicio seguro

Artículo
02/02/2024

Precaución

En este artículo se hace referencia a CentOS, una distribución de Linux que está cerca de su estado Final de ciclo vida (EOL). Tenga en cuenta su uso y planifique en consecuencia. Para más información, consulte la Guía de fin de ciclo de vida de CentOS.

Preguntas más frecuentes sobre el inicio seguro. Casos de uso de características, compatibilidad con otras características de Azure y correcciones para errores comunes.

Casos de uso

¿Por qué debo usar el inicio seguro? ¿Para qué sirve la protección de inicio seguro?

El inicio seguro protege contra los kits de arranque, los rootkits y el malware de nivel de kernel. Estos sofisticados tipos de malware se ejecutan en modo kernel y permanecen ocultos para los usuarios. Por ejemplo:

Rootkits de firmware: estos kits sobrescriben el firmware del BIOS de la máquina virtual, por lo que el rootkit puede iniciarse antes que el sistema operativo.
Kits de arranque: estos kits reemplazan el cargador de arranque del sistema operativo para que la máquina virtual cargue el kit de arranque antes que el sistema operativo.
Rootkits de kernel: estos kits reemplazan una parte del kernel del sistema operativo para que el rootkit pueda iniciarse automáticamente cuando se carga el sistema operativo.
Rootkits de controladores: se supone que estos kits son uno de los controladores de confianza que utiliza el sistema operativo para comunicarse con los componentes de la máquina virtual.

¿Cómo se compara el inicio seguro con la máquina virtual blindada de Hyper-V?

Actualmente, la máquina virtual blindada de Hyper-V solo está disponible en Hyper-V. Normalmente, la máquina virtual blindada de Hyper-V se implementa con el Tejido protegido. Un tejido protegido consta de un Servicio de protección de host (HGS), uno o más hosts protegidos y un conjunto de máquinas virtuales blindadas. Las máquinas virtuales blindadas de Hyper-V se usan en tejidos en los que los datos y el estado de la máquina virtual deben protegerse de varios actores. Estos actores son administradores de tejido y software que no es de confianza que podrían estar ejecutándose en los hosts de Hyper-V. Por otro lado, el inicio seguro se puede implementar como una máquina virtual independiente o Virtual Machine Scale Sets en Azure sin necesidad de otra implementación y administración de HGS. Las demás características de inicio seguro se pueden habilitar con un simple cambio en el código de implementación o una casilla en Azure Portal.

¿Puedo deshabilitar el inicio seguro para la nueva implementación de máquina virtual?

Las máquinas virtuales de inicio seguro proporcionan seguridad de proceso fundamental y nuestra recomendación es no deshabilitar las mismas para las nuevas implementaciones de VM/VMSS, excepto si las implementaciones tienen dependencia de:

Puede usar el parámetro securityType con el valor Standard para deshabilitar el inicio seguro en las nuevas implementaciones de VM/VMSS mediante Azure PowerShell (v10.3.0+) y la CLI (v2.53.0+)

CLI
PowerShell

az vm create -n MyVm -g MyResourceGroup --image Ubuntu2204 `
    --security-type 'Standard'

$adminUsername = <USER NAME>
$adminPassword = <PASSWORD> | ConvertTo-SecureString -AsPlainText -Force
$vmCred = New-Object System.Management.Automation.PSCredential($adminUsername, $adminPassword)
New-AzVM -Name MyVm -Credential $vmCred -SecurityType Standard

¿Puedo deshabilitar la opción de arranque seguro para las máquinas virtuales de inicio seguro?

El arranque seguro no está habilitado de manera predeterminada pero es recomendable habilitarlo si no usa controladores o kernel sin firma personalizados. Una vez creada una máquina virtual con la opción de inicio seguro y arranque seguro habilitada, puede ir a la máquina virtual, en la pestaña Configuración, ir a Configuraciones y anular la selección de la opción "Habilitar arranque seguro".

Características e implementaciones admitidas

¿Admite el inicio seguro Azure Compute Gallery?

El inicio seguro ahora permite crear y compartir imágenes por medio de Azure Compute Gallery (anteriormente Shared Image Gallery). El origen de la imagen puede ser:

una máquina virtual de Azure existente que esté generalizada o especializada,
un disco administrado existente o una instantánea OR o
un disco duro virtual o una versión de una imagen desde otra galería.

Para más información sobre la implementación de máquinas virtuales de inicio seguro mediante Azure Compute Gallery, consulte Implementación de máquinas virtuales de inicio seguro.

¿Admite el inicio seguro Azure Backup?

El inicio seguro ahora admite Azure Backup. Para más información, vea Matriz de compatibilidad para copias de seguridad de máquinas virtuales de Azure.

¿Seguirá funcionando Azure Backup después de habilitar el inicio seguro?

Las copias de seguridad configuradas con una directiva mejorada seguirán realizando copias de seguridad de la máquina virtual después de habilitar el inicio seguro.

¿Admite el inicio seguro discos de SO efímeros?

El inicio seguro admite discos de SO efímeros. Para más información, consulte Inicio seguro para discos de SO efímeros.

Nota:

Al usar discos efímeros para VM de inicio seguro es posible que las claves y los secretos generados o sellados por vTPM después de la creación de la VM no se conserven en operaciones como el restablecimiento de imágenes y eventos de plataforma como la recuperación del servicio.

¿Se puede restaurar la máquina virtual mediante la copia de seguridad realizada antes de habilitar el inicio seguro?

Las copias de seguridad realizadas antes de actualizar la máquina virtual de generación 2 existente a inicio seguro se pueden usar para restaurar toda la máquina virtual o discos de datos individuales. No se pueden usar para restaurar o reemplazar solo el disco del sistema operativo.

¿Cómo puedo encontrar los tamaños de máquina virtual que admiten el inicio seguro?

Vea la lista de tamaños de máquina virtual de generación 2 que admiten el inicio seguro.

Los siguientes comandos se pueden usar para comprobar si un tamaño de máquina virtual de generación 2 no admite el inicio seguro.

CLI
PowerShell

subscription="<yourSubID>"
region="westus"
vmSize="Standard_NC12s_v3"

az vm list-skus --resource-type virtualMachines  --location $region --query "[?name=='$vmSize'].capabilities" --subscription $subscription

$region = "southeastasia"
$vmSize = "Standard_M64"
(Get-AzComputeResourceSku | where {$_.Locations.Contains($region) -and ($_.Name -eq $vmSize) })[0].Capabilities

La respuesta es similar al siguiente formulario. TrustedLaunchDisabled True en la salida indica que el tamaño de máquina virtual de generación 2 no admite el inicio seguro. Si se trata de un tamaño de máquina virtual de generación 2 y TrustedLaunchDisabled no forma parte de la salida, significa que se admite el inicio seguro para ese tamaño de máquina virtual.

Name                                         Value
----                                         -----
MaxResourceVolumeMB                          8192000
OSVhdSizeMB                                  1047552
vCPUs                                        64
MemoryPreservingMaintenanceSupported         False
HyperVGenerations                            V1,V2
MemoryGB                                     1000
MaxDataDiskCount                             64
CpuArchitectureType                          x64
MaxWriteAcceleratorDisksAllowed              8
LowPriorityCapable                           True
PremiumIO                                    True
VMDeploymentTypes                            IaaS
vCPUsAvailable                               64
ACUs                                         160
vCPUsPerCore                                 2
CombinedTempDiskAndCachedIOPS                80000
CombinedTempDiskAndCachedReadBytesPerSecond  838860800
CombinedTempDiskAndCachedWriteBytesPerSecond 838860800
CachedDiskBytes                              1318554959872
UncachedDiskIOPS                             40000
UncachedDiskBytesPerSecond                   1048576000
EphemeralOSDiskSupported                     True
EncryptionAtHostSupported                    True
CapacityReservationSupported                 False
TrustedLaunchDisabled                        True
AcceleratedNetworkingEnabled                 True
RdmaEnabled                                  False
MaxNetworkInterfaces                         8

¿Cómo puedo validar que mi imagen del sistema operativo admite el inicio seguro?

Consulte la lista de versiones del sistema operativo compatibles con el inicio seguro.

Imágenes del sistema operativo del Marketplace

Los siguientes comandos se pueden usar para comprobar si una imagen del sistema operativo en el marketplace admite el inicio seguro.

CLI
PowerShell

az vm image show --urn "MicrosoftWindowsServer:WindowsServer:2022-datacenter-azure-edition:latest"

La respuesta es similar al siguiente formulario. El hecho de que hyperVGenerationv2 y SecurityType contengan TrustedLaunch en la salida indica que la imagen del sistema operativo de Generation 2 admite el inicio seguro.

{
  "architecture": "x64",
  "automaticOsUpgradeProperties": {
    "automaticOsUpgradeSupported": false
  },
  "dataDiskImages": [],
  "disallowed": {
    "vmDiskType": "Unmanaged"
  },
  "extendedLocation": null,
  "features": [
    {
      "name": "SecurityType",
      "value": "TrustedLaunchAndConfidentialVmSupported"
    },
    {
      "name": "IsAcceleratedNetworkSupported",
      "value": "True"
    },
    {
      "name": "DiskControllerTypes",
      "value": "SCSI, NVMe"
    },
    {
      "name": "IsHibernateSupported",
      "value": "True"
    }
  ],
  "hyperVGeneration": "V2",
  "id": "/Subscriptions/00000000-0000-0000-0000-00000000000/Providers/Microsoft.Compute/Locations/westus/Publishers/MicrosoftWindowsServer/ArtifactTypes/VMImage/Offers/WindowsServer/Skus/2022-datacenter-azure-edition/Versions/20348.1906.230803",
  "imageDeprecationStatus": {
    "alternativeOption": null,
    "imageState": "Active",
    "scheduledDeprecationTime": null
  },
  "location": "westus",
  "name": "20348.1906.230803",
  "osDiskImage": {
    "operatingSystem": "Windows",
    "sizeInGb": 127
  },
  "plan": null,
  "tags": null
}

Get-AzVMImage -Skus 22_04-lts-gen2 -PublisherName Canonical -Offer 0001-com-ubuntu-server-jammy -Location westus3 -Version latest

La salida del comando se puede usar con Virtual Machines - API Get. La respuesta es similar al siguiente formulario. El hecho de que hyperVGenerationv2 y SecurityType contengan TrustedLaunch en la salida indica que la imagen del sistema operativo de Generation 2 admite el inicio seguro.

{
    "properties": {
        "hyperVGeneration": "V2",
        "architecture": "x64",
        "replicaType": "Managed",
        "replicaCount": 10,
        "disallowed": {
            "vmDiskType": "Unmanaged"
        },
        "automaticOSUpgradeProperties": {
            "automaticOSUpgradeSupported": false
        },
        "imageDeprecationStatus": {
            "imageState": "Active"
        },
        "features": [
            {
                "name": "SecurityType",
                "value": "TrustedLaunchSupported"
            },
            {
                "name": "IsAcceleratedNetworkSupported",
                "value": "True"
            },
            {
                "name": "DiskControllerTypes",
                "value": "SCSI, NVMe"
            },
            {
                "name": "IsHibernateSupported",
                "value": "True"
            }
        ],
        "osDiskImage": {
            "operatingSystem": "Linux",
            "sizeInGb": 30
        },
        "dataDiskImages": []
    },
    "location": "WestUS3",
    "name": "22.04.202309080",
    "id": "/Subscriptions/00000000-0000-0000-0000-000000000000/Providers/Microsoft.Compute/Locations/WestUS3/Publishers/Canonical/ArtifactTypes/VMImage/Offers/0001-com-ubuntu-server-jammy/Skus/22_04-lts-gen2/Versions/22.04.202309080"
}

Imagen del sistema operativo de Azure Compute Gallery

Los siguientes comandos se pueden usar para comprobar si una imagen del sistema operativo de Azure Compute Gallery admite el inicio seguro.

CLI
PowerShell

az sig image-definition show `
    --gallery-image-definition myImageDefinition `
    --gallery-name myImageGallery `
    --resource-group myImageGalleryRg

{
  "architecture": "x64",
  "features": [
    {
      "name": "SecurityType",
      "value": "TrustedLaunchSupported"
    }
  ],
  "hyperVGeneration": "V2",
  "id": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myImageGalleryRg/providers/Microsoft.Compute/galleries/myImageGallery/images/myImageDefinition",
  "identifier": {
    "offer": "myImageDefinition",
    "publisher": "myImageDefinition",
    "sku": "myImageDefinition"
  },
  "location": "westus3",
  "name": "myImageDefinition",
  "osState": "Generalized",
  "osType": "Windows",
  "provisioningState": "Succeeded",
  "recommended": {
    "memory": {
      "max": 32,
      "min": 1
    },
    "vCPUs": {
      "max": 16,
      "min": 1
    }
  },
  "resourceGroup": "myImageGalleryRg",
  "tags": {},
  "type": "Microsoft.Compute/galleries/images"
}

Get-AzGalleryImageDefinition -ResourceGroupName myImageGalleryRg `
    -GalleryName myImageGallery -GalleryImageDefinitionName myImageDefinition

ResourceGroupName : myImageGalleryRg
OsType            : Windows
OsState           : Generalized
HyperVGeneration  : V2
Identifier        :
  Publisher       : myImageDefinition
  Offer           : myImageDefinition
  Sku             : myImageDefinition
Recommended       :
  VCPUs           :
    Min           : 1
    Max           : 16
  Memory          :
    Min           : 1
    Max           : 32
ProvisioningState : Succeeded
Id                : /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myImageGalleryRg/providers/Microsoft.Compute/galleries/myImageGallery/images/myImageDefinition
Name              : myImageDefinition
Type              : Microsoft.Compute/galleries/images
Location          : westus3
Tags              : {}
Features[0]       :
  Name            : SecurityType
  Value           : TrustedLaunchSupported
Architecture      : x64

¿Cómo funcionan los controladores de comunicación externos con las máquinas virtuales de inicio seguro?

La adición de puertos COM requiere deshabilitar el arranque seguro. Por lo tanto, los puertos COM están deshabilitados de forma predeterminada en las máquinas virtuales de inicio seguro.

Estados de energía

Estados específicos de características, tipos de arranque y problemas comunes de arranque.

¿Qué es el estado de invitado de la máquina virtual (VMGS)?

El estado de invitado de la máquina virtual (VMGS) es específico de la máquina virtual de inicio seguro. Se trata de un blob administrado por Azure y contiene las bases de datos unificadas de firma de arranque seguro de Unified Extensible Firmware Interface (UEFI) y otra información de seguridad. El ciclo de vida del blob de VMGS está asociado al del disco del sistema operativo.

¿Cuáles son las diferencias entre el arranque seguro y el arranque medido?

En la cadena de arranque seguro, cada paso del proceso de arranque comprueba una firma criptográfica de los pasos siguientes. Por ejemplo, el BIOS comprueba una firma en el cargador y el cargador comprueba las firmas de todos los objetos de kernel que se carguen, entre otras cosas. Si alguno de los objetos está en peligro, la firma no coincide y la máquina virtual no arranca. Para obtener más información, consulta Arranque seguro. El arranque medido no detiene el proceso de arranque, mide o calcula el hash de los siguientes objetos de la cadena y almacena los valores hash en los registros de configuración de la plataforma (PCR) en vTPM. Los registros de arranque medidos se utilizan para la supervisión de la integridad de arranque.

¿Por qué no arranca correctamente la máquina virtual de inicio seguro?

Si se detectan componentes sin firmar de UEFI (firmware invitado), cargador de arranque, sistema operativo o controladores de arranque, la máquina virtual de inicio seguro no arrancará. La configuración de arranque seguro en la máquina virtual de inicio seguro no puede arrancar si se encuentran componentes de arranque sin firmar o que no son de confianza durante el proceso de arranque; se notificará un error de arranque seguro.

La canalización de inicio de confianza desde el arranque seguro a los controladores de terceros

Nota:

Las máquinas virtuales de inicio seguro que se crean directamente a partir de una imagen de Azure Marketplace no deben experimentar errores de arranque seguro. Las imágenes de Azure Compute Gallery con un origen de imagen original de Marketplace y las instantáneas creadas a partir de máquinas virtuales de inicio seguro tampoco deben experimentar estos errores.

¿Cómo puedo comprobar un escenario sin arranque en Azure Portal?

Cuando una máquina virtual deja de estar disponible a raíz de un error de arranque seguro, "sin arranque" significa que la máquina virtual tiene un componente de sistema operativo firmado por una entidad de confianza que bloquea el arranque de una máquina virtual de inicio seguro. En la implementación de máquinas virtuales, los clientes pueden ver información del estado de los recursos en Azure Portal que indica que hay un error de validación en el arranque seguro.

Para acceder al estado de los recursos desde la página de configuración de la máquina virtual, vaya a Resource Health en el panel "Ayuda".

Siga los pasos recomendados descritos en la pantalla de estado de los recursos. Las instrucciones incluyen una captura de pantalla y un registro serie descargable desde los diagnósticos de arranque de la máquina virtual.

Si ha comprobado que el escenario sin arranque se debió a un error de arranque seguro:

La imagen que usa es una versión anterior que puede tener uno o varios componentes de arranque que no son de confianza y se encuentra en una ruta de acceso en desuso. Para solucionar una imagen obsoleta, actualice a una versión de imagen más reciente compatible.
Es posible que la imagen que está usando se haya compilado fuera de un origen de Marketplace o que los componentes de arranque se hayan modificado y contengan componentes de arranque sin firmar o que no sean de confianza. Para comprobar si la imagen tiene componentes de arranque sin firmar o que no son de confianza, consulte "Comprobación de errores de arranque seguro".
Si los dos escenarios anteriores no se aplican a su caso, puede que la máquina virtual esté infectada con malware (bootkit o rootkit). Considere la posibilidad de eliminar la máquina virtual y volver a crear una nueva máquina virtual a partir de la misma imagen de origen mientras evalúa todo el software que se instala.

Comprobación de errores de arranque seguro

Máquinas virtuales Linux

Para comprobar qué componentes de arranque son los responsables de los errores de arranque seguro dentro de una máquina virtual Linux de Azure, los usuarios finales pueden usar la herramienta SBInfo del paquete de seguridad de Linux.

Desactivar el arranque seguro
Conéctese a la máquina virtual de inicio seguro Linux de Azure.
Instale la herramienta SBInfo para la distribución que la máquina virtual está ejecutando. Reside en el paquete de seguridad de Linux.

Estos comandos se aplican a Ubuntu, Debian y otras distribuciones basadas en Debian.

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ trusty main" | sudo tee -a /etc/apt/sources.list.d/azure.list

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ xenial main" | sudo tee -a /etc/apt/sources.list.d/azure.list

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ bionic main" | sudo tee -a /etc/apt/sources.list.d/azure.list

wget https://packages.microsoft.com/keys/microsoft.asc

wget https://packages.microsoft.com/keys/msopentech.asc

sudo apt-key add microsoft.asc && sudo apt-key add msopentech.asc

sudo apt update && sudo apt install azure-security

Estos comandos se aplican a RHEL, CentOS y otras distribuciones basadas en Red Hat.

echo "[packages-microsoft-com-azurecore]" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "name=packages-microsoft-com-azurecore" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "baseurl=https://packages.microsoft.com/yumrepos/azurecore/" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "enabled=1" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "gpgcheck=0" | sudo tee -a /etc/yum.repos.d/azurecore.repo

sudo yum install azure-security

Estos comandos se aplican a SLES, openSUSE y otras distribuciones basadas en SUSE.

sudo zypper ar -t rpm-md -n "packages-microsoft-com-azurecore" --no-gpgcheck https://packages.microsoft.com/yumrepos/azurecore/ azurecore

sudo zypper install azure-security

Después de instalar el paquete de seguridad de Linux para su distribución, ejecute el comando "sbinfo" para comprobar qué componentes de arranque son responsables de los errores de arranque seguro; para ello, muestre todos los módulos, kernels y cargadores de arranque sin firmar.

sudo sbinfo -u -m -k -b

Para más información sobre la herramienta de diagnóstico SBInfo, puede ejecutar "sudo sbinfo -help".

¿Por qué recibo un error de supervisión de integridad de arranque?

El inicio seguro para máquinas virtuales de Azure se supervisa para detectar amenazas avanzadas. Si se detectan estas amenazas, se desencadena una alerta. Las alertas solo están disponibles si están habilitadas las características de seguridad mejoradas de Defender for Cloud.

Microsoft Defender for Cloud realiza periódicamente la atestación. Si se produce un error en la atestación, se desencadena una alerta de gravedad media. La atestación del inicio seguro puede producir un error por las razones siguientes:

La información atestada, que incluye un registro de la base de cálculo de confianza (TCB), se desvía de una línea base de confianza (como cuando el arranque seguro está habilitado). Cualquier desviación indica que se han cargado módulos que no son de confianza y el sistema operativo puede estar en peligro.
No se pudo comprobar que la oferta de atestación se originó en el vTPM de la máquina virtual atestada. La característica de verificación indica que hay un malware y puede que esté interceptando tráfico al TPM.
La extensión de atestación en la máquina virtual no responde. Una extensión sin respuesta indica un ataque por denegación de servicio por malware o un administrador del sistema operativo.

Certificados

¿Cómo pueden los usuarios establecer la raíz de confianza con máquinas virtuales de inicio seguro?

El certificado público de AK de TPM virtual proporciona a los usuarios visibilidad para obtener información sobre la cadena de certificados completa (certificados raíz e intermedio), lo que les ayuda a validar la confianza en el certificado y la cadena raíz. Para asegurarse de que los consumidores de inicio de confianza tienen continuamente la posición de seguridad más alta, proporciona información sobre las propiedades de la instancia, para que los usuarios puedan realizar un seguimiento de la cadena completa.

Instrucciones de descarga

Los certificados del paquete, compuestos por .p7b (autoridad de certificación completa) y .cer (CA Intermedia), revelan la firma y la autoridad de certificación. Copie el contenido pertinente y use herramientas de certificado para inspeccionar y evaluar los detalles de los certificados.

Seleccione esta opción para descargar el archivo .crt siguiente para la entidad de certificación raíz de TPM virtual de Azure 2023

Entidad de certificación raíz de TPM virtual de Azure 2023

Seleccione para ver el contenido .p7b

CA de TPM virtual global - 01:

Seleccione para ver el contenido .cert del certificado raíz