Implementar uma máquina virtual com o Início Confiável habilitado

Aplica-se a: ✔️ VMs Linux ✔️ VMs Windows ✔️ Conjuntos de dimensionamento flexíveis ✔️ Conjuntos de dimensionamento uniformes.

O Início Confiável é uma maneira de melhorar a segurança das máquinas virtuais (VMs) de geração 2. O Início Confiável protege contra técnicas de ataque avançadas e persistentes por meio da combinação de tecnologias de infraestrutura, como o Trusted Platform Module virtual (vTPM) com a inicialização segura.

Pré-requisitos

• Recomendamos que você integre sua assinatura ao Microsoft Defender para Nuvem, se ainda não tiver feito isso. O Microsoft Defender para Nuvem tem uma camada gratuita que oferece insights úteis para vários recursos híbridos e do Azure. Na ausência do Defender para Nuvem, os usuários de uma VM de Início Confiável não podem monitorar a integridade da inicialização da VM.

• Atribua iniciativas de políticas do Azure à sua assinatura. Essas iniciativas de política precisam ser atribuídas apenas uma vez por assinatura. As políticas irão ajudar a implantar e auditar máquinas virtuais de Início Confiável e, ao mesmo tempo, instalar automaticamente todas as extensões necessárias em todas as VMs com suporte.

  • Configure a iniciativa de política interna de VMs de Início Confiável.
  • Configure os pré-requisitos para ativar o Atestado de Convidado em VMs habilitadas para Início Confiável.
  • Configure os computadores para instalar automaticamente os agentes do Azure Monitor e da Segurança do Azure em VMs.

• Permita a marca de serviço AzureAttestation nas regras de saída do grupo de segurança de rede para permitir o tráfego para o Atestado do Azure. Para obter mais informações, confira Marcas de serviço de rede virtual.

• Verifique se as políticas de firewall permitem o acesso a *.attest.azure.net.

Observação

Se você estiver usando uma imagem do Linux e pressupor que a VM pode ter drivers de kernel não assinados ou não assinados pelo fornecedor de distribuição do Linux, convém considerar desativar a inicialização segura. No portal do Azure, na página Criar uma máquina virtual para o parâmetro Security type com Máquinas Virtuais de Início Confiável selecionado, selecione Configurar recursos de segurança e desmarque a caixa de seleção Habilitar inicialização segura. Na CLI do Azure, no PowerShell ou no SDK, defina o parâmetro de inicialização segura como false.

Implantar uma VM com Início Confiável

Crie uma VM com o Início Confiável habilitado. Escolha uma das opções a seguir.

Portal

1. Entre no Portal do Azure.

2. Procure máquinas virtuais.

3. Em Serviços, selecione Máquinas virtuais.

4. Na página Máquinas virtuais, selecione Adicionare, em seguida, Máquina virtual.

5. Em Detalhes do projeto, verifique se a assinatura correta está selecionada.

6. Em Grupo de recursos, selecione Criar. Insira um nome para o grupo de recursos ou selecione um grupo de recursos existente na lista suspensa.

7. Em Detalhes da instância, insira um nome para o nome da VM e escolha uma região que dê suporte ao Início Confiável.

8. Para o Tipo de segurança, selecione Máquinas virtuais de Início Confiável. Quando as opções Inicialização segura, vTPM e Monitoramento de Integridade aparecerem, selecione as opções apropriadas para sua implantação. Para obter mais informações, consulte Recursos de segurança habilitados para Início Confiável.

   

9. Em Imagem, selecione uma imagem em Imagens Gen2 recomendadas compatíveis com o Início Confiável. Para uma lista, confira Início Confiável.

   Dica

   Se você não vir a versão Gen2 da imagem desejada na lista suspensa, selecione Ver todas as imagens. Em seguida, altere o filtro Tipo de segurança para Início Confiável.

10. Selecione um tamanho de VM que ofereça suporte ao Início Confiável. Para obter mais informações, confira a lista de tamanhos com suporte.

11. Preencha as informações de conta do administrador e as regras de porta de entrada.

12. Na parte inferior da página, selecione Examinar + Criar.

13. Na página Criar uma máquina virtual, você pode ver os detalhes da VM que você está prestes a implantar. Quando a validação for aprovada, selecione Criar.

Levará alguns minutos para que sua VM seja implantada.

CLI

Verifique se está executando a última versão da CLI do Azure.

1. Entrar no Azure usando az login.

   az login 
   

2. Crie uma VM com Início Confiável.

   az group create -n myresourceGroup -l eastus 
   
   az vm create \
      --resource-group myResourceGroup \
      --name myVM \
      --image Canonical:UbuntuServer:18_04-lts-gen2:latest \
      --admin-username azureuser \
      --generate-ssh-keys \
      --security-type TrustedLaunch \
      --enable-secure-boot true \ 
      --enable-vtpm true 
   

3. Para VMs existentes, você pode habilitar ou desabilitar as configurações de inicialização e vTPM de segurança. Atualizar a VM com configurações de inicialização segura e vTPM dispara a reinicialização automática.

   az vm update \
      --resource-group myResourceGroup \
      --name myVM \
      --enable-secure-boot true \
      --enable-vtpm true 
   

Para obter mais informações sobre como instalar o monitoramento de integridade de inicialização pela extensão Atestado de Convidado, consulte Integridade de Inicialização.

PowerShell

Para provisionar uma VM com Início Confiável, primeiro ela precisa ser habilitada com o parâmetro TrustedLaunch usando o cmdlet Set-AzVmSecurityProfile. Em seguida, você pode usar o cmdlet Set-AzVmUefi para definir as configurações de vTPM e da Inicialização Segura. Use o snippet a seguir como um início rápido. Lembre-se de substituir os valores neste exemplo pelos seus próprios.

$rgName = "myResourceGroup"
$location = "West US"
$vmName = "myTrustedVM"
$vmSize = Standard_B2s
$publisher = "MicrosoftWindowsServer"
$offer = "WindowsServer"
$sku = "2019-datacenter-gensecond"
$version = latest
$cred = Get-Credential `
   -Message "Enter a username and password for the virtual machine."

$vm = New-AzVMConfig -VMName $vmName -VMSize $vmSize 

$vm = Set-AzVMOperatingSystem `
   -VM $vm -Windows `
   -ComputerName $vmName `
   -Credential $cred `
   -ProvisionVMAgent `
   -EnableAutoUpdate 

$vm = Add-AzVMNetworkInterface -VM $vm `
   -Id $NIC.Id 

$vm = Set-AzVMSourceImage -VM $vm `
   -PublisherName $publisher `
   -Offer $offer `
   -Skus $sku `
   -Version $version 

$vm = Set-AzVMOSDisk -VM $vm `
   -StorageAccountType "StandardSSD_LRS" `
   -CreateOption "FromImage" 

$vm = Set-AzVmSecurityProfile -VM $vm `
   -SecurityType "TrustedLaunch" 

$vm = Set-AzVmUefi -VM $vm `
   -EnableVtpm $true `
   -EnableSecureBoot $true 

New-AzVM -ResourceGroupName $rgName -Location $location -VM $vm 

Modelo

Você pode implantar VMs de Início Confiável usando um modelo de início rápido.

Linux

Windows

Implantar uma VM de Início Confiável de uma imagem da Galeria de Computação do Azure

As VMs de Início Confiável do Azure dão suporte à criação e ao compartilhamento de imagens personalizadas usando a Galeria de Computação do Azure. Há dois tipos de imagens que você pode criar, com base nos tipos de segurança da imagem:

• Recomendado: as imagens (TrustedLaunchSupported) de VM de Início Confiável com suporte são imagens em que a origem não tem informações de estado do convidado da VM e podem ser usadas para criar VMs de Geração 2 ou VMs de Início Confiável.
• As imagens (TrustedLaunch) de VM de Início Confiável são imagens em que a origem geralmente tem informações de estado do convidado da VM e podem ser usadas para criar apenas VMs de Início Confiável.

Imagens com suporte na VM de Início Confiável

Para as seguintes origens de imagem, o tipo de segurança na definição da imagem deve ser definido como TrustedLaunchsupported:

• VHD de disco do sistema operacional (SO) Gen2
• Imagem gerenciada Gen2
• Versão da Imagem de Galeria Gen2

Nenhuma informação de Estado de Convidado da VM deve ser incluída na origem da imagem.

Você pode usar a versão da imagem resultante para criar VMs do Azure Gen2 ou VMs de Início Confiável.

Essas imagens podem ser compartilhadas usando a Galeria de Computação do Azure — Galeria com Compartilhamento Direto e a Galeria de Computação do Azure — Galeria Comunitária.

Observação

O VHD do disco do SO, a imagem gerenciada ou a versão da imagem da galeria deve ser criada a partir de uma imagem Gen2 compatível com as VMs de Início Confiável.

Portal

1. Entre no portal do Azure.
2. Na barra de pesquisa, pesquise e selecione Versões da imagem da VM.
3. Na página de versões de imagem da VM, selecione Criar.
4. Na página Criar versão da imagem da VM, na guia Noções básicas:
   1. Selecione a Assinatura do Azure.
   2. Selecione um grupo de recursos existente ou crie um grupo de recursos.
   3. Selecione uma região do Azure.
   4. Insira um número de versão da imagem.
   5. Em Origem, selecione Blobs de armazenamento (VHD), Imagem Gerenciada ou outra Versão da Imagem de VM.
   6. Se você selecionou Blobs de Armazenamento (VHD), insira um VHD de disco do sistema operacional (sem o estado convidado da VM). Certifique-se de usar um VHD Gen2.
   7. Se você selecionou Imagem Gerenciada, selecione uma imagem gerenciada existente de uma VM Gen2.
   8. Se você selecionou Versão de Imagem de VM, selecione uma Versão de Imagem da Galeria existente de uma VM Gen2.
   9. Para a galeria de computação do Azure de destino, selecione ou crie uma galeria para compartilhar a imagem.
   10. Para o estado do sistema operacional, selecione Generalizado ou Especializado, dependendo do caso de uso. Se você estiver usando uma imagem gerenciada como a origem, sempre selecione Generalizado. Se você estiver usando um VHD (blob de armazenamento) e quiser selecionar Generalizado, siga as etapas para generalizar um VHD do Linux ou generalizar um VHD do Windows antes de continuar. Se você estiver usando uma versão de imagem de VM existente, selecione Generalizada ou Especializada com base no que é usado na definição da imagem de VM de origem.
   11. Para a definição de imagem de VM de destino, selecione Criar novo.
   12. No painel Criar uma definição de imagem de VM, insira um nome para a definição. Verifique se o tipo de segurança está definido para Início confiável com suporte. Forneça as informações de editor, oferta e SKU. Em seguida, selecione OK.
5. Na guia Replicação, insira o número de réplicas e regiões de destino para replicação da imagens, se necessário.
6. Na guia Criptografia, insira as informações relacionadas à criptografia SSE, se necessário.
7. Selecione Examinar + criar.
8. Depois que a configuração for validada com êxito, selecione Criar para concluir a criação da imagem.
9. Depois que a versão da imagem for criada, selecione Criar VM.
10. Na página Criar uma máquina virtual, em Grupo de recursos, selecione Criar novo. Insira um nome para o grupo de recursos ou selecione um grupo de recursos existente na lista suspensa.
11. Em Detalhes da instância, insira um nome para o nome da VM e escolha uma região que dê suporte ao Início Confiável.
12. Para o Tipo de segurança, selecione Máquinas virtuais de Início Confiável. As caixas de seleção Inicialização Segura e vTPM estão habilitadas por padrão.
13. Preencha as informações de conta do administrador e as regras de porta de entrada.
14. Na página de validação, examine os detalhes da VM.
15. Depois que a validação for bem-sucedida, selecione Criar para concluir a criação da VM.

CLI

Verifique se está executando a última versão da CLI do Azure.

1. Entrar no Azure usando az login.

   az login 
   

2. Crie uma definição de imagem com o tipo de segurança TrustedLaunchSupported.

   az sig image-definition create --resource-group MyResourceGroup --location eastus \ 
   --gallery-name MyGallery --gallery-image-definition MyImageDef \ 
   --publisher TrustedLaunchPublisher --offer TrustedLaunchOffer --sku TrustedLaunchSku \ 
   --os-type Linux --os-state Generalized \ 
   --hyper-v-generation V2 \ 
   --features SecurityType=TrustedLaunchSupported
   

3. Use um VHD de disco do sistema operacional para criar uma versão de imagem. Verifique se o VHD do Linux foi generalizado antes de carregá-lo em um blob de conta do Armazenamento do Azure usando as etapas em Preparar o Linux para geração de imagens no Azure.

   az sig image-version create --resource-group MyResourceGroup \
   --gallery-name MyGallery --gallery-image-definition MyImageDef \
   --gallery-image-version 1.0.0 \
   --os-vhd-storage-account /subscriptions/00000000-0000-0000-0000-00000000xxxx/resourceGroups/imageGroups/providers/Microsoft.Storage/storageAccounts/mystorageaccount \
   --os-vhd-uri https://mystorageaccount.blob.core.windows.net/container/path_to_vhd_file
   

4. Crie uma VM de Início Confiável a partir da versão da imagem acima.

   adminUsername=linuxvm
   az vm create --resource-group MyResourceGroup \
       --name myTrustedLaunchVM \
       --image "/subscriptions/00000000-0000-0000-0000-00000000xxxx/resourceGroups/MyResourceGroup/providers/Microsoft.Compute/galleries/MyGallery/images/MyImageDef" \
       --size Standard_D2s_v5 \
       --security-type TrustedLaunch \
       --enable-secure-boot true \ 
       --enable-vtpm true \
       --admin-username $adminUsername \
       --generate-ssh-keys
   

PowerShell

1. Crie uma definição de imagem com o tipo de segurança TrustedLaunchSupported.

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "eastus"
   $publisherName = "TrustedlaunchPublisher"
   $offerName = "TrustedlaunchOffer"
   $skuName = "TrustedlaunchSku"
   $description = "My gallery"
   $SecurityType = @{Name='SecurityType';Value='TrustedLaunchSupported'}
   $features = @($SecurityType)
   New-AzGalleryImageDefinition -ResourceGroupName $rgName -GalleryName $galleryName -Name $galleryImageDefinitionName -Location $location -Publisher $publisherName -Offer $offerName -Sku $skuName -HyperVGeneration "V2" -OsState "Generalized" -OsType "Windows" -Description $description -Feature $features
   

2. Para criar uma versão de imagem, podemos usar uma Versão de Imagem da Galeria Gen2 existente, que foi generalizada durante a criação.

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "eastus"
   $galleryImageVersionName = "1.0.0"
   $sourceImageId = "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myVMRG/providers/Microsoft.Compute/galleries/MyGallery/images/Gen2VMImageDef/versions/0.0.1"
   New-AzGalleryImageVersion -ResourceGroupName $rgName -GalleryName $galleryName -GalleryImageDefinitionName $galleryImageDefinitionName -Name $galleryImageVersionName -Location $location -SourceImageId $sourceImageId
   

3. Crie uma VM de Início Confiável a partir da versão da imagem acima.

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "eastus"
   $vmName = "myVMfromImage"
   $vmSize = "Standard_D2s_v5"
   $imageDefinition = Get-AzGalleryImageDefinition `
      -GalleryName $galleryName `
      -ResourceGroupName $rgName `
      -Name $galleryImageDefinitionName
   $cred = Get-Credential `
      -Message "Enter a username and password for the virtual machine"
   # Network pieces
   $subnetConfig = New-AzVirtualNetworkSubnetConfig `
      -Name mySubnet `
      -AddressPrefix 192.168.1.0/24
   $vnet = New-AzVirtualNetwork `
      -ResourceGroupName $rgName `
      -Location $location `
      -Name MYvNET `
      -AddressPrefix 192.168.0.0/16 `
      -Subnet $subnetConfig
   $pip = New-AzPublicIpAddress `
      -ResourceGroupName $rgName `
      -Location $location `
     -Name "mypublicdns$(Get-Random)" `
     -AllocationMethod Static `
     -IdleTimeoutInMinutes 4
   $nsgRuleRDP = New-AzNetworkSecurityRuleConfig `
      -Name myNetworkSecurityGroupRuleRDP  `
      -Protocol Tcp `
     -Direction Inbound `
      -Priority 1000 `
      -SourceAddressPrefix * `
      -SourcePortRange * `
      -DestinationAddressPrefix * `
      -DestinationPortRange 3389 `
      -Access Deny
   $nsg = New-AzNetworkSecurityGroup `
      -ResourceGroupName $rgName `
      -Location $location `
     -Name myNetworkSecurityGroup `
     -SecurityRules $nsgRuleRDP
   $nic = New-AzNetworkInterface `
      -Name myNic `
      -ResourceGroupName $rgName `
      -Location $location `
     -SubnetId $vnet.Subnets[0].Id `
     -PublicIpAddressId $pip.Id `
     -NetworkSecurityGroupId $nsg.Id
   $vm = New-AzVMConfig -vmName $vmName -vmSize $vmSize | `
         Set-AzVMOperatingSystem -Windows -ComputerName $vmName -Credential $cred | `
         Set-AzVMSourceImage -Id $imageDefinition.Id | `
         Add-AzVMNetworkInterface -Id $nic.Id
   $vm = Set-AzVMSecurityProfile -SecurityType "TrustedLaunch" -VM $vm
   $vm = Set-AzVmUefi -VM $vm `
      -EnableVtpm $true `
      -EnableSecureBoot $true 
   New-AzVM `
      -ResourceGroupName $rgName `
      -Location $location `
      -VM $vm
   

Imagens de VM de Início Confiável

Para as seguintes origens de imagem, o tipo de segurança na definição da imagem deve ser definido como TrustedLaunch:

• Captura da VM de Início Confiável
• Discos gerenciados do sistema operacional
• Instantâneo de disco do sistema operacional gerenciado

Você pode usar a versão de imagem resultante para criar somente VMs de Início Confiável do Azure.

Portal

1. Entre no Portal do Azure.
2. Para criar uma Imagem da Galeria de Computação do Azure a partir de uma VM, abra uma VM de Início Confiável existente e selecione Capturar.
3. Na página Criar uma Imagem, permita que a imagem seja compartilhada na galeria como uma versão de imagem de VM. Não há suporte para a criação de imagens gerenciadas para VMs de Início Confiável.
4. Crie uma galeria de computação do Azure de destino ou selecione uma galeria existente.
5. Selecione o estado do sistema operacional como Generalizado ou Especializado. Se quiser criar uma imagem generalizada, certifique-se de generalizar a VM para remover informações específicas do computador antes de selecionar essa opção. Se a criptografia baseada em Bitlocker estiver habilitada em sua VM Windows de Início Confiável, talvez você não consiga generalizá-la.
6. Crie uma nova definição de imagem fornecendo um nome, um distribuidor, uma oferta e detalhes de SKU. O Tipo de segurança da definição da imagem deve já está definido como Início Confiável.
7. Forneça um número de versão para a imagem.
8. Modifique as opções de replicação, se necessário.
9. Na parte inferior da página Criar uma Imagem, selecione Examinar + Criar. Quando a validação for aprovada, selecione Criar.
10. Depois que a versão da imagem for criada, vá diretamente para a versão da imagem. Como alternativa, você pode navegar até a versão da imagem necessária por meio da definição de imagem.
11. Na página Versão de imagem de VM, selecione + Criar VM para ir para a página Criar uma máquina virtual.
12. Na página Criar uma máquina virtual, em Grupo de recursos, selecione Criar novo. Insira um nome para o grupo de recursos ou selecione um grupo de recursos existente na lista suspensa.
13. Em Detalhes da instância, insira um nome para o nome da VM e escolha uma região que dê suporte ao Início Confiável.
14. A imagem e o tipo de segurança já estão preenchidos com base na versão da imagem selecionada. As caixas de seleção Inicialização Segura e vTPM estão habilitadas por padrão.
15. Preencha as informações de conta do administrador e as regras de porta de entrada.
16. Na parte inferior da página, selecione Examinar + Criar.
17. Na página de validação, examine os detalhes da VM.
18. Depois que a validação for bem-sucedida, selecione Criar para concluir a criação da VM.

Se quiser usar um disco gerenciado ou um instantâneo de disco gerenciado como uma origem da versão de imagem (em vez de uma VM de Início Confiável), use as etapas a seguir.

1. Entre no portal do Azure.
2. Pesquise por Versões de Imagem de VM e selecione Criar.
3. Forneça a assinatura, o grupo de recursos, a região e o número de versão da imagem.
4. Selecione a origem como Discos e/ou Instantâneos.
5. Selecione o disco do sistema operacional como um disco gerenciado ou um instantâneo de disco gerenciado na lista suspensa.
6. Selecione uma Galeria de Computação do Azure de Destino para criar e compartilhar a imagem. Se nenhuma galeria existir, crie uma.
7. Selecione o estado do sistema operacional como Generalizado ou Especializado. Se quiser criar uma imagem generalizada, certifique-se de generalizar o disco ou o instantâneo para remover informações específicas do computador.
8. Para a Definição da Imagem de VM de Destino, selecione Criar. Na janela que abrir, selecione um nome de definição de imagem e verifique se o Tipo de segurança está definido como Início confiável. Forneça as informações de fornecedor, oferta e SKU e selecione OK.
9. A guia Replicação pode ser usada para definir a contagem de réplicas e as regiões de destino para replicação da imagem, se necessário.
10. A guia Criptografia também pode ser usada para fornecer informações relacionadas à criptografia SSE, se necessário.
11. Selecione Criar na guia Examinar + criar para criar a imagem.
12. Quando a versão da imagem for criada com sucesso, selecione + Criar VM para ir para a página Criar uma máquina virtual.
13. Siga as etapas de 12 a 18, conforme mencionado anteriormente, para criar uma VM de Início Confiável usando essa versão de imagem.

CLI

Verifique se está executando a última versão da CLI do Azure.

1. Entrar no Azure usando az login.

   az login 
   

2. Crie uma definição de imagem com o tipo de segurança TrustedLaunch.

   az sig image-definition create --resource-group MyResourceGroup --location eastus \ 
   --gallery-name MyGallery --gallery-image-definition MyImageDef \ 
   --publisher TrustedLaunchPublisher --offer TrustedLaunchOffer --sku TrustedLaunchSku \ 
   --os-type Linux --os-state Generalized \ 
   --hyper-v-generation V2 \ 
   --features SecurityType=TrustedLaunch
   

3. Para criar uma versão da imagem, podemos capturar uma VM de Início Confiável baseada em Linux. Generalize a VM de Início Confiável antes de criar a versão da imagem.

   az sig image-version create --resource-group MyResourceGroup \
   --gallery-name MyGallery --gallery-image-definition MyImageDef \
   --gallery-image-version 1.0.0 \
   --managed-image /subscriptions/00000000-0000-0000-0000-00000000xxxx/resourceGroups/MyResourceGroup/providers/Microsoft.Compute/virtualMachines/myVM
   

   Caso um disco gerenciado ou um instantâneo de disco gerenciado precise ser usado como fonte de imagem para a versão da imagem, substitua --managed-image no comando acima por --os-snapshot e forneça o nome do disco ou do recurso de instantâneo.

4. Crie uma VM de Início Confiável a partir da versão da imagem acima.

   adminUsername=linuxvm
   az vm create --resource-group MyResourceGroup \
       --name myTrustedLaunchVM \
       --image "/subscriptions/00000000-0000-0000-0000-00000000xxxx/resourceGroups/MyResourceGroup/providers/Microsoft.Compute/galleries/MyGallery/images/MyImageDef" \
       --size Standard_D2s_v5 \
       --security-type TrustedLaunch \
       --enable-secure-boot true \ 
       --enable-vtpm true \
       --admin-username $adminUsername \
       --generate-ssh-keys
   

PowerShell

1. Crie uma definição de imagem com o tipo de segurança TrustedLaunch.

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "eastus"
   $publisherName = "TrustedlaunchPublisher"
   $offerName = "TrustedlaunchOffer"
   $skuName = "TrustedlaunchSku"
   $description = "My gallery"
   $SecurityType = @{Name='SecurityType';Value='TrustedLaunch'}
   $features = @($SecurityType)
   New-AzGalleryImageDefinition -ResourceGroupName $rgName -GalleryName $galleryName -Name $galleryImageDefinitionName -Location $location -Publisher $publisherName -Offer $offerName -Sku $skuName -HyperVGeneration "V2" -OsState "Generalized" -OsType "Windows" -Description $description -Feature $features
   

2. Para criar uma versão de imagem, você pode capturar uma VM de Início Confiável baseada em Windows. Generalize a VM de Início Confiável antes de criar a versão da imagem.

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "eastus"
   $galleryImageVersionName = "1.0.0"
   $sourceImageId = "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myVMRG/providers/Microsoft.Compute/virtualMachines/myVM"
   New-AzGalleryImageVersion -ResourceGroupName $rgName -GalleryName $galleryName -GalleryImageDefinitionName $galleryImageDefinitionName -Name $galleryImageVersionName -Location $location -SourceImageId $sourceImageId
   

3. Crie uma VM de Início Confiável a partir da versão da imagem acima.

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "eastus"
   $vmName = "myVMfromImage"
   $vmSize = "Standard_D2s_v5"
   $imageDefinition = Get-AzGalleryImageDefinition `
      -GalleryName $galleryName `
      -ResourceGroupName $rgName `
      -Name $galleryImageDefinitionName
   $cred = Get-Credential `
      -Message "Enter a username and password for the virtual machine"
   # Network pieces
   $subnetConfig = New-AzVirtualNetworkSubnetConfig `
      -Name mySubnet `
      -AddressPrefix 192.168.1.0/24
   $vnet = New-AzVirtualNetwork `
      -ResourceGroupName $rgName `
      -Location $location `
      -Name MYvNET `
      -AddressPrefix 192.168.0.0/16 `
      -Subnet $subnetConfig
   $pip = New-AzPublicIpAddress `
      -ResourceGroupName $rgName `
      -Location $location `
     -Name "mypublicdns$(Get-Random)" `
     -AllocationMethod Static `
     -IdleTimeoutInMinutes 4
   $nsgRuleRDP = New-AzNetworkSecurityRuleConfig `
      -Name myNetworkSecurityGroupRuleRDP  `
      -Protocol Tcp `
     -Direction Inbound `
      -Priority 1000 `
      -SourceAddressPrefix * `
      -SourcePortRange * `
      -DestinationAddressPrefix * `
      -DestinationPortRange 3389 `
      -Access Deny
   $nsg = New-AzNetworkSecurityGroup `
      -ResourceGroupName $rgName `
      -Location $location `
     -Name myNetworkSecurityGroup `
     -SecurityRules $nsgRuleRDP
   $nic = New-AzNetworkInterface `
      -Name myNic `
      -ResourceGroupName $rgName `
      -Location $location `
     -SubnetId $vnet.Subnets[0].Id `
     -PublicIpAddressId $pip.Id `
     -NetworkSecurityGroupId $nsg.Id
   $vm = New-AzVMConfig -vmName $vmName -vmSize $vmSize | `
         Set-AzVMOperatingSystem -Windows -ComputerName $vmName -Credential $cred | `
         Set-AzVMSourceImage -Id $imageDefinition.Id | `
         Add-AzVMNetworkInterface -Id $nic.Id
   $vm = Set-AzVMSecurityProfile -SecurityType "TrustedLaunch" -VM $vm
   $vm = Set-AzVmUefi -VM $vm `
      -EnableVtpm $true `
      -EnableSecureBoot $true 
   New-AzVM `
      -ResourceGroupName $rgName `
      -Location $location `
      -VM $vm
   

Políticas internas de Início Confiável

Para ajudar os usuários finais a adotarem o Início Confiável, há políticas do Azure disponíveis para ajudar os proprietários de recursos a adotar o Início Confiável. O objetivo principal é ajudar a converter VMs de Geração 1 e 2 compatíveis com o Início Confiável.

A política única de Máquina virtual deve ter o Início Confiável habilitado verifica se a máquina virtual está habilitada com configurações de segurança de Inicio Confiável no momento. A política Discos e o sistema operacional compatíveis com Início Confiável verifica se as VMs criadas anteriormente têm o tamanho de VM e SO Gen2 capazes de implantar uma VM de Início Confiável.

Essas duas políticas se reúnem para tornar a iniciativa de política de Início Confiável. Essa iniciativa permite que você agrupe várias definições de política relacionadas para simplificar atribuições e recursos de gerenciamento para incluir a configuração do Início Confiável.

Para saber mais e começar a implantação, confira Políticas internas do Início Confiável.

---

Verificar ou atualizar suas configurações

Para VMs criadas com o Início Confiável habilitado, é possível exibir a configuração de início confiável acessando a página Visão geral referente à VM no portal do Azure. A guia Propriedades mostrará o status dos recursos de Início Confiável.

Para alterar a configuração de início confiável, no menu à esquerda, na seção Configurações, selecione Configuração. Na seção Tipo de segurança, você pode habilitar ou desabilitar a Inicialização Segura, o vTPM e o Monitoramento de integridade. Quando terminar, selecione Salvar na parte superior da página.

Se a VM estiver em execução, você receberá uma mensagem informando que a VM será reiniciada. Selecione Sim e aguarde a VM ser reiniciada para que as alterações entrem em vigor.

Conteúdo relacionado

Saiba mais sobre VMs de início Confiável e monitoramento de integridade da inicialização.