Часто задаваемые вопросы о доверенном запуске

Статья
2024-09-04

Часто задаваемые вопросы об использовании функций доверенного запуска Azure, поддержка других функций Azure и исправления распространенных ошибок.

Случаи использования

В этом разделе приводятся ответы на вопросы о вариантах использования для доверенного запуска.

Почему следует использовать доверенный запуск? От чего защищает доверенный запуск?

Доверенный запуск защищает от буткитов, руткитов и вредоносных программ на уровне ядра. Эти сложные вредоносные программы выполняются в режиме ядра и скрыты для пользователей. Например:

Руткиты прошивок: Эти руткиты перезаписывают прошивку BIOS виртуальной машины, так что руткит может запускаться до операционной системы (ОС).
Загрузочные комплекты: эти комплекты заменяют загрузчик ОПЕРАЦИОННОй системы, чтобы виртуальная машина загружала загрузочный комплект перед ОС.
Ядровые руткиты: эти наборы заменяют часть ядра ОС, что позволяет руткиту запускаться автоматически при загрузке ОС.
Коркиты драйверов: эти комплекты притворяются одним из доверенных драйверов, которые ОС использует для взаимодействия с компонентами виртуальной машины.

Каковы различия между безопасной загрузкой и измеренной загрузкой?

В цепочке безопасной загрузки каждый шаг процесса загрузки проверяет криптографическую подпись последующих шагов. Например, BIOS проверяет подпись на загрузчике, а загрузчик проверяет подписи на всех загруженных объектах ядра и т. д. Если какой-либо из объектов скомпрометирован, подпись не соответствует, и виртуальная машина не загружается. Дополнительные сведения см. в статье Безопасная загрузка.

Как доверенный запуск сравнивается с экранируемой виртуальной машиной Hyper-V?

Виртуальная машина с защитой Hyper-V в настоящее время доступна только в Hyper-V. Экранируемая виртуальная машина Hyper-V обычно развертывается с помощью Guarded Fabric. Защищенная структура состоит из службы защиты узла (HGS), одного или нескольких защищенных узлов и набора экранированных виртуальных машин. Экранированные виртуальные машины Hyper-V используются в структурах, где данные и состояние виртуальной машины должны быть защищены от различных субъектов. Эти субъекты являются администраторами структуры и ненадежным программным обеспечением, которое может работать на узлах Hyper-V.

Доверенный запуск можно развернуть как автономную виртуальную машину или как масштабируемые наборы виртуальных машин в Azure без другого развертывания и управления HGS. Все функции доверенного запуска можно включить с помощью простого изменения развертывания или флажка на портале Azure.

Что такое гостевое состояние виртуальной машины?

Гостевое состояние виртуальной машины (VMGS) специфично для виртуальных машин на доверенной платформе запуска. Это большой двоичный объект, управляемый Azure и содержащий базы данных сигнатур безопасной загрузки (Secure Boot) унифицированного расширяемого интерфейса встроенного ПО (UEFI) и другую информацию о безопасности. Жизненный цикл объекта VMGS привязан к диску ОС.

Можно ли отключить доверенный запуск для нового развертывания виртуальной машины?

Доверенные виртуальные машины запуска обеспечивают базовую безопасность вычислений. Мы настоятельно рекомендуем не отключать их для новых развертываний виртуальных машин или масштабируемых наборов за исключением случаев, когда ваши развертывания имеют зависимость от:

Вы можете использовать параметр securityType со значением Standard, чтобы отключить функцию "Доверенный запуск" в новых развертываниях виртуальных машин или масштабируемых наборов с помощью Azure PowerShell (версии 10.3.0+) и Azure CLI (версии 2.53.0+).

Примечание.

Параметр securityType со значением Standard можно использовать, если у подписки есть фича-флаг UseStandardSecurityType, зарегистрированный внутри пространства имен Microsoft.Compute. Ознакомьтесь с функцией установки в подписке Azure , чтобы включить необходимую функцию.
Мы не рекомендуем отключать безопасную загрузку, если вы используете пользовательское неподписанное ядро или драйверы.

Если необходимо отключить безопасную загрузку в конфигурации виртуальной машины, снимите флажок "Включить безопасную загрузку ".

Пример securityProfile элемента шаблона ARM для использования securityType параметра со значением Standard

"securityProfile": {
    "securityType": "Standard",
    "uefiSettings": "[null()]"
}

az vm create -n MyVm -g MyResourceGroup --image Ubuntu2204 `
    --security-type 'Standard'

$adminUsername = <USER NAME>
$adminPassword = <PASSWORD> | ConvertTo-SecureString -AsPlainText -Force
$vmCred = New-Object System.Management.Automation.PSCredential($adminUsername, $adminPassword)
New-AzVM -Name MyVm -Credential $vmCred -SecurityType Standard

Поддерживаемые функции и развертывания

В этом разделе рассматриваются поддерживаемые функции и развертывания доверенного запуска.

Поддерживается ли Галерея вычислений Azure функцией Trusted Launch?

Доверенный запуск теперь позволяет создавать и совместно использовать образы через Azure Compute Gallery (ранее известную как Общая галерея образов). Источник изображения может быть следующим:

Существующая виртуальная машина Azure, которая является обобщенной или специализированной.
Существующий управляемый диск или моментальный снимок.
Виртуальный жесткий диск (VHD) или версия образа из другой коллекции.

Дополнительные сведения о развертывании виртуальной машины доверенного запуска с помощью коллекции вычислений Azure см. в статье "Развертывание виртуальных машин доверенного запуска".

Поддерживается ли Azure Backup доверенным запуском?

Доверенный запуск теперь поддерживает Azure Backup. Дополнительные сведения см. в таблице поддержки резервного копирования виртуальных машин Azure.

Будет ли Azure Backup продолжать работу после включения доверенного запуска?

Резервные копии, настроенные с помощью расширенной политики , продолжают создавать резервные копии виртуальных машин после включения доверенного запуска.

Поддерживаются ли временные диски ОС доверенным запуском?

Доверенный запуск поддерживает эфемерные диски ОС. Дополнительные сведения см. в разделе "Доверенный запуск" для временных дисков ОС.

Примечание.

Для доверенных виртуальных машин запуска, созданных с временными дисками, ключи и секреты, созданные или запечатанные виртуальным доверенным платформенным модулем (vTPM) после создания виртуальной машины, возможно, не будут сохраняться при таких операциях, как повторное создание изображения, и при таких платформах событиях, как восстановление служб.

Доступны ли функции безопасности с доверенным запуском, применимым к дискам данных?

Доверенный запуск обеспечивает базовую безопасность операционной системы, размещенной на виртуальной машине, заверив целостность загрузки. Надежные функции безопасности запуска применимы только для запуска дисков ОС и ОС, они не применимы только к дискам данных или двоичным файлам ОС, хранящимся на дисках данных. Дополнительные сведения см. в разделе Обзор доверенного запуска

Можно ли восстановить виртуальную машину с помощью резервных копий, сделанных до включения доверенного запуска?

Резервные копии, сделанные перед обновлением существующей виртуальной машины поколения 2 до доверенного запуска , можно использовать для восстановления всей виртуальной машины или отдельных дисков данных. Их нельзя использовать для восстановления или замены только диска ОС.

Как найти размеры виртуальных машин, поддерживающие доверенный запуск?

См. список размеров виртуальных машин поколения 2, поддерживающих доверенный запуск.

Используйте следующие команды, чтобы проверить, не поддерживает ли размер виртуальной машины поколения 2 с функцией Trusted Launch.

CLI
PowerShell

subscription="<yourSubID>"
region="westus"
vmSize="Standard_NC12s_v3"

az vm list-skus --resource-type virtualMachines  --location $region --query "[?name=='$vmSize'].capabilities" --subscription $subscription

$region = "southeastasia"
$vmSize = "Standard_M64"
(Get-AzComputeResourceSku | where {$_.Locations.Contains($region) -and ($_.Name -eq $vmSize) })[0].Capabilities

Ответ похож на следующую форму. Output, который включает TrustedLaunchDisabled True, указывает на то, что виртуальная машина размера поколения 2 не поддерживает доверенный запуск. Если это размер виртуальной машины поколения 2 и TrustedLaunchDisabled не является частью выходных данных, доверенный запуск поддерживается для этого размера виртуальной машины.

Name                                         Value
----                                         -----
MaxResourceVolumeMB                          8192000
OSVhdSizeMB                                  1047552
vCPUs                                        64
MemoryPreservingMaintenanceSupported         False
HyperVGenerations                            V1,V2
MemoryGB                                     1000
MaxDataDiskCount                             64
CpuArchitectureType                          x64
MaxWriteAcceleratorDisksAllowed              8
LowPriorityCapable                           True
PremiumIO                                    True
VMDeploymentTypes                            IaaS
vCPUsAvailable                               64
ACUs                                         160
vCPUsPerCore                                 2
CombinedTempDiskAndCachedIOPS                80000
CombinedTempDiskAndCachedReadBytesPerSecond  838860800
CombinedTempDiskAndCachedWriteBytesPerSecond 838860800
CachedDiskBytes                              1318554959872
UncachedDiskIOPS                             40000
UncachedDiskBytesPerSecond                   1048576000
EphemeralOSDiskSupported                     True
EncryptionAtHostSupported                    True
CapacityReservationSupported                 False
TrustedLaunchDisabled                        True
AcceleratedNetworkingEnabled                 True
RdmaEnabled                                  False
MaxNetworkInterfaces                         8

Как проверить, поддерживает ли образ ОС доверенный запуск?

См. список версий ОС, поддерживаемых доверенным запуском.

Образы ОС Marketplace

Используйте следующие команды, чтобы проверить, поддерживает ли образ ОС Azure Marketplace доверенный запуск.

CLI
PowerShell

az vm image show --urn "MicrosoftWindowsServer:WindowsServer:2022-datacenter-azure-edition:latest"

Ответ похож на следующую форму. Если hyperVGeneration равен v2 и SecurityType содержит TrustedLaunch в выходных данных, образ ОС поколения 2 поддерживает доверенный запуск.

{
  "architecture": "x64",
  "automaticOsUpgradeProperties": {
    "automaticOsUpgradeSupported": false
  },
  "dataDiskImages": [],
  "disallowed": {
    "vmDiskType": "Unmanaged"
  },
  "extendedLocation": null,
  "features": [
    {
      "name": "SecurityType",
      "value": "TrustedLaunchAndConfidentialVmSupported"
    },
    {
      "name": "IsAcceleratedNetworkSupported",
      "value": "True"
    },
    {
      "name": "DiskControllerTypes",
      "value": "SCSI, NVMe"
    },
    {
      "name": "IsHibernateSupported",
      "value": "True"
    }
  ],
  "hyperVGeneration": "V2",
  "id": "/Subscriptions/00000000-0000-0000-0000-00000000000/Providers/Microsoft.Compute/Locations/westus/Publishers/MicrosoftWindowsServer/ArtifactTypes/VMImage/Offers/WindowsServer/Skus/2022-datacenter-azure-edition/Versions/20348.1906.230803",
  "imageDeprecationStatus": {
    "alternativeOption": null,
    "imageState": "Active",
    "scheduledDeprecationTime": null
  },
  "location": "westus",
  "name": "20348.1906.230803",
  "osDiskImage": {
    "operatingSystem": "Windows",
    "sizeInGb": 127
  },
  "plan": null,
  "tags": null
}

Get-AzVMImage -Skus 22_04-lts-gen2 -PublisherName Canonical -Offer 0001-com-ubuntu-server-jammy -Location westus3 -Version latest

Выходные данные команды можно использовать с виртуальными машинами — получение API. Ответ похож на следующую форму. Если hyperVGeneration является v2, и SecurityType содержит TrustedLaunch в выходных данных, то образ ОС поколения 2 поддерживает доверенный запуск.

{
    "properties": {
        "hyperVGeneration": "V2",
        "architecture": "x64",
        "replicaType": "Managed",
        "replicaCount": 10,
        "disallowed": {
            "vmDiskType": "Unmanaged"
        },
        "automaticOSUpgradeProperties": {
            "automaticOSUpgradeSupported": false
        },
        "imageDeprecationStatus": {
            "imageState": "Active"
        },
        "features": [
            {
                "name": "SecurityType",
                "value": "TrustedLaunchSupported"
            },
            {
                "name": "IsAcceleratedNetworkSupported",
                "value": "True"
            },
            {
                "name": "DiskControllerTypes",
                "value": "SCSI, NVMe"
            },
            {
                "name": "IsHibernateSupported",
                "value": "True"
            }
        ],
        "osDiskImage": {
            "operatingSystem": "Linux",
            "sizeInGb": 30
        },
        "dataDiskImages": []
    },
    "location": "WestUS3",
    "name": "22.04.202309080",
    "id": "/Subscriptions/00000000-0000-0000-0000-000000000000/Providers/Microsoft.Compute/Locations/WestUS3/Publishers/Canonical/ArtifactTypes/VMImage/Offers/0001-com-ubuntu-server-jammy/Skus/22_04-lts-gen2/Versions/22.04.202309080"
}

Образ ОС в галерее вычислений Azure

Используйте следующие команды, чтобы проверить, поддерживает ли ОС-образ из Azure Compute Gallery доверенный запуск.

CLI
PowerShell

az sig image-definition show `
    --gallery-image-definition myImageDefinition `
    --gallery-name myImageGallery `
    --resource-group myImageGalleryRg

Ответ похож на следующую форму. Если hyperVGeneration это v2, и SecurityType содержит TrustedLaunch в выводе, то образ ОС поколения 2 поддерживает доверенный запуск.

{
  "architecture": "x64",
  "features": [
    {
      "name": "SecurityType",
      "value": "TrustedLaunchSupported"
    }
  ],
  "hyperVGeneration": "V2",
  "id": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myImageGalleryRg/providers/Microsoft.Compute/galleries/myImageGallery/images/myImageDefinition",
  "identifier": {
    "offer": "myImageDefinition",
    "publisher": "myImageDefinition",
    "sku": "myImageDefinition"
  },
  "location": "westus3",
  "name": "myImageDefinition",
  "osState": "Generalized",
  "osType": "Windows",
  "provisioningState": "Succeeded",
  "recommended": {
    "memory": {
      "max": 32,
      "min": 1
    },
    "vCPUs": {
      "max": 16,
      "min": 1
    }
  },
  "resourceGroup": "myImageGalleryRg",
  "tags": {},
  "type": "Microsoft.Compute/galleries/images"
}

Get-AzGalleryImageDefinition -ResourceGroupName myImageGalleryRg `
    -GalleryName myImageGallery -GalleryImageDefinitionName myImageDefinition

Ответ похож на следующую форму. Если hyperVGeneration — это v2, и SecurityType содержит TrustedLaunch в выходных данных, образ ОС поколения 2 поддерживает доверенный запуск.

ResourceGroupName : myImageGalleryRg
OsType            : Windows
OsState           : Generalized
HyperVGeneration  : V2
Identifier        :
  Publisher       : myImageDefinition
  Offer           : myImageDefinition
  Sku             : myImageDefinition
Recommended       :
  VCPUs           :
    Min           : 1
    Max           : 16
  Memory          :
    Min           : 1
    Max           : 32
ProvisioningState : Succeeded
Id                : /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myImageGalleryRg/providers/Microsoft.Compute/galleries/myImageGallery/images/myImageDefinition
Name              : myImageDefinition
Type              : Microsoft.Compute/galleries/images
Location          : westus3
Tags              : {}
Features[0]       :
  Name            : SecurityType
  Value           : TrustedLaunchSupported
Architecture      : x64

Как внешние драйверы связи работают с доверенными виртуальными машинами запуска?

Добавление портов объектной модели компонента (COM) требует отключения безопасной загрузки. COM-порты по умолчанию отключены в виртуальных машинах доверенного запуска.

Устранение неполадок

В этом разделе приводятся ответы на вопросы о конкретных состояниях, типах загрузки и распространенных проблемах загрузки.

Что делать, если у виртуальной машины доверенного запуска сбои развертывания?

В этом разделе содержатся дополнительные сведения о сбоях развертывания доверенного запуска, которые позволяют предпринять надлежащие действия, чтобы предотвратить их.

Virtual machine <vm name> failed to create from the selected snapshot because the virtual Trusted Platform Module (vTPM) state is locked.
To proceed with the VM creation, please select a different snapshot without a locked vTPM state.
For more assistance, please refer to “Troubleshooting locked vTPM state” in FAQ page at https://aka.ms/TrustedLaunch-FAQ.

Эта ошибка развертывания возникает, когда предоставленный моментальный снимок или точка восстановления недоступны или непригодны по следующим причинам:

Повреждено состояние гостевой виртуальной машины (VMGS).
vTPM в заблокированном состоянии.
Один или несколько критически важных индексов vTPM находятся в недопустимом состоянии.

Перечисленные причины могут возникнуть, если пользователь или рабочая нагрузка, запущенная на виртуальной машине, устанавливает блокировку vTPM или изменяет критически важные индексы vTPM, которые покидают VTPM в недопустимом состоянии.

Повторная попытка с той же точкой моментального снимка и восстановления приводит к тому же сбою.

Решение.

На исходной виртуальной машине доверенного запуска, в которой был создан моментальный снимок или точка восстановления, необходимо исправить ошибки vTPM.
1. Для состояния vTPM, измененного рабочей нагрузкой на виртуальной машине, необходимо использовать то же самое, чтобы проверить состояния ошибок и перенести vTPM в состояние, отличное от ошибки.
2. Для состояния vTPM, измененного с помощью средств доверенного платформенного модуля (TPM), следует использовать те же средства, чтобы проверить состояния ошибок и привести vTPM к состоянию, отличному от ошибок.

После освобождения моментального снимка или точки восстановления от этих ошибок, вы можете использовать их для создания новой виртуальной машины с доверенным запуском.

Почему виртуальная машина доверенного запуска не загружается правильно?

Если неподписанные компоненты обнаружены из UEFI (гостевого встроенного ПО), загрузчика, ОС или драйверов загрузки, виртуальная машина доверенного запуска не загружается. Параметр безопасной загрузки в виртуальной машине доверенного запуска не запускается, если во время загрузки обнаружены неподписанные или ненадежные компоненты, и сообщает об этом как о сбое безопасной загрузки.

Снимок экрана, показывающий процесс доверенного запуска от безопасной загрузки до сторонних драйверов.

Примечание.

Доверенные виртуальные машины запуска, созданные непосредственно из образа Azure Marketplace, не должны столкнуться с ошибками безопасной загрузки. Образы коллекции вычислений Azure с исходным источником образа Azure Marketplace и моментальными снимками, созданными на основе доверенных виртуальных машин запуска, также не должны столкнуться с этими ошибками.

Как выявить сценарий, когда система не загружается, в портале Azure?

Если виртуальная машина становится недоступной из-за сбоя безопасной загрузки, no-boot означает, что у виртуальной машины есть компонент ОС, не подписанный доверенным центром, что блокирует загрузку виртуальной машины с функцией Trusted Launch. При развертывании виртуальной машины может отображаться информация о работоспособности ресурсов в портале Azure, в которой говорится об ошибке валидации в режиме Secure Boot.

Чтобы получить доступ к работоспособности ресурсов на странице конфигурации виртуальной машины, перейдите в Работоспособность ресурсов в разделе Справка.

Если вы проверили, что отсутствие загрузки вызвано отказом безопасности загрузки:

Образ, который вы используете, является более старой версией, которая может содержать один или несколько ненадежных компонентов загрузки и находится на стадии устаревания. Чтобы устранить устаревший образ, обновите поддерживаемую более новую версию образа.
Образ, который вы используете, может быть создан за пределами облачного магазина, загрузочные компоненты могут быть изменены и могут содержать неподписанные или ненадежные загрузочные компоненты. Чтобы проверить, не содержатся ли в вашем образе неподписанные или ненадежные компоненты загрузки, см. следующий раздел "Проверка сбоев безопасной загрузки".
Если предыдущие два сценария не применяются, виртуальная машина потенциально заражена вредоносными программами (bootkit/rootkit). Рассмотрите возможность удаления виртуальной машины и повторного создания виртуальной машины из одного исходного образа при оценке всего установленного программного обеспечения.

Почему виртуальная машина доверенного запуска отображает 50 МБ меньше памяти?

При использовании доверенного запуска среда выполнения, известная как "paravisor", создается и выполняется внутри виртуальной машины. Как правило, около 50 МБ памяти используется паравизором и отображается как "зарезервированная" в гостевой операционной системе.

Проверка сбоев безопасной загрузки

В этом разделе показано, как проверить сбои безопасной загрузки.

Виртуальные машины Linux

Чтобы проверить, какие компоненты загрузки отвечают за сбои безопасной загрузки на виртуальной машине Linux Azure, можно использовать средство SBInfo из пакета безопасности Linux.

Отключите безопасную загрузку.
Подключитесь к виртуальной машине доверенного запуска Azure Linux.
Установите средство SBInfo для дистрибутива, на котором работает ваша виртуальная машина. Он находится в пакете безопасности Linux.

Эти команды применяются к дистрибутивам Ubuntu, Debian и другим дистрибутивам на основе Debian.

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ trusty main" | sudo tee -a /etc/apt/sources.list.d/azure.list

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ xenial main" | sudo tee -a /etc/apt/sources.list.d/azure.list

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ bionic main" | sudo tee -a /etc/apt/sources.list.d/azure.list

wget https://packages.microsoft.com/keys/microsoft.asc

wget https://packages.microsoft.com/keys/msopentech.asc

sudo apt-key add microsoft.asc && sudo apt-key add msopentech.asc

sudo apt update && sudo apt install azure-security

Эти команды применяются к RHEL и другим дистрибутивам на основе Red Hat.

echo "[packages-microsoft-com-azurecore]" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "name=packages-microsoft-com-azurecore" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "baseurl=https://packages.microsoft.com/yumrepos/azurecore/" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "enabled=1" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "gpgcheck=0" | sudo tee -a /etc/yum.repos.d/azurecore.repo

sudo yum install azure-security

Эти команды применяются к SLES, openSUSE и другим дистрибутивам на основе SUSE.

sudo zypper ar -t rpm-md -n "packages-microsoft-com-azurecore" --no-gpgcheck https://packages.microsoft.com/yumrepos/azurecore/ azurecore

sudo zypper install azure-security

После установки пакета безопасности Linux для дистрибутива выполните sbinfo команду, чтобы проверить, какие компоненты загрузки отвечают за сбои безопасной загрузки, отображая все неподписанные модули, ядра и загрузчики.

sudo sbinfo -u -m -k -b

Чтобы узнать больше о средстве диагностики SBInfo, вы можете запустить sudo sbinfo -help.

Почему я получаю ошибку мониторинга целостности загрузки?

Доверенный запуск для виртуальных машин Azure мониторится в целях защиты от сложных угроз. При обнаружении таких угроз активируется оповещение. Оповещения доступны только в том случае, если в Microsoft Defender для облака включены расширенные функции безопасности.

Microsoft Defender для облака периодически выполняет аттестацию. Если аттестация завершается ошибкой, активируется оповещение средней серьезности. Аттестация Trusted Launch может завершиться ошибкой по следующим причинам:

Аттестованная информация, включая журнал доверенной вычислительной системы (TCB), отклоняется от доверенных базовых показателей (например, если включена безопасная загрузка). Любое отклонение указывает, что ненадежные модули были загружены, и ОС может быть скомпрометирована.
Цитата аттестации не может быть проверена на происхождение из vTPM аттестованной виртуальной машины. Сбой проверки указывает, что вредоносные программы присутствуют и могут перехватывать трафик в TPM.
Расширение аттестации на виртуальной машине не отвечает. Неотвечающее расширение может указывать на атаку типа "отказ в обслуживании", проводимую вредоносными программами или системным администратором.

Сертификаты

В этом разделе содержатся сведения о сертификатах.

Как установить корень доверия с доверенными виртуальными машинами запуска?

Общедоступный сертификат TPM AK обеспечивает видимость сведений о полной цепочке сертификатов (корневых и промежуточных сертификатах) для проверки доверия к сертификату и корневой цепочке. Он предоставляет сведения о свойствах экземпляра, чтобы можно было выполнить трассировку до полной цепочки. Это обеспечивает, что вы постоянно поддерживаете наивысший уровень безопасности для функции Trusted Launch.

Инструкции по загрузке

Сертификаты пакетов, состоящие из .p7b (полный центральный удостоверяющий центр) и .cer (промежуточный УЦ), показывают подписывающий и удостоверяющий центры. Скопируйте соответствующее содержимое и используйте средства для проверки и оценки сведений о сертификатах.

Выберите и скачайте сертификат .crt для корневого центра сертификации Azure Virtual TPM 2023

Корневой центр сертификации Azure Virtual TPM 2023

Выберите, чтобы просмотреть содержимое .p7b

Глобальный виртуальный ЦС TPM CA — 01

Выберите, чтобы просмотреть содержимое сертификата .cert для корневого сертификата

Корневой центр сертификации Azure Virtual TPM 2023

Выберите, чтобы просмотреть промежуточное содержимое Центра сертификации

Промежуточный центр сертификации для сертификата TPM:

"Global Virtual TPM CA - XX" (intermediate CA) [.cer], 
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

Intermediate Certificate Authority

Thumbprint # db1f3959dcce7091f87c43446be1f4ab2d3415b7
Serial Number # 3300000002c0d17b4b8f979c35000000000002
Valid Until # November 3rd, 2025

Какие доверенные сертификаты Майкрософт встроены в виртуальные машины Azure?

Для виртуальных машин Windows сертификат ЦС Windows встроен в встроенное ПО UEFI. Для виртуальных машин Linux сертификат ЦС Microsoft UEFI встроен в прошивку UEFI. Только для виртуальных машин Azure Linux, сертификат добавляется также в встроенное ПО UEFI для всех дистрибутивов Linux. Linux Kmod PCA используется для подписи модулей ядра, принадлежащих Майкрософт.

Сертификат PCA для Linux Kmod добавляется, чтобы упростить взаимодействие с клиентом при использовании решений Майкрософт, таких как Azure Site Recovery (ASR), который устанавливает модуль ядра. Модуль ядра ASR загружается без каких-либо действий клиента для предоставления ключа, так как модуль ядра ASR подписан с помощью доверенного сертификата "Azure Services Linux Kmod PCA".

Инструкции по загрузке

Сертификаты пакетов, состоящие из .p7b и .cer, показывают центр сертификации и подписи. Скопируйте соответствующее содержимое и используйте средства для проверки и оценки сведений о сертификатах.

Выберите, чтобы скачать файл .crt для Центра сертификации Microsoft Windows

Центр сертификации Microsoft Windows

Выберите, чтобы скачать .crt файл для центра сертификации Microsoft UEFI

ЦС Microsoft UEFI

Нажмите, чтобы просмотреть содержимое .p7b

Сертификат PCA для Linux kmod в службах Azure:

Поделиться через

Часто задаваемые вопросы о доверенном запуске

Случаи использования

Почему следует использовать доверенный запуск? От чего защищает доверенный запуск?

Каковы различия между безопасной загрузкой и измеренной загрузкой?

Как доверенный запуск сравнивается с экранируемой виртуальной машиной Hyper-V?

Что такое гостевое состояние виртуальной машины?

Можно ли отключить доверенный запуск для нового развертывания виртуальной машины?

Поддерживаемые функции и развертывания

Поддерживается ли Галерея вычислений Azure функцией Trusted Launch?

Поддерживается ли Azure Backup доверенным запуском?

Будет ли Azure Backup продолжать работу после включения доверенного запуска?

Поддерживаются ли временные диски ОС доверенным запуском?

Доступны ли функции безопасности с доверенным запуском, применимым к дискам данных?

Можно ли восстановить виртуальную машину с помощью резервных копий, сделанных до включения доверенного запуска?

Как найти размеры виртуальных машин, поддерживающие доверенный запуск?

Как проверить, поддерживает ли образ ОС доверенный запуск?

Образы ОС Marketplace

Образ ОС в галерее вычислений Azure

Как внешние драйверы связи работают с доверенными виртуальными машинами запуска?

Устранение неполадок

Что делать, если у виртуальной машины доверенного запуска сбои развертывания?

Почему виртуальная машина доверенного запуска не загружается правильно?

Как выявить сценарий, когда система не загружается, в портале Azure?

Почему виртуальная машина доверенного запуска отображает 50 МБ меньше памяти?

Проверка сбоев безопасной загрузки

Виртуальные машины Linux

Почему я получаю ошибку мониторинга целостности загрузки?

Сертификаты

Как установить корень доверия с доверенными виртуальными машинами запуска?

Инструкции по загрузке

Какие доверенные сертификаты Майкрософт встроены в виртуальные машины Azure?

Инструкции по загрузке

Обратная связь

Дополнительные ресурсы