Zaufane uruchamianie — często zadawane pytania

Artykuł
02/01/2024

Uwaga

W tym artykule odwołuje się do systemu CentOS — dystrybucji systemu Linux, która zbliża się do stanu zakończenia życia (EOL). Rozważ odpowiednie użycie i zaplanuj. Aby uzyskać więcej informacji, zobacz wskazówki dotyczące zakończenia życia systemu CentOS.

Często zadawane pytania dotyczące zaufanego uruchamiania. Przypadki użycia funkcji, obsługa innych funkcji platformy Azure i poprawki typowych błędów.

Przypadki użycia

Dlaczego należy używać zaufanego uruchamiania? Do czego służy zaufana ochrona przed uruchomieniem?

Zaufane uruchamianie chroni przed zestawami rozruchowymi, zestawami rootkit i złośliwym oprogramowaniem na poziomie jądra. Te zaawansowane typy złośliwego oprogramowania działają w trybie jądra i pozostają ukryte przed użytkownikami. Na przykład:

Zestawy rootkit oprogramowania układowego: te zestawy zastępują oprogramowanie układowe systemu BIOS maszyny wirtualnej, dzięki czemu zestaw rootkit może rozpocząć się przed systemem operacyjnym.
Zestawy rozruchowe: te zestawy zastępują moduł ładujący systemu operacyjnego, tak aby maszyna wirtualna ładuje zestaw rozruchowy przed systemem operacyjnym.
Zestawy rootkit jądra: te zestawy zastępują część jądra systemu operacyjnego, aby zestaw rootkit mógł uruchomić się automatycznie po załadowaniu systemu operacyjnego.
Zestawy rootkit sterowników: te zestawy udają, że są jednym z zaufanych sterowników używanych przez system operacyjny do komunikowania się ze składnikami maszyny wirtualnej.

W jaki sposób zaufane uruchamianie jest porównywane z maszyną wirtualną z osłoną funkcji Hyper-V?

Maszyna wirtualna z osłoną funkcji Hyper-V jest obecnie dostępna tylko w funkcji Hyper-V. Maszyna wirtualna z osłoną funkcji Hyper-V jest zwykle wdrażana w chronionej sieci szkieletowej. Chroniona sieć szkieletowa składa się z usługi Ochrona hosta (HGS), co najmniej jednego hosta chronionego oraz zestawu chronionych maszyn wirtualnych. Maszyny wirtualne z osłoną funkcji Hyper-V są używane w sieciach szkieletowych, w których dane i stan maszyny wirtualnej muszą być chronione przed różnymi aktorami. Te podmioty są zarówno administratorami sieci szkieletowej, jak i niezaufanym oprogramowaniem, które może być uruchomione na hostach funkcji Hyper-V. Z drugiej strony zaufane uruchamianie można wdrożyć jako autonomiczną maszynę wirtualną lub zestawy skalowania maszyn wirtualnych na platformie Azure bez innych wdrożeń i zarządzania usługą HGS. Wszystkie zaufane funkcje uruchamiania można włączyć za pomocą prostej zmiany kodu wdrożenia lub pola wyboru w witrynie Azure Portal.

Czy mogę wyłączyć zaufane uruchamianie dla nowego wdrożenia maszyny wirtualnej?

Zaufane maszyny wirtualne uruchamiania zapewniają podstawowe zabezpieczenia obliczeniowe, a nasze zalecenie nie jest takie samo w przypadku nowych wdrożeń maszyn wirtualnych/zestawów skalowania maszyn wirtualnych z wyjątkiem sytuacji, w których wdrożenia mają zależność:

Parametr securityType z wartością Standard służy do wyłączania zaufanego uruchamiania w nowych wdrożeniach vm/VMSS przy użyciu programu Azure PowerShell (wersja 10.3.0 lub nowsza) i interfejsu wiersza polecenia (wersja 2.53.0 lub nowsza)

Interfejs wiersza polecenia
Program PowerShell

az vm create -n MyVm -g MyResourceGroup --image Ubuntu2204 `
    --security-type 'Standard'

$adminUsername = <USER NAME>
$adminPassword = <PASSWORD> | ConvertTo-SecureString -AsPlainText -Force
$vmCred = New-Object System.Management.Automation.PSCredential($adminUsername, $adminPassword)
New-AzVM -Name MyVm -Credential $vmCred -SecurityType Standard

Czy mogę wyłączyć opcję Bezpiecznego rozruchu dla zaufanych maszyn wirtualnych uruchamiania?

Bezpieczny rozruch nie jest domyślnie włączony, ale zaleca się włączenie go, jeśli nie używasz niestandardowego niepodpisanego jądra lub sterowników. Po utworzeniu maszyny wirtualnej z włączoną opcją Zaufane uruchamianie i bezpieczny rozruch możesz przejść do maszyny wirtualnej na karcie Ustawienia, przejść do pozycji Konfiguracje i usunąć zaznaczenie opcji Włącz bezpieczny rozruch.

Obsługiwane funkcje i wdrożenia

Czy usługa Azure Compute Gallery jest obsługiwana przez zaufane uruchamianie?

Zaufane uruchamianie umożliwia teraz tworzenie i udostępnianie obrazów za pośrednictwem galerii obliczeń platformy Azure (wcześniej udostępnionej galerii obrazów). Źródło obrazu może być następujące:

istniejąca maszyna wirtualna platformy Azure, która jest uogólniona lub wyspecjalizowana lub wyspecjalizowana,
istniejący dysk zarządzany lub migawka LUB,
dysk VHD lub wersja obrazu z innej galerii.

Aby uzyskać więcej informacji na temat wdrażania zaufanej maszyny wirtualnej uruchamiania przy użyciu galerii obliczeń platformy Azure, zobacz wdrażanie zaufanych maszyn wirtualnych uruchamiania.

Czy usługa Azure Backup jest obsługiwana przez zaufane uruchamianie?

Zaufane uruchamianie obsługuje teraz usługę Azure Backup. Aby uzyskać więcej informacji, zobacz Macierz obsługi kopii zapasowej maszyny wirtualnej platformy Azure.

Czy usługa Azure Backup będzie nadal działać po włączeniu zaufanego uruchamiania?

Kopie zapasowe skonfigurowane przy użyciu rozszerzonych zasad będą nadal tworzyć kopie zapasowe maszyny wirtualnej po włączeniu zaufanego uruchamiania.

Czy efemeryczne dyski systemu operacyjnego są obsługiwane przez zaufane uruchamianie?

Zaufane uruchamianie obsługuje efemeryczne dyski systemu operacyjnego. Aby uzyskać więcej informacji, zobacz Trusted Launch for Ephemeral OS disks (Zaufane uruchamianie dla efemerycznych dysków systemu operacyjnego).

Uwaga

Podczas korzystania z dysków efemerycznych dla zaufanych maszyn wirtualnych uruchamiania klucze i wpisy tajne generowane lub zapieczętowane przez maszynę wirtualną po utworzeniu maszyny wirtualnej mogą nie być utrwalane w operacjach, takich jak ponowne tworzenie maszyny wirtualnej i zdarzenia platformy, takie jak naprawianie usługi.

Czy można przywrócić maszynę wirtualną przy użyciu kopii zapasowej wykonanej przed włączeniem zaufanego uruchamiania?

Kopie zapasowe wykonane przed uaktualnieniem istniejącej maszyny wirtualnej generacji 2 do zaufanego uruchamiania mogą służyć do przywracania całej maszyny wirtualnej lub pojedynczych dysków danych. Nie można ich używać tylko do przywracania ani zastępowania dysku systemu operacyjnego.

Jak mogę znaleźć rozmiary maszyn wirtualnych, które obsługują zaufane uruchamianie?

Zobacz listę rozmiarów maszyn wirtualnych generacji 2 obsługujących zaufane uruchamianie.

Następujące polecenia mogą służyć do sprawdzania, czy rozmiar maszyny wirtualnej generacji 2 nie obsługuje zaufanego uruchamiania.

Interfejs wiersza polecenia
Program PowerShell

subscription="<yourSubID>"
region="westus"
vmSize="Standard_NC12s_v3"

az vm list-skus --resource-type virtualMachines  --location $region --query "[?name=='$vmSize'].capabilities" --subscription $subscription

$region = "southeastasia"
$vmSize = "Standard_M64"
(Get-AzComputeResourceSku | where {$_.Locations.Contains($region) -and ($_.Name -eq $vmSize) })[0].Capabilities

Odpowiedź jest podobna do poniższej. TrustedLaunchDisabled True w danych wyjściowych wskazuje, że rozmiar maszyny wirtualnej generacji 2 nie obsługuje zaufanego uruchamiania. Jeśli jest to rozmiar maszyny wirtualnej generacji 2 i TrustedLaunchDisabled nie jest częścią danych wyjściowych, oznacza to, że zaufane uruchamianie jest obsługiwane dla tego rozmiaru maszyny wirtualnej.

Name                                         Value
----                                         -----
MaxResourceVolumeMB                          8192000
OSVhdSizeMB                                  1047552
vCPUs                                        64
MemoryPreservingMaintenanceSupported         False
HyperVGenerations                            V1,V2
MemoryGB                                     1000
MaxDataDiskCount                             64
CpuArchitectureType                          x64
MaxWriteAcceleratorDisksAllowed              8
LowPriorityCapable                           True
PremiumIO                                    True
VMDeploymentTypes                            IaaS
vCPUsAvailable                               64
ACUs                                         160
vCPUsPerCore                                 2
CombinedTempDiskAndCachedIOPS                80000
CombinedTempDiskAndCachedReadBytesPerSecond  838860800
CombinedTempDiskAndCachedWriteBytesPerSecond 838860800
CachedDiskBytes                              1318554959872
UncachedDiskIOPS                             40000
UncachedDiskBytesPerSecond                   1048576000
EphemeralOSDiskSupported                     True
EncryptionAtHostSupported                    True
CapacityReservationSupported                 False
TrustedLaunchDisabled                        True
AcceleratedNetworkingEnabled                 True
RdmaEnabled                                  False
MaxNetworkInterfaces                         8

Jak sprawdzić, czy mój obraz systemu operacyjnego obsługuje zaufane uruchamianie?

Zobacz listę wersji systemu operacyjnego obsługiwanych przy użyciu zaufanego uruchamiania.

Obrazy systemu operacyjnego w witrynie Marketplace

Poniższe polecenia mogą służyć do sprawdzania, czy obraz systemu operacyjnego marketplace obsługuje zaufane uruchamianie.

Interfejs wiersza polecenia
Program PowerShell

az vm image show --urn "MicrosoftWindowsServer:WindowsServer:2022-datacenter-azure-edition:latest"

Odpowiedź jest podobna do poniższej. Funkcja hyperVGenerationv2 i SecurityType zawiera TrustedLaunch dane wyjściowe wskazujące, że obraz systemu operacyjnego generacji 2 obsługuje zaufane uruchamianie.

{
  "architecture": "x64",
  "automaticOsUpgradeProperties": {
    "automaticOsUpgradeSupported": false
  },
  "dataDiskImages": [],
  "disallowed": {
    "vmDiskType": "Unmanaged"
  },
  "extendedLocation": null,
  "features": [
    {
      "name": "SecurityType",
      "value": "TrustedLaunchAndConfidentialVmSupported"
    },
    {
      "name": "IsAcceleratedNetworkSupported",
      "value": "True"
    },
    {
      "name": "DiskControllerTypes",
      "value": "SCSI, NVMe"
    },
    {
      "name": "IsHibernateSupported",
      "value": "True"
    }
  ],
  "hyperVGeneration": "V2",
  "id": "/Subscriptions/00000000-0000-0000-0000-00000000000/Providers/Microsoft.Compute/Locations/westus/Publishers/MicrosoftWindowsServer/ArtifactTypes/VMImage/Offers/WindowsServer/Skus/2022-datacenter-azure-edition/Versions/20348.1906.230803",
  "imageDeprecationStatus": {
    "alternativeOption": null,
    "imageState": "Active",
    "scheduledDeprecationTime": null
  },
  "location": "westus",
  "name": "20348.1906.230803",
  "osDiskImage": {
    "operatingSystem": "Windows",
    "sizeInGb": 127
  },
  "plan": null,
  "tags": null
}

Get-AzVMImage -Skus 22_04-lts-gen2 -PublisherName Canonical -Offer 0001-com-ubuntu-server-jammy -Location westus3 -Version latest

Dane wyjściowe polecenia mogą być używane z usługą Virtual Machines — Pobierz interfejs API. Odpowiedź jest podobna do poniższej. Funkcja hyperVGenerationv2 i SecurityType zawiera TrustedLaunch dane wyjściowe wskazujące, że obraz systemu operacyjnego generacji 2 obsługuje zaufane uruchamianie.

{
    "properties": {
        "hyperVGeneration": "V2",
        "architecture": "x64",
        "replicaType": "Managed",
        "replicaCount": 10,
        "disallowed": {
            "vmDiskType": "Unmanaged"
        },
        "automaticOSUpgradeProperties": {
            "automaticOSUpgradeSupported": false
        },
        "imageDeprecationStatus": {
            "imageState": "Active"
        },
        "features": [
            {
                "name": "SecurityType",
                "value": "TrustedLaunchSupported"
            },
            {
                "name": "IsAcceleratedNetworkSupported",
                "value": "True"
            },
            {
                "name": "DiskControllerTypes",
                "value": "SCSI, NVMe"
            },
            {
                "name": "IsHibernateSupported",
                "value": "True"
            }
        ],
        "osDiskImage": {
            "operatingSystem": "Linux",
            "sizeInGb": 30
        },
        "dataDiskImages": []
    },
    "location": "WestUS3",
    "name": "22.04.202309080",
    "id": "/Subscriptions/00000000-0000-0000-0000-000000000000/Providers/Microsoft.Compute/Locations/WestUS3/Publishers/Canonical/ArtifactTypes/VMImage/Offers/0001-com-ubuntu-server-jammy/Skus/22_04-lts-gen2/Versions/22.04.202309080"
}

Obraz systemu operacyjnego galerii obliczeń platformy Azure

Poniższe polecenia mogą służyć do sprawdzania, czy obraz systemu operacyjnego galerii obliczeniowej platformy Azure obsługuje zaufane uruchamianie.

Interfejs wiersza polecenia
Program PowerShell

az sig image-definition show `
    --gallery-image-definition myImageDefinition `
    --gallery-name myImageGallery `
    --resource-group myImageGalleryRg

{
  "architecture": "x64",
  "features": [
    {
      "name": "SecurityType",
      "value": "TrustedLaunchSupported"
    }
  ],
  "hyperVGeneration": "V2",
  "id": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myImageGalleryRg/providers/Microsoft.Compute/galleries/myImageGallery/images/myImageDefinition",
  "identifier": {
    "offer": "myImageDefinition",
    "publisher": "myImageDefinition",
    "sku": "myImageDefinition"
  },
  "location": "westus3",
  "name": "myImageDefinition",
  "osState": "Generalized",
  "osType": "Windows",
  "provisioningState": "Succeeded",
  "recommended": {
    "memory": {
      "max": 32,
      "min": 1
    },
    "vCPUs": {
      "max": 16,
      "min": 1
    }
  },
  "resourceGroup": "myImageGalleryRg",
  "tags": {},
  "type": "Microsoft.Compute/galleries/images"
}

Get-AzGalleryImageDefinition -ResourceGroupName myImageGalleryRg `
    -GalleryName myImageGallery -GalleryImageDefinitionName myImageDefinition

ResourceGroupName : myImageGalleryRg
OsType            : Windows
OsState           : Generalized
HyperVGeneration  : V2
Identifier        :
  Publisher       : myImageDefinition
  Offer           : myImageDefinition
  Sku             : myImageDefinition
Recommended       :
  VCPUs           :
    Min           : 1
    Max           : 16
  Memory          :
    Min           : 1
    Max           : 32
ProvisioningState : Succeeded
Id                : /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myImageGalleryRg/providers/Microsoft.Compute/galleries/myImageGallery/images/myImageDefinition
Name              : myImageDefinition
Type              : Microsoft.Compute/galleries/images
Location          : westus3
Tags              : {}
Features[0]       :
  Name            : SecurityType
  Value           : TrustedLaunchSupported
Architecture      : x64

Jak sterowniki komunikacji zewnętrznej działają z zaufanymi maszynami wirtualnymi uruchamiania?

Dodawanie portów COM wymaga wyłączenia bezpiecznego rozruchu. W związku z tym porty COM są domyślnie wyłączone w zaufanych maszynach wirtualnych uruchamiania.

Stany zasilania

Określone stany funkcji, typy rozruchu i typowe problemy z rozruchem.

Co to jest stan gościa maszyny wirtualnej (VMGS)?

Stan gościa maszyny wirtualnej (VMGS) jest specyficzny dla zaufanej maszyny wirtualnej uruchamiania. Jest to obiekt blob zarządzany przez platformę Azure i zawiera ujednolicone rozszerzone bazy danych bezpiecznego podpisu rozruchowego (UEFI) i inne informacje o zabezpieczeniach. Cykl życia obiektu blob usługi VMGS jest powiązany z cyklem życia dysku systemu operacyjnego.

Jakie są różnice między bezpiecznym rozruchem a mierzonym rozruchem?

W bezpiecznym łańcuchu rozruchu każdy krok w procesie rozruchu sprawdza podpis kryptograficzny kolejnych kroków. Na przykład system BIOS sprawdza podpis modułu ładującego, a moduł ładujący sprawdza podpisy we wszystkich załadowanych obiektach jądra itd. W przypadku naruszenia zabezpieczeń któregokolwiek z obiektów podpis nie jest zgodny, a maszyna wirtualna nie uruchamia się. Aby uzyskać więcej informacji, zobacz Bezpieczny rozruch. Mierzony rozruch nie zatrzymuje procesu rozruchu, mierzy lub oblicza skrót następnych obiektów w łańcuchu i przechowuje skróty w rejestrach konfiguracji platformy (PCR) w maszynie wirtualnej. Mierzone rekordy rozruchowe są używane do monitorowania integralności rozruchu.

Dlaczego zaufana maszyna wirtualna uruchamiania nie uruchamia się poprawnie?

W przypadku wykrycia niepodpisanych składników z interfejsu UEFI (oprogramowania układowego gościa), modułu ładującego rozruchu, systemu operacyjnego lub sterowników rozruchu nie zostanie uruchomiona zaufana maszyna wirtualna uruchamiania. Ustawienie bezpiecznego rozruchu na maszynie wirtualnej zaufanej uruchamiania nie powiedzie się, jeśli podczas procesu rozruchu napotkane są niepodpisane lub niezaufane składniki rozruchu i będą zgłaszane jako błąd bezpiecznego rozruchu.

Zaufany potok uruchamiania z bezpiecznego rozruchu do sterowników innych firm

Uwaga

Zaufane uruchamianie maszyn wirtualnych utworzonych bezpośrednio z obrazu witryny Azure Marketplace nie powinno napotkać błędów bezpiecznego rozruchu. Obrazy z galerii obliczeń platformy Azure z oryginalnym źródłem obrazu witryny Marketplace, a migawki utworzone na podstawie zaufanych maszyn wirtualnych uruchamiania również nie powinny napotykać tych błędów.

Jak sprawdzić scenariusz braku rozruchu w witrynie Azure Portal?

Gdy maszyna wirtualna stanie się niedostępna z powodu awarii bezpiecznego rozruchu, oznacza to, że maszyna wirtualna ma składnik systemu operacyjnego podpisany przez zaufany urząd, który blokuje rozruch zaufanej maszyny wirtualnej uruchamiania. Podczas wdrażania maszyny wirtualnej klienci mogą zobaczyć informacje z kondycji zasobów w witrynie Azure Portal z informacją, że wystąpił błąd weryfikacji w bezpiecznym rozruchu.

Aby uzyskać dostęp do kondycji zasobów na stronie konfiguracji maszyny wirtualnej, przejdź do pozycji Resource Health w panelu "Pomoc".

Postępuj zgodnie z instrukcjami opisanymi na ekranie kondycji zasobów. Instrukcje obejmują zrzut ekranu i dziennik szeregowy z diagnostyki rozruchu maszyny wirtualnej.

Jeśli sprawdzono, że rozruch nie został spowodowany przez błąd bezpiecznego rozruchu:

Używany obraz jest starszą wersją, która może zawierać co najmniej jeden niezaufany składnik rozruchowy i znajduje się na ścieżce wycofania. Aby rozwiązać problem z nieaktualnym obrazem, zaktualizuj do obsługiwanej nowszej wersji obrazu.
Obraz, którego używasz, mógł zostać skompilowany poza źródłem witryny Marketplace lub składniki rozruchu zostały zmodyfikowane i zawierają niepodpisane lub niezaufane składniki rozruchu. Aby sprawdzić, czy obraz ma niepodpisane lub niezaufane składniki rozruchu, zobacz "Weryfikowanie błędów bezpiecznego rozruchu".
Jeśli powyższe dwa scenariusze nie mają zastosowania, maszyna wirtualna jest potencjalnie zainfekowana złośliwym oprogramowaniem (bootkit/rootkit). Rozważ usunięcie maszyny wirtualnej i ponowne utworzenie nowej maszyny wirtualnej na podstawie tego samego obrazu źródłowego podczas oceniania zainstalowanego oprogramowania.

Weryfikowanie błędów bezpiecznego rozruchu

Maszyny wirtualne z systemem Linux

Aby sprawdzić, które składniki rozruchu są odpowiedzialne za błędy bezpiecznego rozruchu na maszynie wirtualnej z systemem Linux platformy Azure, użytkownicy końcowi mogą używać narzędzia SBInfo z pakietu zabezpieczeń systemu Linux.

Wyłączanie bezpiecznego rozruchu
Połączenie do maszyny wirtualnej zaufanego uruchamiania systemu Linux platformy Azure.
Zainstaluj narzędzie SBInfo dla dystrybucji, na którym jest uruchomiona maszyna wirtualna. Znajduje się on w pakiecie zabezpieczeń systemu Linux

Te polecenia dotyczą dystrybucji ubuntu, Debian i innych dystrybucji opartych na debianie.

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ trusty main" | sudo tee -a /etc/apt/sources.list.d/azure.list

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ xenial main" | sudo tee -a /etc/apt/sources.list.d/azure.list

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ bionic main" | sudo tee -a /etc/apt/sources.list.d/azure.list

wget https://packages.microsoft.com/keys/microsoft.asc

wget https://packages.microsoft.com/keys/msopentech.asc

sudo apt-key add microsoft.asc && sudo apt-key add msopentech.asc

sudo apt update && sudo apt install azure-security

Te polecenia dotyczą dystrybucji RHEL, CentOS i innych dystrybucji opartych na systemie Red Hat.

echo "[packages-microsoft-com-azurecore]" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "name=packages-microsoft-com-azurecore" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "baseurl=https://packages.microsoft.com/yumrepos/azurecore/" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "enabled=1" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "gpgcheck=0" | sudo tee -a /etc/yum.repos.d/azurecore.repo

sudo yum install azure-security

Te polecenia dotyczą dystrybucji SLES, openSUSE i innych dystrybucji opartych na systemie SUSE.

sudo zypper ar -t rpm-md -n "packages-microsoft-com-azurecore" --no-gpgcheck https://packages.microsoft.com/yumrepos/azurecore/ azurecore

sudo zypper install azure-security

Po zainstalowaniu pakietu zabezpieczeń systemu Linux dla dystrybucji uruchom polecenie "sbinfo", aby sprawdzić, które składniki rozruchu są odpowiedzialne za błędy bezpiecznego rozruchu, wyświetlając wszystkie niepodpisane moduły, jądra i moduły ładujące.

sudo sbinfo -u -m -k -b

Aby dowiedzieć się więcej o narzędziu diagnostycznym SBInfo, możesz uruchomić polecenie "sudo sbinfo -help".

Dlaczego otrzymuję błąd monitorowania integralności rozruchu?

Zaufane uruchamianie maszyn wirtualnych platformy Azure jest monitorowane pod kątem zaawansowanych zagrożeń. Jeśli takie zagrożenia zostaną wykryte, zostanie wyzwolony alert. Alerty są dostępne tylko w przypadku włączenia rozszerzonych funkcji zabezpieczeń Defender dla Chmury.

Microsoft Defender dla Chmury okresowo wykonuje zaświadczenie. Jeśli zaświadczenie zakończy się niepowodzeniem, zostanie wyzwolony alert o średniej ważności. Zaufane zaświadczenie uruchamiania może zakończyć się niepowodzeniem z następujących powodów:

Potwierdzone informacje, które zawierają dziennik zaufanej bazy obliczeniowej (TCB), są odejmowane z zaufanego punktu odniesienia (na przykład po włączeniu bezpiecznego rozruchu). Każde odchylenie wskazuje, że załadowano niezaufane moduły, a system operacyjny może zostać naruszony.
Nie można zweryfikować cudzysłowu zaświadczania pochodzącego z maszyny wirtualnej testowanej maszyny wirtualnej vTPM. Błąd weryfikacji wskazuje, że istnieje złośliwe oprogramowanie i może przechwytywać ruch do modułu TPM.
Rozszerzenie zaświadczania na maszynie wirtualnej nie odpowiada. Rozszerzenie nie odpowiada oznacza atak typu "odmowa usługi" przez złośliwe oprogramowanie lub administratora systemu operacyjnego.

Certyfikaty

Jak użytkownicy mogą ustanowić katalog główny zaufania za pomocą zaufanych maszyn wirtualnych uruchamiania?

Wirtualny certyfikat publiczny modułu TPM AK zapewnia użytkownikom wgląd w informacje o pełnym łańcuchu certyfikatów (certyfikaty główne i pośrednie), pomagając im zweryfikować zaufanie do certyfikatu i łańcucha głównego. Aby zapewnić, że użytkownicy zaufanych uruchomień stale mają najwyższy poziom zabezpieczeń, udostępnia informacje o właściwościach wystąpienia, dzięki czemu użytkownicy mogą śledzić pełny łańcuch.

Instrukcje pobierania

Spakuj certyfikaty, naruszone zabezpieczeń. p7b (pełny urząd certyfikacji) i .cer (pośredni urząd certyfikacji), ujawniają podpisywanie i urząd certyfikacji. Skopiuj odpowiednią zawartość i użyj narzędzi certyfikatów, aby sprawdzić i ocenić szczegóły certyfikatów.

Wybierz, aby pobrać plik crt poniżej dla głównego urzędu certyfikacji modułu TPM platformy Azure 2023

Główny urząd certyfikacji modułu TPM platformy Azure 2023

Wybierz, aby wyświetlić zawartość p7b

Globalny wirtualny urząd certyfikacji modułu TPM — 01:

Wybierz, aby wyświetlić zawartość certyfikatu głównego

Główny urząd certyfikacji modułu TPM platformy Azure 2023

Wybierz, aby wyświetlić zawartość pośredniego urzędu certyfikacji

Pośredni urząd certyfikacji dla certyfikatu modułu TPM:

"Global Virtual TPM CA - XX" (intermediate CA) [.cer], 
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

Intermediate Certificate Authority

Thumbprint # db1f3959dcce7091f87c43446be1f4ab2d3415b7
Serial Number # 3300000002c0d17b4b8f979c35000000000002
Valid Until # November 3rd, 2025

Zaufane uruchamianie — często zadawane pytania

Przypadki użycia

Dlaczego należy używać zaufanego uruchamiania? Do czego służy zaufana ochrona przed uruchomieniem?

W jaki sposób zaufane uruchamianie jest porównywane z maszyną wirtualną z osłoną funkcji Hyper-V?

Czy mogę wyłączyć zaufane uruchamianie dla nowego wdrożenia maszyny wirtualnej?

Obsługiwane funkcje i wdrożenia

Czy usługa Azure Compute Gallery jest obsługiwana przez zaufane uruchamianie?

Czy usługa Azure Backup jest obsługiwana przez zaufane uruchamianie?

Czy usługa Azure Backup będzie nadal działać po włączeniu zaufanego uruchamiania?

Czy efemeryczne dyski systemu operacyjnego są obsługiwane przez zaufane uruchamianie?

Czy można przywrócić maszynę wirtualną przy użyciu kopii zapasowej wykonanej przed włączeniem zaufanego uruchamiania?

Jak mogę znaleźć rozmiary maszyn wirtualnych, które obsługują zaufane uruchamianie?

Jak sprawdzić, czy mój obraz systemu operacyjnego obsługuje zaufane uruchamianie?

Obrazy systemu operacyjnego w witrynie Marketplace

Obraz systemu operacyjnego galerii obliczeń platformy Azure

Jak sterowniki komunikacji zewnętrznej działają z zaufanymi maszynami wirtualnymi uruchamiania?

Stany zasilania

Co to jest stan gościa maszyny wirtualnej (VMGS)?

Jakie są różnice między bezpiecznym rozruchem a mierzonym rozruchem?

Dlaczego zaufana maszyna wirtualna uruchamiania nie uruchamia się poprawnie?

Jak sprawdzić scenariusz braku rozruchu w witrynie Azure Portal?

Weryfikowanie błędów bezpiecznego rozruchu

Maszyny wirtualne z systemem Linux

Dlaczego otrzymuję błąd monitorowania integralności rozruchu?

Certyfikaty

Jak użytkownicy mogą ustanowić katalog główny zaufania za pomocą zaufanych maszyn wirtualnych uruchamiania?

Instrukcje pobierania

Dodatkowe zasoby