Zaufane uruchamianie — często zadawane pytania

Artykuł
10/24/2024

Uwaga

W tym artykule odwołuje się system CentOS — dystrybucja systemu Linux, która zbliża się do stanu końca życia (EOL). Rozważ odpowiednie użycie i zaplanuj. Aby uzyskać więcej informacji, zobacz wskazówki dotyczące systemu CentOS EOL.

Często zadawane pytania dotyczące przypadków użycia funkcji zaufanego uruchamiania platformy Azure, obsługi innych funkcji platformy Azure i poprawek typowych błędów.

Przypadki użycia

Ta sekcja zawiera odpowiedzi na pytania dotyczące przypadków użycia zaufanych uruchomień.

Dlaczego należy używać zaufanego uruchamiania? Co chroni usługa Trusted Launch?

Zaufane uruchamianie chroni przed zestawami rozruchowymi, zestawami rootkit i złośliwym oprogramowaniem na poziomie jądra. Te zaawansowane typy złośliwego oprogramowania działają w trybie jądra i pozostają ukryte przed użytkownikami. Na przykład:

Zestawy rootkit oprogramowania układowego: te zestawy zastępują oprogramowanie układowe systemu BIOS maszyny wirtualnej, dzięki czemu zestaw rootkit może rozpocząć się przed systemem operacyjnym.
Zestawy rozruchowe: te zestawy zastępują moduł ładujący systemu operacyjnego, tak aby maszyna wirtualna ładuje zestaw rozruchowy przed systemem operacyjnym.
Zestawy rootkit jądra: te zestawy zastępują część jądra systemu operacyjnego, dzięki czemu zestaw rootkit może być uruchamiany automatycznie po załadowaniu systemu operacyjnego.
Zestawy rootkit sterowników: te zestawy udawać, że są jednym z zaufanych sterowników używanych przez system operacyjny do komunikowania się ze składnikami maszyny wirtualnej.

Jakie są różnice między bezpiecznym rozruchem a mierzonym rozruchem?

W łańcuchu bezpiecznego rozruchu każdy krok w procesie rozruchu sprawdza podpis kryptograficzny kolejnych kroków. Na przykład system BIOS sprawdza podpis modułu ładującego, a moduł ładujący sprawdza podpisy we wszystkich załadowanych obiektach jądra itd. W przypadku naruszenia zabezpieczeń któregokolwiek z obiektów podpis nie jest zgodny, a maszyna wirtualna nie uruchamia się. Aby uzyskać więcej informacji, zobacz Bezpieczny rozruch.

W jaki sposób funkcja Zaufane uruchamianie jest porównywana z maszyną wirtualną z osłoną funkcji Hyper-V?

Maszyna wirtualna z osłoną funkcji Hyper-V jest obecnie dostępna tylko w funkcji Hyper-V. Maszyna wirtualna z osłoną funkcji Hyper-V jest zwykle wdrażana z chronioną siecią szkieletową. Chroniona sieć szkieletowa składa się z usługi Ochrona hosta (HGS), co najmniej jednego hosta chronionego oraz zestawu chronionych maszyn wirtualnych. Maszyny wirtualne z osłoną funkcji Hyper-V są używane w sieciach szkieletowych, w których dane i stan maszyny wirtualnej muszą być chronione przed różnymi aktorami. Te podmioty są zarówno administratorami sieci szkieletowej, jak i niezaufanym oprogramowaniem, które może być uruchomione na hostach funkcji Hyper-V.

Z drugiej strony zaufane uruchamianie można wdrożyć jako autonomiczną maszynę wirtualną lub jako zestawy skalowania maszyn wirtualnych na platformie Azure bez innych wdrożeń i zarządzania usługą HGS. Wszystkie funkcje zaufanego uruchamiania można włączyć za pomocą prostej zmiany kodu wdrożenia lub pola wyboru w witrynie Azure Portal.

Co to jest stan gościa maszyny wirtualnej (VMGS)?

Stan gościa maszyny wirtualnej (VMGS) jest specyficzny dla zaufanych maszyn wirtualnych uruchamiania. Jest to obiekt blob zarządzany przez platformę Azure i zawiera ujednolicone rozszerzalne bazy danych sygnatur bezpiecznego rozruchu (UEFI) i inne informacje o zabezpieczeniach. Cykl życia obiektu blob usługi VMGS jest powiązany z dyskiem systemu operacyjnego.

Czy mogę wyłączyć zaufane uruchamianie dla nowego wdrożenia maszyny wirtualnej?

Zaufane maszyny wirtualne uruchamiania zapewniają podstawowe zabezpieczenia obliczeniowe. Zalecamy, aby nie wyłączać ich dla nowych wdrożeń maszyn wirtualnych lub zestawu skalowania maszyn wirtualnych, z wyjątkiem sytuacji, gdy wdrożenia mają zależność od:

Możesz użyć parametru securityType z wartością Standard , aby wyłączyć zaufane uruchamianie w nowych wdrożeniach maszyn wirtualnych lub zestawu skalowania maszyn wirtualnych przy użyciu programu Azure PowerShell (wersja 10.3.0 lub nowsza) oraz interfejsu wiersza polecenia platformy Azure (wersja 2.53.0 lub nowsza).

Uwaga

Nie zalecamy wyłączania bezpiecznego rozruchu, chyba że używasz niestandardowego niepodpisanego jądra lub sterowników.

Jeśli musisz wyłączyć bezpieczny rozruch, w obszarze konfiguracji maszyny wirtualnej wyczyść opcję Włącz bezpieczny rozruch .

Interfejs wiersza polecenia
Program PowerShell

az vm create -n MyVm -g MyResourceGroup --image Ubuntu2204 `
    --security-type 'Standard'

$adminUsername = <USER NAME>
$adminPassword = <PASSWORD> | ConvertTo-SecureString -AsPlainText -Force
$vmCred = New-Object System.Management.Automation.PSCredential($adminUsername, $adminPassword)
New-AzVM -Name MyVm -Credential $vmCred -SecurityType Standard

Obsługiwane funkcje i wdrożenia

W tej sekcji omówiono obsługiwane funkcje i wdrożenia zaufanego uruchamiania.

Czy usługa Azure Compute Gallery jest obsługiwana przez zaufane uruchamianie?

Zaufane uruchamianie umożliwia teraz tworzenie i udostępnianie obrazów za pośrednictwem galerii obliczeń platformy Azure (wcześniej udostępnionej galerii obrazów). Źródło obrazu może być następujące:

Istniejąca maszyna wirtualna platformy Azure, która jest uogólniona lub wyspecjalizowana.
Istniejący dysk zarządzany lub migawka.
Dysk VHD lub wersja obrazu z innej galerii.

Aby uzyskać więcej informacji na temat wdrażania zaufanej maszyny wirtualnej uruchamiania przy użyciu galerii obliczeń platformy Azure, zobacz Wdrażanie zaufanych maszyn wirtualnych uruchamiania.

Czy usługa Azure Backup jest obsługiwana przez zaufane uruchamianie?

Zaufane uruchamianie obsługuje teraz usługę Azure Backup. Aby uzyskać więcej informacji, zobacz Macierz obsługi kopii zapasowej maszyny wirtualnej platformy Azure.

Czy usługa Azure Backup będzie nadal działać po włączeniu zaufanego uruchamiania?

Kopie zapasowe skonfigurowane przy użyciu zasad rozszerzonych kontynuują tworzenie kopii zapasowych maszyn wirtualnych po włączeniu zaufanego uruchamiania.

Czy efemeryczne dyski systemu operacyjnego są obsługiwane przez zaufane uruchamianie?

Zaufane uruchamianie obsługuje efemeryczne dyski systemu operacyjnego. Aby uzyskać więcej informacji, zobacz Trusted Launch for ephemeral OS disks (Zaufane uruchamianie dla efemerycznych dysków systemu operacyjnego).

Uwaga

W przypadku używania dysków efemerycznych dla zaufanych maszyn wirtualnych uruchamiania, kluczy i wpisów tajnych wygenerowanych lub zapieczętowanych przez wirtualny moduł Trusted Platform Module (vTPM) po utworzeniu maszyny wirtualnej może nie być utrwalany w operacjach, takich jak ponowne tworzenie i zdarzenia platformy, takie jak naprawianie usługi.

Czy funkcje zabezpieczeń dostępne w przypadku zaufanego uruchamiania mają zastosowanie również do dysków danych?

Zaufane uruchamianie zapewnia podstawowe zabezpieczenia systemu operacyjnego hostowanego na maszynie wirtualnej, zaświadczając o jego integralności rozruchu. Zaufane funkcje zabezpieczeń uruchamiania mają zastosowanie tylko do uruchamiania dysków systemu operacyjnego i systemu operacyjnego, nie mają zastosowania do dysków danych ani plików binarnych systemu operacyjnego przechowywanych na dyskach danych. Aby uzyskać więcej informacji, zobacz Omówienie zaufanego uruchamiania

Czy można przywrócić maszynę wirtualną przy użyciu kopii zapasowych wykonanych przed włączeniem zaufanego uruchamiania?

Kopie zapasowe wykonane przed uaktualnieniem istniejącej maszyny wirtualnej generacji 2 do zaufanego uruchamiania mogą służyć do przywrócenia całej maszyny wirtualnej lub pojedynczych dysków danych. Nie można ich używać do przywracania ani zastępowania tylko dysku systemu operacyjnego.

Jak mogę znaleźć rozmiary maszyn wirtualnych, które obsługują zaufane uruchamianie?

Zobacz listę rozmiarów maszyn wirtualnych generacji 2, które obsługują zaufane uruchamianie.

Użyj następujących poleceń, aby sprawdzić, czy rozmiar maszyny wirtualnej generacji 2 nie obsługuje zaufanego uruchamiania.

Interfejs wiersza polecenia
Program PowerShell

subscription="<yourSubID>"
region="westus"
vmSize="Standard_NC12s_v3"

az vm list-skus --resource-type virtualMachines  --location $region --query "[?name=='$vmSize'].capabilities" --subscription $subscription

$region = "southeastasia"
$vmSize = "Standard_M64"
(Get-AzComputeResourceSku | where {$_.Locations.Contains($region) -and ($_.Name -eq $vmSize) })[0].Capabilities

Odpowiedź jest podobna do poniższej. Dane wyjściowe wskazujące TrustedLaunchDisabled True , że rozmiar maszyny wirtualnej generacji 2 nie obsługuje zaufanego uruchamiania. Jeśli jest to rozmiar maszyny wirtualnej generacji 2 i TrustedLaunchDisabled nie jest częścią danych wyjściowych, zaufane uruchamianie jest obsługiwane dla tego rozmiaru maszyny wirtualnej.

Name                                         Value
----                                         -----
MaxResourceVolumeMB                          8192000
OSVhdSizeMB                                  1047552
vCPUs                                        64
MemoryPreservingMaintenanceSupported         False
HyperVGenerations                            V1,V2
MemoryGB                                     1000
MaxDataDiskCount                             64
CpuArchitectureType                          x64
MaxWriteAcceleratorDisksAllowed              8
LowPriorityCapable                           True
PremiumIO                                    True
VMDeploymentTypes                            IaaS
vCPUsAvailable                               64
ACUs                                         160
vCPUsPerCore                                 2
CombinedTempDiskAndCachedIOPS                80000
CombinedTempDiskAndCachedReadBytesPerSecond  838860800
CombinedTempDiskAndCachedWriteBytesPerSecond 838860800
CachedDiskBytes                              1318554959872
UncachedDiskIOPS                             40000
UncachedDiskBytesPerSecond                   1048576000
EphemeralOSDiskSupported                     True
EncryptionAtHostSupported                    True
CapacityReservationSupported                 False
TrustedLaunchDisabled                        True
AcceleratedNetworkingEnabled                 True
RdmaEnabled                                  False
MaxNetworkInterfaces                         8

Jak sprawdzić, czy mój obraz systemu operacyjnego obsługuje zaufane uruchamianie?

Zobacz listę wersji systemu operacyjnego obsługiwanych przy użyciu zaufanego uruchamiania.

Obrazy systemu operacyjnego w witrynie Marketplace

Użyj następujących poleceń, aby sprawdzić, czy obraz systemu operacyjnego witryny Azure Marketplace obsługuje zaufane uruchamianie.

Interfejs wiersza polecenia
Program PowerShell

az vm image show --urn "MicrosoftWindowsServer:WindowsServer:2022-datacenter-azure-edition:latest"

Odpowiedź jest podobna do poniższej. Jeśli hyperVGeneration element jest v2 i SecurityType zawiera TrustedLaunch dane wyjściowe, obraz systemu operacyjnego generacji 2 obsługuje zaufane uruchamianie.

{
  "architecture": "x64",
  "automaticOsUpgradeProperties": {
    "automaticOsUpgradeSupported": false
  },
  "dataDiskImages": [],
  "disallowed": {
    "vmDiskType": "Unmanaged"
  },
  "extendedLocation": null,
  "features": [
    {
      "name": "SecurityType",
      "value": "TrustedLaunchAndConfidentialVmSupported"
    },
    {
      "name": "IsAcceleratedNetworkSupported",
      "value": "True"
    },
    {
      "name": "DiskControllerTypes",
      "value": "SCSI, NVMe"
    },
    {
      "name": "IsHibernateSupported",
      "value": "True"
    }
  ],
  "hyperVGeneration": "V2",
  "id": "/Subscriptions/00000000-0000-0000-0000-00000000000/Providers/Microsoft.Compute/Locations/westus/Publishers/MicrosoftWindowsServer/ArtifactTypes/VMImage/Offers/WindowsServer/Skus/2022-datacenter-azure-edition/Versions/20348.1906.230803",
  "imageDeprecationStatus": {
    "alternativeOption": null,
    "imageState": "Active",
    "scheduledDeprecationTime": null
  },
  "location": "westus",
  "name": "20348.1906.230803",
  "osDiskImage": {
    "operatingSystem": "Windows",
    "sizeInGb": 127
  },
  "plan": null,
  "tags": null
}

Get-AzVMImage -Skus 22_04-lts-gen2 -PublisherName Canonical -Offer 0001-com-ubuntu-server-jammy -Location westus3 -Version latest

Możesz użyć danych wyjściowych polecenia z maszynami wirtualnymi — pobierz interfejs API. Odpowiedź jest podobna do poniższej. Jeśli hyperVGeneration element jest v2 i SecurityType zawiera TrustedLaunch dane wyjściowe, obraz systemu operacyjnego generacji 2 obsługuje zaufane uruchamianie.

{
    "properties": {
        "hyperVGeneration": "V2",
        "architecture": "x64",
        "replicaType": "Managed",
        "replicaCount": 10,
        "disallowed": {
            "vmDiskType": "Unmanaged"
        },
        "automaticOSUpgradeProperties": {
            "automaticOSUpgradeSupported": false
        },
        "imageDeprecationStatus": {
            "imageState": "Active"
        },
        "features": [
            {
                "name": "SecurityType",
                "value": "TrustedLaunchSupported"
            },
            {
                "name": "IsAcceleratedNetworkSupported",
                "value": "True"
            },
            {
                "name": "DiskControllerTypes",
                "value": "SCSI, NVMe"
            },
            {
                "name": "IsHibernateSupported",
                "value": "True"
            }
        ],
        "osDiskImage": {
            "operatingSystem": "Linux",
            "sizeInGb": 30
        },
        "dataDiskImages": []
    },
    "location": "WestUS3",
    "name": "22.04.202309080",
    "id": "/Subscriptions/00000000-0000-0000-0000-000000000000/Providers/Microsoft.Compute/Locations/WestUS3/Publishers/Canonical/ArtifactTypes/VMImage/Offers/0001-com-ubuntu-server-jammy/Skus/22_04-lts-gen2/Versions/22.04.202309080"
}

Obraz systemu operacyjnego galerii obliczeń platformy Azure

Użyj poniższych poleceń, aby sprawdzić, czy obraz systemu operacyjnego galerii obliczeniowej platformy Azure obsługuje zaufane uruchamianie.

Interfejs wiersza polecenia
Program PowerShell

az sig image-definition show `
    --gallery-image-definition myImageDefinition `
    --gallery-name myImageGallery `
    --resource-group myImageGalleryRg

{
  "architecture": "x64",
  "features": [
    {
      "name": "SecurityType",
      "value": "TrustedLaunchSupported"
    }
  ],
  "hyperVGeneration": "V2",
  "id": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myImageGalleryRg/providers/Microsoft.Compute/galleries/myImageGallery/images/myImageDefinition",
  "identifier": {
    "offer": "myImageDefinition",
    "publisher": "myImageDefinition",
    "sku": "myImageDefinition"
  },
  "location": "westus3",
  "name": "myImageDefinition",
  "osState": "Generalized",
  "osType": "Windows",
  "provisioningState": "Succeeded",
  "recommended": {
    "memory": {
      "max": 32,
      "min": 1
    },
    "vCPUs": {
      "max": 16,
      "min": 1
    }
  },
  "resourceGroup": "myImageGalleryRg",
  "tags": {},
  "type": "Microsoft.Compute/galleries/images"
}

Get-AzGalleryImageDefinition -ResourceGroupName myImageGalleryRg `
    -GalleryName myImageGallery -GalleryImageDefinitionName myImageDefinition

ResourceGroupName : myImageGalleryRg
OsType            : Windows
OsState           : Generalized
HyperVGeneration  : V2
Identifier        :
  Publisher       : myImageDefinition
  Offer           : myImageDefinition
  Sku             : myImageDefinition
Recommended       :
  VCPUs           :
    Min           : 1
    Max           : 16
  Memory          :
    Min           : 1
    Max           : 32
ProvisioningState : Succeeded
Id                : /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myImageGalleryRg/providers/Microsoft.Compute/galleries/myImageGallery/images/myImageDefinition
Name              : myImageDefinition
Type              : Microsoft.Compute/galleries/images
Location          : westus3
Tags              : {}
Features[0]       :
  Name            : SecurityType
  Value           : TrustedLaunchSupported
Architecture      : x64

Jak sterowniki komunikacji zewnętrznej działają z zaufanymi maszynami wirtualnymi uruchamiania?

Dodanie portów COM wymaga wyłączenia bezpiecznego rozruchu. Porty COM są domyślnie wyłączone w zaufanych maszynach wirtualnych uruchamiania.

Rozwiązywanie problemów

Ta sekcja zawiera odpowiedzi na pytania dotyczące określonych stanów, typów rozruchu i typowych problemów z rozruchem.

Co należy zrobić, gdy moja zaufana maszyna wirtualna uruchamiania ma błędy wdrażania?

Ta sekcja zawiera dodatkowe szczegóły dotyczące niepowodzeń wdrażania zaufanego uruchamiania, aby podjąć odpowiednie działania, aby je zapobiec.

Virtual machine <vm name> failed to create from the selected snapshot because the virtual Trusted Platform Module (vTPM) state is locked.
To proceed with the VM creation, please select a different snapshot without a locked vTPM state.
For more assistance, please refer to “Troubleshooting locked vTPM state” in FAQ page at https://aka.ms/TrustedLaunch-FAQ.

Ten błąd wdrożenia występuje, gdy podany punkt migawki lub przywracania jest niedostępny lub bezużyteczny z następujących powodów:

Uszkodzony stan gościa maszyny wirtualnej (VMGS)
VTPM w stanie zablokowanym
Co najmniej jeden krytyczny indeks vTPM jest w nieprawidłowym stanie.

Powyższe informacje mogą wystąpić, jeśli użytkownik lub obciążenie uruchomione na maszynie wirtualnej ustawia blokadę na maszynie wirtualnej lub modyfikuje krytyczne indeksy vTPM, które opuszczają maszynę wirtualną vTPM w nieprawidłowym stanie.

Ponawianie próby z tym samym punktem migawki/przywracania spowoduje ten sam błąd.

Aby rozwiązać ten problem:

Na źródłowej maszynie wirtualnej zaufanego uruchamiania, na której został wygenerowany punkt migawki lub przywracania, błędy vTPM muszą zostać naprawione.
1. Jeśli stan vTPM został zmodyfikowany przez obciążenie na maszynie wirtualnej, należy użyć tego samego polecenia, aby sprawdzić stany błędu i przywrócić maszynę wirtualną vTPM do stanu błędu.
2. Jeśli narzędzia TPM były używane do modyfikowania stanu vTPM, należy użyć tych samych narzędzi, aby sprawdzić stany błędu i przywrócić maszynę wirtualną vTPM do stanu błędu.

Gdy punkt migawki lub przywracania będzie wolny od tych błędów, możesz użyć go do utworzenia nowej zaufanej maszyny wirtualnej uruchamiania.

Dlaczego zaufana maszyna wirtualna uruchamiania nie uruchamia się poprawnie?

Jeśli niepodpisane składniki zostaną wykryte z poziomu interfejsu UEFI (oprogramowania układowego gościa), modułu ładującego rozruchu, systemu operacyjnego lub sterowników rozruchu, nie zostanie uruchomiona zaufana maszyna wirtualna uruchamiania. Ustawienie Bezpiecznego rozruchu na zaufanej maszynie wirtualnej uruchamiania nie może uruchomić się, jeśli podczas procesu rozruchu napotkano niepodpisane lub niezaufane składniki rozruchu i zgłasza się jako błąd bezpiecznego rozruchu.

Zrzut ekranu przedstawiający potok Zaufane uruchamianie z bezpiecznego rozruchu do sterowników innych firm.

Uwaga

Zaufane maszyny wirtualne uruchamiania utworzone bezpośrednio z obrazu witryny Azure Marketplace nie powinny napotkać błędów bezpiecznego rozruchu. Obrazy z galerii obliczeń platformy Azure z oryginalnym źródłem obrazu witryny Azure Marketplace i migawkami utworzonymi na podstawie zaufanych maszyn wirtualnych uruchamiania również nie powinny napotykać tych błędów.

Jak sprawdzić scenariusz braku rozruchu w witrynie Azure Portal?

Gdy maszyna wirtualna stanie się niedostępna z powodu awarii bezpiecznego rozruchu, "brak rozruchu" oznacza, że maszyna wirtualna ma składnik systemu operacyjnego podpisany przez zaufany urząd, który blokuje rozruch zaufanej maszyny wirtualnej uruchamiania. We wdrożeniu maszyny wirtualnej mogą zostać wyświetlone informacje z kondycji zasobów w witrynie Azure Portal z informacją o błędzie weryfikacji w bezpiecznym rozruchu.

Aby uzyskać dostęp do kondycji zasobów na stronie konfiguracji maszyny wirtualnej, przejdź do pozycji Resource Health w okienku Pomoc .

Jeśli sprawdzono, że błąd braku rozruchu został spowodowany niepowodzeniem bezpiecznego rozruchu:

Używany obraz jest starszą wersją, która może zawierać co najmniej jeden niezaufany składnik rozruchowy i znajduje się na ścieżce wycofania. Aby rozwiązać problem z nieaktualnym obrazem, zaktualizuj do obsługiwanej nowszej wersji obrazu.
Obraz, którego używasz, mógł zostać utworzony poza źródłem witryny Marketplace lub składniki rozruchu zostały zmodyfikowane i zawierają niepodpisane lub niezaufane składniki rozruchu. Aby sprawdzić, czy obraz ma niepodpisane lub niezaufane składniki rozruchu, zobacz następującą sekcję"Weryfikowanie błędów bezpiecznego rozruchu".
Jeśli poprzednie dwa scenariusze nie mają zastosowania, maszyna wirtualna jest potencjalnie zainfekowana złośliwym oprogramowaniem (bootkit/rootkit). Rozważ usunięcie maszyny wirtualnej i ponowne utworzenie nowej maszyny wirtualnej na podstawie tego samego obrazu źródłowego podczas oceniania zainstalowanego oprogramowania.

Dlaczego moja zaufana maszyna wirtualna uruchamiania pokazuje 50 MB mniej pamięci?

W przypadku zaufanego uruchamiania środowisko wykonawcze powszechnie znane jako "paravisor" jest tworzone i uruchamiane wewnątrz maszyny wirtualnej. Zazwyczaj około 50 MB pamięci jest używane przez paravisor i będzie wyświetlane jako "zarezerwowane" w systemie operacyjnym gościa.

Weryfikowanie błędów bezpiecznego rozruchu

Ta sekcja ułatwia weryfikowanie błędów bezpiecznego rozruchu.

Maszyny wirtualne z systemem Linux

Aby sprawdzić, które składniki rozruchu są odpowiedzialne za błędy bezpiecznego rozruchu na maszynie wirtualnej z systemem Linux platformy Azure, możesz użyć narzędzia SBInfo z pakietu zabezpieczeń systemu Linux.

Wyłącz bezpieczny rozruch.
Nawiąż połączenie z zaufaną maszyną wirtualną uruchamiania systemu Linux platformy Azure.
Zainstaluj narzędzie SBInfo dla dystrybucji uruchomionej maszyny wirtualnej. Znajduje się on w pakiecie zabezpieczeń systemu Linux.

Te polecenia dotyczą dystrybucji ubuntu, Debian i innych dystrybucji opartych na debianie.

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ trusty main" | sudo tee -a /etc/apt/sources.list.d/azure.list

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ xenial main" | sudo tee -a /etc/apt/sources.list.d/azure.list

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ bionic main" | sudo tee -a /etc/apt/sources.list.d/azure.list

wget https://packages.microsoft.com/keys/microsoft.asc

wget https://packages.microsoft.com/keys/msopentech.asc

sudo apt-key add microsoft.asc && sudo apt-key add msopentech.asc

sudo apt update && sudo apt install azure-security

Te polecenia dotyczą dystrybucji RHEL, CentOS i innych dystrybucji opartych na systemie Red Hat.

echo "[packages-microsoft-com-azurecore]" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "name=packages-microsoft-com-azurecore" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "baseurl=https://packages.microsoft.com/yumrepos/azurecore/" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "enabled=1" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "gpgcheck=0" | sudo tee -a /etc/yum.repos.d/azurecore.repo

sudo yum install azure-security

Te polecenia dotyczą usług SLES, openSUSE i innych dystrybucji opartych na systemie SUSE.

sudo zypper ar -t rpm-md -n "packages-microsoft-com-azurecore" --no-gpgcheck https://packages.microsoft.com/yumrepos/azurecore/ azurecore

sudo zypper install azure-security

Po zainstalowaniu pakietu zabezpieczeń systemu Linux dla dystrybucji uruchom sbinfo polecenie , aby sprawdzić, które składniki rozruchu są odpowiedzialne za błędy bezpiecznego rozruchu, wyświetlając wszystkie niepodpisane moduły, jądra i moduły ładujące.

sudo sbinfo -u -m -k -b

Aby dowiedzieć się więcej na temat narzędzia diagnostycznego SBInfo, możesz uruchomić polecenie sudo sbinfo -help.

Dlaczego otrzymuję błąd monitorowania integralności rozruchu?

Zaufane uruchamianie maszyn wirtualnych platformy Azure jest monitorowane pod kątem zaawansowanych zagrożeń. Jeśli takie zagrożenia zostaną wykryte, zostanie wyzwolony alert. Alerty są dostępne tylko w przypadku włączenia rozszerzonych funkcji zabezpieczeń w Microsoft Defender dla Chmury.

Microsoft Defender dla Chmury okresowo wykonuje zaświadczenie. Jeśli zaświadczenie zakończy się niepowodzeniem, zostanie wyzwolony alert o średniej ważności. Zaufane zaświadczenie uruchamiania może zakończyć się niepowodzeniem z następujących powodów:

Potwierdzone informacje, które zawierają dziennik zaufanej bazy obliczeniowej (TCB), są odejmowane z zaufanego punktu odniesienia (na przykład po włączeniu bezpiecznego rozruchu). Każde odchylenie wskazuje, że załadowano niezaufane moduły, a system operacyjny może zostać naruszony.
Nie można zweryfikować cudzysłowu zaświadczania pochodzącego z maszyny wirtualnej testowanej maszyny wirtualnej vTPM. Błąd weryfikacji wskazuje, że złośliwe oprogramowanie jest obecne i może przechwytywać ruch do modułu TPM.
Rozszerzenie zaświadczania na maszynie wirtualnej nie odpowiada. Rozszerzenie nie odpowiada oznacza atak typu "odmowa usługi" przez złośliwe oprogramowanie lub administratora systemu operacyjnego.

Certyfikaty

Ta sekcja zawiera informacje o certyfikatach.

Jak mogę ustanowić katalog główny zaufania z zaufanymi maszynami wirtualnymi uruchamiania?

Wirtualny certyfikat publiczny modułu TPM AK zapewnia wgląd w informacje o pełnym łańcuchu certyfikatów (certyfikaty główne i pośrednie), aby ułatwić weryfikowanie zaufania do certyfikatu i łańcucha głównego. Aby mieć pewność, że stale masz najwyższy poziom zabezpieczeń dla zaufanego uruchamiania, udostępnia on informacje o właściwościach wystąpienia, dzięki czemu można śledzić z powrotem do pełnego łańcucha.

Instrukcje pobierania

Certyfikaty pakietów składające się z p7b (pełny urząd certyfikacji) i .cer (pośredni urząd certyfikacji), ujawniają podpisywanie i urząd certyfikacji. Skopiuj odpowiednią zawartość i użyj narzędzi certyfikatów, aby sprawdzić i ocenić szczegóły certyfikatów.

Wybierz, aby pobrać plik crt, który jest następujący dla głównego urzędu certyfikacji modułu TPM platformy Azure 2023

Główny urząd certyfikacji modułu TPM platformy Azure 2023

Wybierz, aby wyświetlić zawartość p7b

Globalny wirtualny urząd certyfikacji modułu TPM — 01:

Wybierz, aby wyświetlić zawartość certyfikatu głównego

Główny urząd certyfikacji modułu TPM platformy Azure 2023

Wybierz, aby wyświetlić zawartość pośredniego urzędu certyfikacji

Pośredni urząd certyfikacji dla certyfikatu modułu TPM:

"Global Virtual TPM CA - XX" (intermediate CA) [.cer], 
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

Intermediate Certificate Authority

Thumbprint # db1f3959dcce7091f87c43446be1f4ab2d3415b7
Serial Number # 3300000002c0d17b4b8f979c35000000000002
Valid Until # November 3rd, 2025

Jakie certyfikaty zaufane firmy Microsoft są wbudowane w maszyny wirtualne platformy Azure?

W przypadku maszyn wirtualnych z systemem Windows certyfikat urzędu certyfikacji systemu Windows jest wbudowany w oprogramowanie układowe UEFI. W przypadku maszyn wirtualnych z systemem Linux certyfikat urzędu certyfikacji UEFI firmy Microsoft jest wbudowany w oprogramowanie układowe UEFI. Tylko w przypadku maszyn wirtualnych z systemem Linux na platformie Azure dodatkowy certyfikat "Azure Services Linux Kmod PCA" jest również dodawany w oprogramowaniu układowym UEFI dla wszystkich dystrybucji systemu Linux. Rozwiązanie Kmod PCA systemu Linux służy do podpisywania modułów jądra należących do firmy Microsoft.

Dodano certyfikat KMOD PCA systemu Linux, aby zapewnić bezproblemowe środowisko klienta w przypadku korzystania z rozwiązań firmy Microsoft, takich jak Azure Site Recovery (ASR), które instaluje moduł jądra. Moduł jądra usługi ASR zostanie załadowany bez żadnej akcji klienta, aby podać klucz, ponieważ moduł jądra usługi ASR jest podpisany przy użyciu zaufanego certyfikatu "Azure Services Linux Kmod PCA".

Instrukcje pobierania

Certyfikaty pakietów składające się z P7b i .cer ujawniają podpisywanie i urząd certyfikacji. Skopiuj odpowiednią zawartość i użyj narzędzi certyfikatów, aby sprawdzić i ocenić szczegóły certyfikatów.

Wybierz, aby pobrać plik crt, który jest następujący dla urzędu certyfikacji systemu Microsoft Windows

Urząd certyfikacji systemu Microsoft Windows

Wybierz, aby pobrać plik crt, który jest następujący dla urzędu certyfikacji UEFI firmy Microsoft

Urząd certyfikacji UEFI firmy Microsoft

Wybierz, aby wyświetlić zawartość p7b

Certyfikat kmod PCA usługi platformy Azure dla systemu Linux:

Udostępnij za pośrednictwem

Zaufane uruchamianie — często zadawane pytania

Przypadki użycia

Dlaczego należy używać zaufanego uruchamiania? Co chroni usługa Trusted Launch?

Jakie są różnice między bezpiecznym rozruchem a mierzonym rozruchem?

W jaki sposób funkcja Zaufane uruchamianie jest porównywana z maszyną wirtualną z osłoną funkcji Hyper-V?

Co to jest stan gościa maszyny wirtualnej (VMGS)?

Czy mogę wyłączyć zaufane uruchamianie dla nowego wdrożenia maszyny wirtualnej?

Obsługiwane funkcje i wdrożenia

Czy usługa Azure Compute Gallery jest obsługiwana przez zaufane uruchamianie?

Czy usługa Azure Backup jest obsługiwana przez zaufane uruchamianie?

Czy usługa Azure Backup będzie nadal działać po włączeniu zaufanego uruchamiania?

Czy efemeryczne dyski systemu operacyjnego są obsługiwane przez zaufane uruchamianie?

Czy funkcje zabezpieczeń dostępne w przypadku zaufanego uruchamiania mają zastosowanie również do dysków danych?

Czy można przywrócić maszynę wirtualną przy użyciu kopii zapasowych wykonanych przed włączeniem zaufanego uruchamiania?

Jak mogę znaleźć rozmiary maszyn wirtualnych, które obsługują zaufane uruchamianie?

Jak sprawdzić, czy mój obraz systemu operacyjnego obsługuje zaufane uruchamianie?

Obrazy systemu operacyjnego w witrynie Marketplace

Obraz systemu operacyjnego galerii obliczeń platformy Azure

Jak sterowniki komunikacji zewnętrznej działają z zaufanymi maszynami wirtualnymi uruchamiania?

Rozwiązywanie problemów

Co należy zrobić, gdy moja zaufana maszyna wirtualna uruchamiania ma błędy wdrażania?

Dlaczego zaufana maszyna wirtualna uruchamiania nie uruchamia się poprawnie?

Jak sprawdzić scenariusz braku rozruchu w witrynie Azure Portal?

Dlaczego moja zaufana maszyna wirtualna uruchamiania pokazuje 50 MB mniej pamięci?

Weryfikowanie błędów bezpiecznego rozruchu

Maszyny wirtualne z systemem Linux

Dlaczego otrzymuję błąd monitorowania integralności rozruchu?

Certyfikaty

Jak mogę ustanowić katalog główny zaufania z zaufanymi maszynami wirtualnymi uruchamiania?

Instrukcje pobierania

Jakie certyfikaty zaufane firmy Microsoft są wbudowane w maszyny wirtualne platformy Azure?

Instrukcje pobierania

Opinia

Dodatkowe zasoby