Вопросы и ответы о доверенном запуске

Статья
09/04/2024

Внимание

Эта статья ссылается на CentOS, дистрибутив Linux, который приближается к состоянию окончания срока действия (EOL). Думайте об использовании и планировании соответствующим образом. Дополнительные сведения см. в руководстве по EOL CentOS.

Часто задаваемые вопросы об использовании функций доверенного запуска Azure, поддержка других функций Azure и исправления распространенных ошибок.

Случаи использования

В этом разделе приводятся ответы на вопросы о вариантах использования для доверенного запуска.

Почему следует использовать доверенный запуск? Что защищает доверенный запуск от?

Доверенные защитники запуска от загрузочных наборов, корневых киитов и вредоносных программ на уровне ядра. Эти сложные вредоносные программы выполняются в режиме ядра и скрыты для пользователей. Например:

Rootkits встроенного ПО: эти комплекты перезаписывают встроенное ПО BIOS виртуальной машины, поэтому rootkit может запускаться до операционной системы (ОС).
Загрузочные комплекты: эти комплекты заменяют загрузчик ОПЕРАЦИОННОй системы, чтобы виртуальная машина загружала загрузочный комплект перед ОС.
Rootkits ядра: эти комплекты заменяют часть ядра ОС, поэтому rootkit может запускаться автоматически при загрузке ОС.
Коркиты драйверов: эти комплекты притворяются одним из доверенных драйверов, которые ОС использует для взаимодействия с компонентами виртуальной машины.

Каковы различия между безопасной загрузкой и измеренной загрузкой?

В цепочке безопасной загрузки каждый шаг процесса загрузки проверяет криптографическую подпись последующих шагов. Например, BIOS проверяет подпись на загрузчике, а загрузчик проверяет подписи на всех загруженных объектах ядра и т. д. Если какой-либо из объектов скомпрометирован, подпись не соответствует, и виртуальная машина не загружается. Дополнительные сведения см. в статье Безопасная загрузка.

Как доверенный запуск сравнивается с экранируемой виртуальной машиной Hyper-V?

Экранированная виртуальная машина Hyper-V сейчас доступна только в Hyper-V. Экранируемая виртуальная машина Hyper-V обычно развертывается с помощью Guarded Fabric. Защищенная структура состоит из службы защиты узла (HGS), одного или нескольких защищенных узлов и набора экранированных виртуальных машин. Экранированные виртуальные машины Hyper-V используются в структурах, где данные и состояние виртуальной машины должны быть защищены от различных субъектов. Эти субъекты являются администраторами структуры и ненадежным программным обеспечением, которое может работать на узлах Hyper-V.

С другой стороны, доверенный запуск можно развернуть как автономную виртуальную машину или как масштабируемые наборы виртуальных машин в Azure без другого развертывания и управления HGS. Все функции доверенного запуска можно включить с помощью простого изменения кода развертывания или флажка на портал Azure.

Что такое гостевое состояние виртуальной машины?

Гостевой состояние виртуальной машины (VMGS) относится к доверенным виртуальным машинам запуска. Это большой двоичный объект, управляемый Azure и содержащий унифицированный расширяемый интерфейс встроенного ПО (UEFI) и другие сведения о безопасности. Жизненный цикл большого двоичного объекта VMGS привязан к диску ОС.

Можно ли отключить доверенный запуск для нового развертывания виртуальной машины?

Доверенные виртуальные машины запуска обеспечивают базовую безопасность вычислений. Рекомендуется не отключить их для новых развертываний виртуальных машин или масштабируемых наборов виртуальных машин, за исключением случаев, если у развертываний есть зависимость:

Параметр можно использовать securityType со Standard значением, чтобы отключить доверенный запуск в новых развертываниях виртуальных машин или масштабируемых наборов виртуальных машин с помощью Azure PowerShell (версии 10.3.0+) и Azure CLI (версии 2.53.0+).

Примечание.

Мы не рекомендуем отключить безопасную загрузку, если вы не используете пользовательское ядро или драйверы без знака.

Если необходимо отключить безопасную загрузку в конфигурации виртуальной машины, снимите флажок "Включить безопасную загрузку ".

CLI
PowerShell

az vm create -n MyVm -g MyResourceGroup --image Ubuntu2204 `
    --security-type 'Standard'

$adminUsername = <USER NAME>
$adminPassword = <PASSWORD> | ConvertTo-SecureString -AsPlainText -Force
$vmCred = New-Object System.Management.Automation.PSCredential($adminUsername, $adminPassword)
New-AzVM -Name MyVm -Credential $vmCred -SecurityType Standard

Поддерживаемые функции и развертывания

В этом разделе рассматриваются поддерживаемые функции и развертывания доверенного запуска.

Поддерживается ли коллекция вычислений Azure доверенным запуском?

Доверенный запуск теперь позволяет создавать и совместно использовать образы через коллекцию вычислений Azure (ранее Общая коллекция образов). Источник изображения может быть следующим:

Существующая виртуальная машина Azure, которая является обобщенной или специализированной.
Существующий управляемый диск или моментальный снимок.
VHD или версия образа из другой коллекции.

Дополнительные сведения о развертывании виртуальной машины доверенного запуска с помощью коллекции вычислений Azure см. в статье "Развертывание виртуальных машин доверенного запуска".

Поддерживается ли Azure Backup доверенным запуском?

Доверенный запуск теперь поддерживает Azure Backup. Дополнительные сведения см. в таблице поддержки резервного копирования виртуальных машин Azure.

Будет ли Azure Backup продолжать работу после включения доверенного запуска?

Резервные копии, настроенные с помощью расширенной политики , продолжают создавать резервные копии виртуальных машин после включения доверенного запуска.

Поддерживаются ли временные диски ОС доверенным запуском?

Доверенный запуск поддерживает временные диски ОС. Дополнительные сведения см. в разделе "Доверенный запуск" для временных дисков ОС.

Примечание.

При использовании временных дисков для виртуальных машин доверенного запуска, ключей и секретов, созданных или запечатанных виртуальным доверенным платформенным модулем (vTPM) после создания виртуальной машины, может не сохраняться в таких операциях, как повторное создание и восстановление платформы, например восстановление служб.

Доступны ли функции безопасности с доверенным запуском, применимым к дискам данных?

Доверенный запуск обеспечивает базовую безопасность операционной системы, размещенной на виртуальной машине, заверив целостность загрузки. Надежные функции безопасности запуска применимы только для запуска дисков ОС и ОС, они не применимы только к дискам данных или двоичным файлам ОС, хранящимся на дисках данных. Дополнительные сведения см. в обзоре доверенного запуска

Можно ли восстановить виртуальную машину с помощью резервных копий, сделанных до включения доверенного запуска?

Резервные копии, сделанные перед обновлением существующей виртуальной машины поколения 2 до доверенного запуска , можно использовать для восстановления всей виртуальной машины или отдельных дисков данных. Их нельзя использовать для восстановления или замены только диска ОС.

Как найти размеры виртуальных машин, поддерживающие доверенный запуск?

См. список размеров виртуальных машин поколения 2, поддерживающих доверенный запуск.

Используйте следующие команды, чтобы проверить, не поддерживает ли размер виртуальной машины поколения 2.

CLI
PowerShell

subscription="<yourSubID>"
region="westus"
vmSize="Standard_NC12s_v3"

az vm list-skus --resource-type virtualMachines  --location $region --query "[?name=='$vmSize'].capabilities" --subscription $subscription

$region = "southeastasia"
$vmSize = "Standard_M64"
(Get-AzComputeResourceSku | where {$_.Locations.Contains($region) -and ($_.Name -eq $vmSize) })[0].Capabilities

Ответ похож на следующую форму. Выходные данные, которые содержат TrustedLaunchDisabled True сведения о том, что размер виртуальной машины поколения 2 не поддерживает доверенный запуск. Если это размер виртуальной машины поколения 2 и TrustedLaunchDisabled не является частью выходных данных, доверенный запуск поддерживается для этого размера виртуальной машины.

Name                                         Value
----                                         -----
MaxResourceVolumeMB                          8192000
OSVhdSizeMB                                  1047552
vCPUs                                        64
MemoryPreservingMaintenanceSupported         False
HyperVGenerations                            V1,V2
MemoryGB                                     1000
MaxDataDiskCount                             64
CpuArchitectureType                          x64
MaxWriteAcceleratorDisksAllowed              8
LowPriorityCapable                           True
PremiumIO                                    True
VMDeploymentTypes                            IaaS
vCPUsAvailable                               64
ACUs                                         160
vCPUsPerCore                                 2
CombinedTempDiskAndCachedIOPS                80000
CombinedTempDiskAndCachedReadBytesPerSecond  838860800
CombinedTempDiskAndCachedWriteBytesPerSecond 838860800
CachedDiskBytes                              1318554959872
UncachedDiskIOPS                             40000
UncachedDiskBytesPerSecond                   1048576000
EphemeralOSDiskSupported                     True
EncryptionAtHostSupported                    True
CapacityReservationSupported                 False
TrustedLaunchDisabled                        True
AcceleratedNetworkingEnabled                 True
RdmaEnabled                                  False
MaxNetworkInterfaces                         8

Как проверить, поддерживает ли образ ОС доверенный запуск?

См. список версий ОС, поддерживаемых доверенным запуском.

Образы ОС Marketplace

Используйте следующие команды, чтобы проверить, поддерживает ли образ ОС Azure Marketplace доверенный запуск.

CLI
PowerShell

az vm image show --urn "MicrosoftWindowsServer:WindowsServer:2022-datacenter-azure-edition:latest"

Ответ похож на следующую форму. Если hyperVGeneration он содержится v2 SecurityType в выходных TrustedLaunch данных, образ ОС поколения 2 поддерживает доверенный запуск.

{
  "architecture": "x64",
  "automaticOsUpgradeProperties": {
    "automaticOsUpgradeSupported": false
  },
  "dataDiskImages": [],
  "disallowed": {
    "vmDiskType": "Unmanaged"
  },
  "extendedLocation": null,
  "features": [
    {
      "name": "SecurityType",
      "value": "TrustedLaunchAndConfidentialVmSupported"
    },
    {
      "name": "IsAcceleratedNetworkSupported",
      "value": "True"
    },
    {
      "name": "DiskControllerTypes",
      "value": "SCSI, NVMe"
    },
    {
      "name": "IsHibernateSupported",
      "value": "True"
    }
  ],
  "hyperVGeneration": "V2",
  "id": "/Subscriptions/00000000-0000-0000-0000-00000000000/Providers/Microsoft.Compute/Locations/westus/Publishers/MicrosoftWindowsServer/ArtifactTypes/VMImage/Offers/WindowsServer/Skus/2022-datacenter-azure-edition/Versions/20348.1906.230803",
  "imageDeprecationStatus": {
    "alternativeOption": null,
    "imageState": "Active",
    "scheduledDeprecationTime": null
  },
  "location": "westus",
  "name": "20348.1906.230803",
  "osDiskImage": {
    "operatingSystem": "Windows",
    "sizeInGb": 127
  },
  "plan": null,
  "tags": null
}

Get-AzVMImage -Skus 22_04-lts-gen2 -PublisherName Canonical -Offer 0001-com-ubuntu-server-jammy -Location westus3 -Version latest

Выходные данные команды можно использовать с виртуальными машинами — получение API. Ответ похож на следующую форму. Если hyperVGeneration он содержится v2 SecurityType в выходных TrustedLaunch данных, образ ОС поколения 2 поддерживает доверенный запуск.

{
    "properties": {
        "hyperVGeneration": "V2",
        "architecture": "x64",
        "replicaType": "Managed",
        "replicaCount": 10,
        "disallowed": {
            "vmDiskType": "Unmanaged"
        },
        "automaticOSUpgradeProperties": {
            "automaticOSUpgradeSupported": false
        },
        "imageDeprecationStatus": {
            "imageState": "Active"
        },
        "features": [
            {
                "name": "SecurityType",
                "value": "TrustedLaunchSupported"
            },
            {
                "name": "IsAcceleratedNetworkSupported",
                "value": "True"
            },
            {
                "name": "DiskControllerTypes",
                "value": "SCSI, NVMe"
            },
            {
                "name": "IsHibernateSupported",
                "value": "True"
            }
        ],
        "osDiskImage": {
            "operatingSystem": "Linux",
            "sizeInGb": 30
        },
        "dataDiskImages": []
    },
    "location": "WestUS3",
    "name": "22.04.202309080",
    "id": "/Subscriptions/00000000-0000-0000-0000-000000000000/Providers/Microsoft.Compute/Locations/WestUS3/Publishers/Canonical/ArtifactTypes/VMImage/Offers/0001-com-ubuntu-server-jammy/Skus/22_04-lts-gen2/Versions/22.04.202309080"
}

Образ ОС коллекции вычислений Azure

Используйте следующие команды, чтобы проверить, поддерживает ли образ ОС коллекции вычислений Azure доверенный запуск.

CLI
PowerShell

az sig image-definition show `
    --gallery-image-definition myImageDefinition `
    --gallery-name myImageGallery `
    --resource-group myImageGalleryRg

{
  "architecture": "x64",
  "features": [
    {
      "name": "SecurityType",
      "value": "TrustedLaunchSupported"
    }
  ],
  "hyperVGeneration": "V2",
  "id": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myImageGalleryRg/providers/Microsoft.Compute/galleries/myImageGallery/images/myImageDefinition",
  "identifier": {
    "offer": "myImageDefinition",
    "publisher": "myImageDefinition",
    "sku": "myImageDefinition"
  },
  "location": "westus3",
  "name": "myImageDefinition",
  "osState": "Generalized",
  "osType": "Windows",
  "provisioningState": "Succeeded",
  "recommended": {
    "memory": {
      "max": 32,
      "min": 1
    },
    "vCPUs": {
      "max": 16,
      "min": 1
    }
  },
  "resourceGroup": "myImageGalleryRg",
  "tags": {},
  "type": "Microsoft.Compute/galleries/images"
}

Get-AzGalleryImageDefinition -ResourceGroupName myImageGalleryRg `
    -GalleryName myImageGallery -GalleryImageDefinitionName myImageDefinition

ResourceGroupName : myImageGalleryRg
OsType            : Windows
OsState           : Generalized
HyperVGeneration  : V2
Identifier        :
  Publisher       : myImageDefinition
  Offer           : myImageDefinition
  Sku             : myImageDefinition
Recommended       :
  VCPUs           :
    Min           : 1
    Max           : 16
  Memory          :
    Min           : 1
    Max           : 32
ProvisioningState : Succeeded
Id                : /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myImageGalleryRg/providers/Microsoft.Compute/galleries/myImageGallery/images/myImageDefinition
Name              : myImageDefinition
Type              : Microsoft.Compute/galleries/images
Location          : westus3
Tags              : {}
Features[0]       :
  Name            : SecurityType
  Value           : TrustedLaunchSupported
Architecture      : x64

Как внешние драйверы связи работают с доверенными виртуальными машинами запуска?

Для добавления COM-портов требуется отключить безопасную загрузку. COM-порты по умолчанию отключены в виртуальных машинах доверенного запуска.

Устранение неполадок

В этом разделе приводятся ответы на вопросы о конкретных состояниях, типах загрузки и распространенных проблемах загрузки.

Что делать, если у виртуальной машины доверенного запуска сбои развертывания?

В этом разделе приведены дополнительные сведения о сбоях развертывания доверенных запусков, которые позволяют предпринять надлежащие действия, чтобы предотвратить их.

Virtual machine <vm name> failed to create from the selected snapshot because the virtual Trusted Platform Module (vTPM) state is locked.
To proceed with the VM creation, please select a different snapshot without a locked vTPM state.
For more assistance, please refer to “Troubleshooting locked vTPM state” in FAQ page at https://aka.ms/TrustedLaunch-FAQ.

Эта ошибка развертывания возникает, когда указанная точка моментального снимка или восстановления недоступна или недоступна по следующим причинам:

Поврежденное состояние гостевой машины (VMGS)
VTPM в заблокированном состоянии
Один или несколько критически важных индексов vTPM находятся в недопустимом состоянии.

Это может произойти, если пользователь или рабочая нагрузка, запущенная на виртуальной машине, устанавливает блокировку vTPM или изменяет критически важные индексы vTPM, которые покидают VTPM в недопустимом состоянии.

Повторная попытка с той же точкой моментального снимка и восстановления приведет к тому же сбою.

Чтобы устранить эту проблему:

На исходной виртуальной машине доверенного запуска, в которой был создан моментальный снимок или точка восстановления, необходимо исправить ошибки vTPM.
1. Если состояние vTPM было изменено рабочей нагрузкой на виртуальной машине, необходимо использовать то же самое, чтобы проверить состояния ошибок и перенести vTPM в состояние без ошибок.
2. Если средства TPM использовались для изменения состояния vTPM, то следует использовать те же средства, чтобы проверить состояния ошибок и привести vTPM к состоянию, отличному от ошибок.

После освобождения моментального снимка или точки восстановления от этих ошибок можно использовать ее для создания виртуальной машины доверенного запуска.

Почему виртуальная машина доверенного запуска не загружается правильно?

Если неподписанные компоненты обнаружены из UEFI (гостевого встроенного ПО), загрузчика, ОС или драйверов загрузки, виртуальная машина доверенного запуска не загрузится. Параметр безопасной загрузки в виртуальной машине доверенного запуска не загружается, если во время загрузки обнаружены неподписанные или ненадежные компоненты загрузки и отчеты в качестве сбоя безопасной загрузки.

Снимок экрана: конвейер доверенного запуска из безопасной загрузки в сторонние драйверы.

Примечание.

Доверенные виртуальные машины запуска, созданные непосредственно из образа Azure Marketplace, не должны столкнуться с ошибками безопасной загрузки. Образы коллекции вычислений Azure с исходным источником образа Azure Marketplace и моментальными снимками, созданными на основе доверенных виртуальных машин запуска, также не должны столкнуться с этими ошибками.

Как проверить сценарий без загрузки в портал Azure?

Если виртуальная машина становится недоступной из сбоя безопасной загрузки, "без загрузки" означает, что виртуальная машина имеет компонент ОС, подписанный доверенным центром, который блокирует загрузку доверенной виртуальной машины запуска. В развертывании виртуальной машины могут отображаться сведения о работоспособности ресурсов в портал Azure с сообщением об ошибке проверки в безопасной загрузке.

Чтобы получить доступ к работоспособности ресурсов на странице конфигурации виртуальной машины, перейдите к Работоспособность ресурсов в области справки.

Если вы проверили, что загрузка не была вызвана сбоем безопасной загрузки:

Образ, который вы используете, является более старой версией, которая может иметь один или несколько ненадежных компонентов загрузки и находится в пути к нерекомендуемой загрузке. Чтобы устранить устаревший образ, обновите поддерживаемую более новую версию образа.
Образ, который вы используете, может быть создан вне источника Marketplace или компоненты загрузки были изменены и содержат неподписанные или ненадежные компоненты загрузки. Чтобы проверить, не подписан ли образ или ненадежные компоненты загрузки, см. в следующем разделе "Проверка сбоев безопасной загрузки".
Если предыдущие два сценария не применяются, виртуальная машина потенциально заражена вредоносными программами (bootkit/rootkit). Рассмотрите возможность удаления виртуальной машины и повторного создания виртуальной машины из одного исходного образа при оценке всего установленного программного обеспечения.

Почему виртуальная машина доверенного запуска отображает 50 МБ меньше памяти?

При использовании доверенного запуска среда выполнения, известная как "paravisor", создается и выполняется внутри виртуальной машины. Как правило, около 50 МБ памяти используется паравизором и будет отображаться как зарезервированный в гостевой операционной системе.

Проверка сбоев безопасной загрузки

В этом разделе показано, как проверить сбои безопасной загрузки.

Виртуальные машины Linux

Чтобы проверить, какие компоненты загрузки отвечают за сбои безопасной загрузки на виртуальной машине Linux Azure, можно использовать средство SBInfo из пакета безопасности Linux.

Отключите безопасную загрузку.
Подключитесь к виртуальной машине доверенного запуска Azure Linux.
Установите средство SBInfo для распространения виртуальной машины. Он находится в пакете безопасности Linux.

Эти команды применяются к дистрибутивам Ubuntu, Debian и другим дистрибутивам на основе Debian.

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ trusty main" | sudo tee -a /etc/apt/sources.list.d/azure.list

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ xenial main" | sudo tee -a /etc/apt/sources.list.d/azure.list

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ bionic main" | sudo tee -a /etc/apt/sources.list.d/azure.list

wget https://packages.microsoft.com/keys/microsoft.asc

wget https://packages.microsoft.com/keys/msopentech.asc

sudo apt-key add microsoft.asc && sudo apt-key add msopentech.asc

sudo apt update && sudo apt install azure-security

Эти команды применяются к RHEL, CentOS и другим дистрибутивам на основе Red Hat.

echo "[packages-microsoft-com-azurecore]" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "name=packages-microsoft-com-azurecore" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "baseurl=https://packages.microsoft.com/yumrepos/azurecore/" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "enabled=1" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "gpgcheck=0" | sudo tee -a /etc/yum.repos.d/azurecore.repo

sudo yum install azure-security

Эти команды применяются к SLES, openSUSE и другим дистрибутивам на основе SUSE.

sudo zypper ar -t rpm-md -n "packages-microsoft-com-azurecore" --no-gpgcheck https://packages.microsoft.com/yumrepos/azurecore/ azurecore

sudo zypper install azure-security

После установки пакета безопасности Linux для дистрибутива выполните sbinfo команду, чтобы проверить, какие компоненты загрузки отвечают за сбои безопасной загрузки, отображая все неподписанные модули, ядра и загрузчики.

sudo sbinfo -u -m -k -b

Дополнительные сведения о средстве диагностики SBInfo можно запустить sudo sbinfo -help.

Почему я получаю ошибку мониторинга целостности загрузки?

Доверенный запуск для виртуальных машин Azure отслеживается для расширенных угроз. При обнаружении таких угроз активируется оповещение. Оповещения доступны только в том случае, если в Microsoft Defender для облака включены расширенные функции безопасности.

Microsoft Defender для облака периодически выполняет аттестацию. Если аттестация завершается ошибкой, активируется оповещение средней серьезности. Аттестация доверенного запуска может завершиться ошибкой по следующим причинам:

Аттестованная информация, включая журнал доверенной вычислительной системы (TCB), отклоняется от доверенных базовых показателей (например, если включена безопасная загрузка). Любое отклонение указывает, что ненадежные модули были загружены, и ОС может быть скомпрометирована.
Кавычка аттестации не может быть проверена, чтобы она была получена из VTPM проверенной виртуальной машины. Сбой проверки указывает, что вредоносные программы присутствуют и могут перехватывать трафик в TPM.
Расширение аттестации на виртуальной машине не отвечает. Неответственное расширение указывает на атаку типа "отказ в обслуживании" вредоносными программами или администратором ОС.

Сертификаты

В этом разделе содержатся сведения о сертификатах.

Как установить корень доверия с доверенными виртуальными машинами запуска?

Общедоступный сертификат TPM AK обеспечивает видимость сведений о полной цепочке сертификатов (корневых и промежуточных сертификатах) для проверки доверия к сертификату и корневой цепочке. Чтобы убедиться, что вы постоянно имеете высокий уровень безопасности для доверенного запуска, он предоставляет сведения о свойствах экземпляра, чтобы можно было выполнить трассировку обратно в полную цепочку.

Инструкции по загрузке

Сертификаты пакетов, состоящие из P7b (полный центр сертификации) и .cer (промежуточный ЦС), показывают центр подписи и сертификации. Скопируйте соответствующее содержимое и используйте средства для проверки и оценки сведений о сертификатах.

Выберите, чтобы скачать CRT, который следует для корневого центра сертификации Azure Virtual TPM 2023

Корневой центр сертификации Azure Virtual TPM 2023

Выберите, чтобы просмотреть содержимое P7B

Глобальный виртуальный ЦС TPM — 01:

Выберите, чтобы просмотреть содержимое сертификата .cert для корневого сертификата

Корневой центр сертификации Azure Virtual TPM 2023

Выберите, чтобы просмотреть промежуточное содержимое ЦС

Промежуточный центр сертификации для сертификата TPM:

"Global Virtual TPM CA - XX" (intermediate CA) [.cer], 
-----BEGIN CERTIFICATE-----
MIIFnDCCA4SgAwIBAgITMwAAAALA0XtLj5ecNQAAAAAAAjANBgkqhkiG9w0BAQwF
ADBpMQswCQYDVQQGEwJVUzEeMBwGA1UEChMVTWljcm9zb2Z0IENvcnBvcmF0aW9u
MTowOAYDVQQDEzFBenVyZSBWaXJ0dWFsIFRQTSBSb290IENlcnRpZmljYXRlIEF1
dGhvcml0eSAyMDIzMB4XDTIzMDYwODE3NTMwNFoXDTI1MTEwMzE3NTMwNFowJTEj
MCEGA1UEAxMaR2xvYmFsIFZpcnR1YWwgVFBNIENBIC0gMDEwggEiMA0GCSqGSIb3
DQEBAQUAA4IBDwAwggEKAoIBAQC/NqouHGBovTadw1GLMQYNxWrEciPSh7gE7Vxs
fbbPCE0SfTO80OF2raLdRYN2gEWE2Dr8+TDUuAb/WBFyczhU1aHFPssg8B3/DT6p
TXlDlohLLPWkjYU+OuT1/Ls7RzjQBe2se/MJyPaIJXI6KgCwePw7EcWFChe8aCTU
MHYBG0Ju4xNlMTUd/tcu6a53CXn6Nq48umwlaJelRh+i1f0vcwB2CY/v+Rliwb/8
DM5Ed9FUHZOKyp5Vnaw9GWloM46sLQT/fdHB0jmugfNZzafkkhQAYiNL3jYNYFZH
5/IgUfYJ/yybwnwoxOdV2NV0Q2i+P5Pcb0WNGaJY47aqOj8BAgMBAAGjggF/MIIB
ezASBgNVHRMBAf8ECDAGAQH/AgEAMA4GA1UdDwEB/wQEAwICBDAXBgNVHSUEEDAO
BgVngQUIAQYFZ4EFCAMwHQYDVR0OBBYEFP/2zueowUhpKMuKS/LYgYG1bYCBMB8G
A1UdIwQYMBaAFEv+JlqUwfYzw4NIJt3z5bBksqqVMHYGA1UdHwRvMG0wa6BpoGeG
ZWh0dHA6Ly93d3cubWljcm9zb2Z0LmNvbS9wa2lvcHMvY3JsL0F6dXJlJTIwVmly
dHVhbCUyMFRQTSUyMFJvb3QlMjBDZXJ0aWZpY2F0ZSUyMEF1dGhvcml0eSUyMDIw
MjMuY3JsMIGDBggrBgEFBQcBAQR3MHUwcwYIKwYBBQUHMAKGZ2h0dHA6Ly93d3cu
bWljcm9zb2Z0LmNvbS9wa2lvcHMvY2VydHMvQXp1cmUlMjBWaXJ0dWFsJTIwVFBN
JTIwUm9vdCUyMENlcnRpZmljYXRlJTIwQXV0aG9yaXR5JTIwMjAyMy5jcnQwDQYJ
KoZIhvcNAQEMBQADggIBAEhTwx26W+Xap7zXExbAwnHYtN6kB4dIGXdgQIiQy5OQ
ltsSj2jx7qZ/af5n5OnTBQ+gXM8siVipgaAIdBkbGgOjCb6b6MTe1YpFAH4fQv8e
VwTVDziBMD0EKI30h0JbFKLdSdKe48O9Lw+T2b0PBXvMFJOSdZT7meGIkpNxSqmA
Z+RNyreLxil9knNjF5ymPT0RcGK52+MwGlElBb/jc+snhr+ZJZ1grjFky9NzjCTi
E5SG+6H3YgiHCqfXr0L3NRt/QZ5IgkuGkNPeMvn4JjevFwAhXFxBqJYJ7mY61MJu
WTdyhhoUJgzmZo1hS+GNyuMKaKBLreUwtc1y7LRH3YGGed57HbQ9bmyMdhO7x8KZ
NrBDX2/cRLzrCmpSUldmKMu9G4dpzXpde4pFMObiVFrGRq8/9HMOJwZlQvzhwQp0
PUMY/gIU5rf23n1M1M36tM5g5CEzxQUGtVaG9ABTJQ2zijD5wDo840vbznyKt3ih
imrUs+LqpPDNXyxbwvibcZidwSdhu0QmUoyYsgSP2Zff5E8ks53h2xQSM3zz2qaW
VS1vVqG4zC0EfRnO65ogPPfrtK6ZiFmVHSWP9vPkFcUNYDnYQXW/TArO/JCe2I++
GClM7AcDQwWLxcopzskGQdHNM1zMsprRRwYaVpTJH67xeNda6+Y7IOPJYTvyoXHP
-----END CERTIFICATE-----

Intermediate Certificate Authority

Thumbprint # db1f3959dcce7091f87c43446be1f4ab2d3415b7
Serial Number # 3300000002c0d17b4b8f979c35000000000002
Valid Until # November 3rd, 2025

Какие доверенные сертификаты Майкрософт встроены в виртуальные машины Azure?

Для виртуальных машин Windows сертификат ЦС Windows построен в встроенном ПО UEFI. Для виртуальных машин Linux сертификат ЦС Microsoft UEFI построен в встроенном ПО UEFI. Только для виртуальных машин Linux Azure дополнительный сертификат Linux Kmod PCA также добавляется в встроенное ПО UEFI для всех дистрибутивов Linux. Linux Kmod PCA используется для подписи модулей ядра Майкрософт.

Сертификат PCA для Linux Kmod добавляется, чтобы упростить взаимодействие с клиентом при использовании решений Майкрософт, таких как Azure Site Recovery (ASR), который устанавливает модуль ядра. Модуль ядра ASR загружается без каких-либо действий клиента для предоставления ключа, так как модуль ядра ASR подписан с помощью доверенного сертификата "Linux Kmod PCA" служб Azure.

Инструкции по загрузке

Сертификаты пакетов, состоящие из P7b и .cer показывают центр подписи и сертификации. Скопируйте соответствующее содержимое и используйте средства для проверки и оценки сведений о сертификатах.

Выберите, чтобы скачать CRT, который следует для ЦС Microsoft Windows

Центр сертификации Microsoft Windows

Выберите, чтобы скачать CRT, который следует для ЦС Microsoft UEFI

ЦС Microsoft UEFI

Выберите, чтобы просмотреть содержимое P7B

Сертификат PCA для служб Azure для Linux:

Поделиться через

Вопросы и ответы о доверенном запуске

Случаи использования

Почему следует использовать доверенный запуск? Что защищает доверенный запуск от?

Каковы различия между безопасной загрузкой и измеренной загрузкой?

Как доверенный запуск сравнивается с экранируемой виртуальной машиной Hyper-V?

Что такое гостевое состояние виртуальной машины?

Можно ли отключить доверенный запуск для нового развертывания виртуальной машины?

Поддерживаемые функции и развертывания

Поддерживается ли коллекция вычислений Azure доверенным запуском?

Поддерживается ли Azure Backup доверенным запуском?

Будет ли Azure Backup продолжать работу после включения доверенного запуска?

Поддерживаются ли временные диски ОС доверенным запуском?

Доступны ли функции безопасности с доверенным запуском, применимым к дискам данных?

Можно ли восстановить виртуальную машину с помощью резервных копий, сделанных до включения доверенного запуска?

Как найти размеры виртуальных машин, поддерживающие доверенный запуск?

Как проверить, поддерживает ли образ ОС доверенный запуск?

Образы ОС Marketplace

Образ ОС коллекции вычислений Azure

Как внешние драйверы связи работают с доверенными виртуальными машинами запуска?

Устранение неполадок

Что делать, если у виртуальной машины доверенного запуска сбои развертывания?

Почему виртуальная машина доверенного запуска не загружается правильно?

Как проверить сценарий без загрузки в портал Azure?

Почему виртуальная машина доверенного запуска отображает 50 МБ меньше памяти?

Проверка сбоев безопасной загрузки

Виртуальные машины Linux

Почему я получаю ошибку мониторинга целостности загрузки?

Сертификаты

Как установить корень доверия с доверенными виртуальными машинами запуска?

Инструкции по загрузке

Какие доверенные сертификаты Майкрософт встроены в виртуальные машины Azure?

Инструкции по загрузке

Обратная связь

Дополнительные ресурсы