Vanliga frågor och svar om betrodd start

Artikel
10/24/2024

Varning

Den här artikeln refererar till CentOS, en Linux-distribution som närmar sig EOL-status (end-of-life). Överväg att använda och planera i enlighet med detta. Mer information finns i CentOS EOL-vägledningen.

Vanliga frågor och svar om användningsfall för Azure Trusted Launch-funktioner, stöd för andra Azure-funktioner och korrigeringar för vanliga fel.

Användningsfall

Det här avsnittet besvarar frågor om användningsfall för betrodd start.

Varför ska jag använda betrodd start? Vad skyddar trusted launch mot?

Betrodd start skyddar mot startpaket, rootkits och skadlig kod på kernelnivå. Dessa avancerade typer av skadlig kod körs i kernelläge och förblir dolda för användare. Till exempel:

Rootkits för inbyggd programvara: Dessa satser skriver över den inbyggda programvaran för den virtuella datorn (VM) BIOS, så att rootkit kan starta före operativsystemet (OS).
Startpaket: Dessa satser ersätter operativsystemets startladdare så att den virtuella datorn läser in startpaketet före operativsystemet.
Kernel rootkits: Dessa satser ersätter en del av OS-kerneln, så att rootkit kan starta automatiskt när operativsystemet läses in.
Drivrutinsrotkit: Dessa kit låtsas vara en av de betrodda drivrutiner som operativsystemet använder för att kommunicera med den virtuella datorns komponenter.

Vilka är skillnaderna mellan säker start och uppmätt start?

I en säker startkedja kontrollerar varje steg i startprocessen en kryptografisk signatur för efterföljande steg. BIOS kontrollerar till exempel en signatur på inläsaren och inläsaren kontrollerar signaturer på alla kernelobjekt som den läser in och så vidare. Om något av objekten komprometteras matchar inte signaturen och den virtuella datorn startar inte. Mer information finns i Säker start.

Hur skiljer sig betrodd start från hyper-V-avskärmad virtuell dator?

Hyper-V-skärmad virtuell dator är för närvarande endast tillgänglig på Hyper-V. Hyper-V-avskärmad virtuell dator distribueras vanligtvis med skyddad infrastrukturresurs. A Guarded Fabric består av en värdskyddstjänst (HGS), en eller flera skyddade värdar och en uppsättning avskärmade virtuella datorer. Avskärmade virtuella Hyper-V-datorer används i infrastrukturresurser där data och tillstånd för den virtuella datorn måste skyddas från olika aktörer. Dessa aktörer är både infrastrukturadministratörer och ej betrodda program som kan köras på Hyper-V-värdarna.

Betrodd start kan å andra sidan distribueras som en fristående virtuell dator eller som vm-skalningsuppsättningar i Azure utan någon annan distribution och hantering av HGS. Alla funktioner för betrodd start kan aktiveras med en enkel ändring i distributionskoden eller en kryssruta i Azure Portal.

Vad är vm-gästtillstånd (VMGS)?

Vm-gästtillstånd (VMGS) är specifikt för betrodda virtuella startdatorer. Det är en blob som hanteras av Azure och innehåller UEFI-signaturdatabaser (Unified Extensible Firmware Interface) och annan säkerhetsinformation. Livscykeln för VMGS-bloben är kopplad till OS-diskens.

Kan jag inaktivera Betrodd start för en ny distribution av virtuell dator?

Betrodda virtuella startdatorer ger dig grundläggande beräkningssäkerhet. Vi rekommenderar att du inte inaktiverar dem för distributioner av nya vm- eller vm-skalningsuppsättningar, förutom om dina distributioner är beroende av:

Du kan använda parametern securityType med Standard värdet för att inaktivera betrodd start i nya vm- eller vm-skalningsuppsättningsdistributioner med hjälp av Azure PowerShell (v10.3.0+) och Azure CLI (v2.53.0+).

Kommentar

Vi rekommenderar inte att du inaktiverar säker start om du inte använder anpassad osignerad kernel eller drivrutiner.

Om du behöver inaktivera säker start avmarkerar du alternativet Aktivera säker start under den virtuella datorns konfiguration.

CLI
PowerShell

az vm create -n MyVm -g MyResourceGroup --image Ubuntu2204 `
    --security-type 'Standard'

$adminUsername = <USER NAME>
$adminPassword = <PASSWORD> | ConvertTo-SecureString -AsPlainText -Force
$vmCred = New-Object System.Management.Automation.PSCredential($adminUsername, $adminPassword)
New-AzVM -Name MyVm -Credential $vmCred -SecurityType Standard

Funktioner och distributioner som stöds

I det här avsnittet beskrivs funktioner och distributioner som stöds av betrodd start.

Stöds Azure Compute-galleriet av betrodd start?

Med betrodd start kan bilder nu skapas och delas via Azure Compute Gallery (tidigare delat bildgalleri). Bildkällan kan vara:

En befintlig virtuell Azure-dator som antingen är generaliserad eller specialiserad.
En befintlig hanterad disk eller en ögonblicksbild.
En virtuell hårddisk eller en avbildningsversion från ett annat galleri.

Mer information om hur du distribuerar en betrodd virtuell dator med hjälp av Azure Compute-galleriet finns i Distribuera betrodda virtuella startdatorer.

Stöds Azure Backup av Trusted Launch?

Trusted Launch stöder nu Azure Backup. Mer information finns i Supportmatris för säkerhetskopiering av virtuella Azure-datorer.

Kommer Azure Backup att fortsätta att fungera när jag har aktiverat betrodd start?

Säkerhetskopior som konfigurerats med den utökade principen fortsätter att göra säkerhetskopior av virtuella datorer när du har aktiverat betrodd start.

Stöds tillfälliga OS-diskar av betrodd start?

Trusted Launch stöder tillfälliga OS-diskar. Mer information finns i Betrodd start för tillfälliga OS-diskar.

Kommentar

När du använder tillfälliga diskar för betrodda virtuella startdatorer kanske nycklar och hemligheter som genereras eller förseglas av den virtuella betrodda plattformsmodulen (vTPM) när den virtuella datorn har skapats inte bevaras mellan åtgärder som återskapande och plattformshändelser som tjänståterställning.

Är säkerhetsfunktioner tillgängliga med betrodd start även för datadiskar?

Betrodd start ger grundläggande säkerhet för operativsystem som finns på en virtuell dator genom att intyga dess startintegritet. Betrodda startsäkerhetsfunktioner gäller endast för att köra OS- och OS-diskar, de gäller inte för datadiskar eller OS-binärfiler som lagras i datadiskar. Mer information finns i Översikt över betrodd start

Kan en virtuell dator återställas med hjälp av säkerhetskopior som gjordes innan betrodd start aktiverades?

Säkerhetskopior som görs innan du uppgraderar en befintlig virtuell dator av generation 2 till Betrodd start kan användas för att återställa hela den virtuella datorn eller enskilda datadiskar. De kan inte användas för att återställa eller ersätta endast OS-disken.

Hur hittar jag VM-storlekar som stöder betrodd start?

Se listan över vm-storlekar för generation 2 som stöder betrodd start.

Använd följande kommandon för att kontrollera om storleken på en virtuell generation 2-dator inte stöder betrodd start.

CLI
PowerShell

subscription="<yourSubID>"
region="westus"
vmSize="Standard_NC12s_v3"

az vm list-skus --resource-type virtualMachines  --location $region --query "[?name=='$vmSize'].capabilities" --subscription $subscription

$region = "southeastasia"
$vmSize = "Standard_M64"
(Get-AzComputeResourceSku | where {$_.Locations.Contains($region) -and ($_.Name -eq $vmSize) })[0].Capabilities

Svaret liknar följande formulär. Utdata som innehåller TrustedLaunchDisabled True anger att storleken på den virtuella datorn generation 2 inte stöder betrodd start. Om det är en vm-storlek för generation 2 och TrustedLaunchDisabled inte ingår i utdata stöds betrodd start för den virtuella datorns storlek.

Name                                         Value
----                                         -----
MaxResourceVolumeMB                          8192000
OSVhdSizeMB                                  1047552
vCPUs                                        64
MemoryPreservingMaintenanceSupported         False
HyperVGenerations                            V1,V2
MemoryGB                                     1000
MaxDataDiskCount                             64
CpuArchitectureType                          x64
MaxWriteAcceleratorDisksAllowed              8
LowPriorityCapable                           True
PremiumIO                                    True
VMDeploymentTypes                            IaaS
vCPUsAvailable                               64
ACUs                                         160
vCPUsPerCore                                 2
CombinedTempDiskAndCachedIOPS                80000
CombinedTempDiskAndCachedReadBytesPerSecond  838860800
CombinedTempDiskAndCachedWriteBytesPerSecond 838860800
CachedDiskBytes                              1318554959872
UncachedDiskIOPS                             40000
UncachedDiskBytesPerSecond                   1048576000
EphemeralOSDiskSupported                     True
EncryptionAtHostSupported                    True
CapacityReservationSupported                 False
TrustedLaunchDisabled                        True
AcceleratedNetworkingEnabled                 True
RdmaEnabled                                  False
MaxNetworkInterfaces                         8

Hur kan jag verifiera att min OS-avbildning har stöd för betrodd start?

Se listan över operativsystemversioner som stöds med betrodd start.

Os-avbildningar på Marketplace

Använd följande kommandon för att kontrollera om en Azure Marketplace OS-avbildning stöder betrodd start.

CLI
PowerShell

az vm image show --urn "MicrosoftWindowsServer:WindowsServer:2022-datacenter-azure-edition:latest"

Svaret liknar följande formulär. Om hyperVGeneration är v2 och SecurityType innehåller TrustedLaunch i utdata stöder avbildningen av operativsystemet generation 2 betrodd start.

{
  "architecture": "x64",
  "automaticOsUpgradeProperties": {
    "automaticOsUpgradeSupported": false
  },
  "dataDiskImages": [],
  "disallowed": {
    "vmDiskType": "Unmanaged"
  },
  "extendedLocation": null,
  "features": [
    {
      "name": "SecurityType",
      "value": "TrustedLaunchAndConfidentialVmSupported"
    },
    {
      "name": "IsAcceleratedNetworkSupported",
      "value": "True"
    },
    {
      "name": "DiskControllerTypes",
      "value": "SCSI, NVMe"
    },
    {
      "name": "IsHibernateSupported",
      "value": "True"
    }
  ],
  "hyperVGeneration": "V2",
  "id": "/Subscriptions/00000000-0000-0000-0000-00000000000/Providers/Microsoft.Compute/Locations/westus/Publishers/MicrosoftWindowsServer/ArtifactTypes/VMImage/Offers/WindowsServer/Skus/2022-datacenter-azure-edition/Versions/20348.1906.230803",
  "imageDeprecationStatus": {
    "alternativeOption": null,
    "imageState": "Active",
    "scheduledDeprecationTime": null
  },
  "location": "westus",
  "name": "20348.1906.230803",
  "osDiskImage": {
    "operatingSystem": "Windows",
    "sizeInGb": 127
  },
  "plan": null,
  "tags": null
}

Get-AzVMImage -Skus 22_04-lts-gen2 -PublisherName Canonical -Offer 0001-com-ubuntu-server-jammy -Location westus3 -Version latest

Du kan använda utdata från kommandot med Virtuella datorer – Hämta API. Svaret liknar följande formulär. Om hyperVGeneration är v2 och SecurityType innehåller TrustedLaunch i utdata stöder avbildningen av operativsystemet generation 2 betrodd start.

{
    "properties": {
        "hyperVGeneration": "V2",
        "architecture": "x64",
        "replicaType": "Managed",
        "replicaCount": 10,
        "disallowed": {
            "vmDiskType": "Unmanaged"
        },
        "automaticOSUpgradeProperties": {
            "automaticOSUpgradeSupported": false
        },
        "imageDeprecationStatus": {
            "imageState": "Active"
        },
        "features": [
            {
                "name": "SecurityType",
                "value": "TrustedLaunchSupported"
            },
            {
                "name": "IsAcceleratedNetworkSupported",
                "value": "True"
            },
            {
                "name": "DiskControllerTypes",
                "value": "SCSI, NVMe"
            },
            {
                "name": "IsHibernateSupported",
                "value": "True"
            }
        ],
        "osDiskImage": {
            "operatingSystem": "Linux",
            "sizeInGb": 30
        },
        "dataDiskImages": []
    },
    "location": "WestUS3",
    "name": "22.04.202309080",
    "id": "/Subscriptions/00000000-0000-0000-0000-000000000000/Providers/Microsoft.Compute/Locations/WestUS3/Publishers/Canonical/ArtifactTypes/VMImage/Offers/0001-com-ubuntu-server-jammy/Skus/22_04-lts-gen2/Versions/22.04.202309080"
}

Azure Compute Gallery OS-avbildning

Använd följande kommandon för att kontrollera om en Azure Compute Gallery OS-avbildning stöder betrodd start.

CLI
PowerShell

az sig image-definition show `
    --gallery-image-definition myImageDefinition `
    --gallery-name myImageGallery `
    --resource-group myImageGalleryRg

Svaret liknar följande formulär. Om hyperVGeneration är v2 och SecurityType innehåller TrustedLaunch i utdata stöder avbildningen av operativsystemet generation 2 betrodd start.

{
  "architecture": "x64",
  "features": [
    {
      "name": "SecurityType",
      "value": "TrustedLaunchSupported"
    }
  ],
  "hyperVGeneration": "V2",
  "id": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myImageGalleryRg/providers/Microsoft.Compute/galleries/myImageGallery/images/myImageDefinition",
  "identifier": {
    "offer": "myImageDefinition",
    "publisher": "myImageDefinition",
    "sku": "myImageDefinition"
  },
  "location": "westus3",
  "name": "myImageDefinition",
  "osState": "Generalized",
  "osType": "Windows",
  "provisioningState": "Succeeded",
  "recommended": {
    "memory": {
      "max": 32,
      "min": 1
    },
    "vCPUs": {
      "max": 16,
      "min": 1
    }
  },
  "resourceGroup": "myImageGalleryRg",
  "tags": {},
  "type": "Microsoft.Compute/galleries/images"
}

Get-AzGalleryImageDefinition -ResourceGroupName myImageGalleryRg `
    -GalleryName myImageGallery -GalleryImageDefinitionName myImageDefinition

Svaret liknar följande formulär. Om hyperVGeneration är v2 och SecurityType innehåller TrustedLaunch i utdata stöder avbildningen av operativsystemet generation 2 betrodd start.

ResourceGroupName : myImageGalleryRg
OsType            : Windows
OsState           : Generalized
HyperVGeneration  : V2
Identifier        :
  Publisher       : myImageDefinition
  Offer           : myImageDefinition
  Sku             : myImageDefinition
Recommended       :
  VCPUs           :
    Min           : 1
    Max           : 16
  Memory          :
    Min           : 1
    Max           : 32
ProvisioningState : Succeeded
Id                : /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myImageGalleryRg/providers/Microsoft.Compute/galleries/myImageGallery/images/myImageDefinition
Name              : myImageDefinition
Type              : Microsoft.Compute/galleries/images
Location          : westus3
Tags              : {}
Features[0]       :
  Name            : SecurityType
  Value           : TrustedLaunchSupported
Architecture      : x64

Hur fungerar externa kommunikationsdrivrutiner med betrodda virtuella startdatorer?

Om du lägger till COM-portar måste du inaktivera säker start. COM-portar är inaktiverade som standard i betrodda virtuella startdatorer.

Felsökningsproblem

Det här avsnittet besvarar frågor om specifika tillstånd, starttyper och vanliga startproblem.

Vad ska jag göra när den virtuella datorn för betrodd start har distributionsfel?

Det här avsnittet innehåller ytterligare information om distributionsfel med betrodd start så att du kan vidta lämpliga åtgärder för att förhindra dem.

Virtual machine <vm name> failed to create from the selected snapshot because the virtual Trusted Platform Module (vTPM) state is locked.
To proceed with the VM creation, please select a different snapshot without a locked vTPM state.
For more assistance, please refer to “Troubleshooting locked vTPM state” in FAQ page at https://aka.ms/TrustedLaunch-FAQ.

Det här distributionsfelet inträffar när den angivna ögonblicksbilden eller återställningspunkten är otillgänglig eller oanvändbar av följande skäl:

Skadat gästtillstånd för virtuell dator (VMGS)
vTPM i låst tillstånd
Ett eller flera kritiska vTPM-index är i ett ogiltigt tillstånd.

Ovanstående kan inträffa om en användare eller arbetsbelastning som körs på den virtuella datorn anger låset på vTPM eller ändrar kritiska vTPM-index som lämnar vTPM i ett ogiltigt tillstånd.

Om du försöker igen med samma ögonblicksbild/återställningspunkt resulterar det i samma fel.

Lösning:

På den virtuella källdatorn för betrodd start där ögonblicksbilden eller återställningspunkten genererades måste vTPM-felen åtgärdas.
1. Om vTPM-tillståndet ändrades av en arbetsbelastning på den virtuella datorn måste du använda samma för att kontrollera feltillstånden och föra vTPM till ett icke-feltillstånd.
2. Om TPM-verktyg användes för att ändra vTPM-tillståndet bör du använda samma verktyg för att kontrollera feltillstånden och föra vTPM till ett icke-feltillstånd.

När ögonblicksbilden eller återställningspunkten är fri från dessa fel kan du använda den för att skapa en ny virtuell dator med betrodd start.

Varför startas inte den betrodda virtuella datorn för start på rätt sätt?

Om osignerade komponenter identifieras från UEFI (inbyggda gästprogram), startladdare, operativsystem eller startdrivrutiner startar inte en betrodd virtuell dator med start. Inställningen Säker start på den betrodda startdatorn kan inte startas om osignerade eller ej betrodda startkomponenter påträffas under startprocessen och rapporter som ett fel vid säker start.

Skärmbild som visar pipelinen Betrodd start från Säker start till drivrutiner från tredje part.

Kommentar

Betrodda virtuella startdatorer som skapas direkt från en Azure Marketplace-avbildning bör inte stöta på fel med säker start. Azure Compute Gallery-avbildningar med en ursprunglig bildkälla på Azure Marketplace och ögonblicksbilder som skapats från betrodda virtuella startdatorer bör inte heller stöta på dessa fel.

Hur verifierar jag ett scenario utan start i Azure Portal?

När en virtuell dator blir otillgänglig från ett fel med säker start innebär "no-boot" att den virtuella datorn har en OS-komponent som är signerad av en betrodd utfärdare, vilket blockerar start av en betrodd virtuell startdator. Vid distribution av virtuella datorer kan du se information från resurshälsan i Azure Portal som anger att det finns ett valideringsfel i Säker start.

Om du vill komma åt resurshälsa från konfigurationssidan för den virtuella datorn går du till Resource Health i hjälpfönstret.

Om du har verifierat att no-boot orsakades av ett fel med säker start:

Avbildningen som du använder är en äldre version som kan ha en eller flera ej betrodda startkomponenter och som är på en utfasningssökväg. Om du vill åtgärda en inaktuell avbildning uppdaterar du till en nyare avbildningsversion som stöds.
Avbildningen som du använder kan ha skapats utanför en marketplace-källa eller så har startkomponenterna ändrats och innehåller osignerade eller ej betrodda startkomponenter. Information om hur du kontrollerar om avbildningen har osignerade eller ej betrodda startkomponenter finns i följande avsnitt, "Verifiera fel vid säker start".
Om de föregående två scenarierna inte gäller är den virtuella datorn potentiellt infekterad med skadlig kod (bootkit/rootkit). Överväg att ta bort den virtuella datorn och återskapa en ny virtuell dator från samma källavbildning medan du utvärderar all programvara som installeras.

Varför visar min virtuella dator för betrodd start 50 MB mindre minne?

Med Betrodd start skapas en körningsmiljö som ofta kallas "paravisor" och körs i den virtuella datorn. Vanligtvis används cirka 50 MB minne av paravisorn och visas som "reserverad" i gästoperativsystemet.

Verifiera fel vid säker start

Det här avsnittet hjälper dig att verifiera fel med säker start.

Virtuella Linux-datorer

Om du vill kontrollera vilka startkomponenter som är ansvariga för fel med säker start på en virtuell Azure Linux-dator kan du använda SBInfo-verktyget från Linux-säkerhetspaketet.

Inaktivera Säker start.
Anslut till din virtuella Azure Linux-dator för betrodd start.
Installera SBInfo-verktyget för den distribution som den virtuella datorn körs på. Den finns i Linux-säkerhetspaketet.

Dessa kommandon gäller för Ubuntu, Debian och andra Debianbaserade distributioner.

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ trusty main" | sudo tee -a /etc/apt/sources.list.d/azure.list

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ xenial main" | sudo tee -a /etc/apt/sources.list.d/azure.list

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ bionic main" | sudo tee -a /etc/apt/sources.list.d/azure.list

wget https://packages.microsoft.com/keys/microsoft.asc

wget https://packages.microsoft.com/keys/msopentech.asc

sudo apt-key add microsoft.asc && sudo apt-key add msopentech.asc

sudo apt update && sudo apt install azure-security

Dessa kommandon gäller för RHEL, CentOS och andra Red Hat-baserade distributioner.

echo "[packages-microsoft-com-azurecore]" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "name=packages-microsoft-com-azurecore" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "baseurl=https://packages.microsoft.com/yumrepos/azurecore/" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "enabled=1" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "gpgcheck=0" | sudo tee -a /etc/yum.repos.d/azurecore.repo

sudo yum install azure-security

Dessa kommandon gäller för SLES, openSUSE och andra SUSE-baserade distributioner.

sudo zypper ar -t rpm-md -n "packages-microsoft-com-azurecore" --no-gpgcheck https://packages.microsoft.com/yumrepos/azurecore/ azurecore

sudo zypper install azure-security

När du har installerat Linux-säkerhetspaketet för distributionen sbinfo kör du kommandot för att kontrollera vilka startkomponenter som är ansvariga för fel med säker start genom att visa alla osignerade moduler, kärnor och startladdare.

sudo sbinfo -u -m -k -b

Om du vill veta mer om diagnostikverktyget för SBInfo kan du köra sudo sbinfo -help.

Varför får jag ett övervakningsfel för startintegritet?

Betrodd start för virtuella Azure-datorer övervakas för avancerade hot. Om sådana hot identifieras utlöses en avisering. Aviseringar är endast tillgängliga om förbättrade säkerhetsfunktioner i Microsoft Defender för molnet är aktiverade.

Microsoft Defender för molnet utför regelbundet attestering. Om attesteringen misslyckas utlöses en avisering med medelhög allvarlighetsgrad. Betrott startattestering kan misslyckas av följande skäl:

Den intygade informationen, som innehåller en logg över TCB (Trusted Computing Base), avviker från en betrodd baslinje (till exempel när säker start är aktiverad). Avvikelsen anger att ej betrodda moduler lästes in och att operativsystemet kan komma att komprometteras.
Det gick inte att verifiera att attesteringsofferten kommer från den virtuella datorns virtuella dators vTPM. Verifieringsfelet indikerar att skadlig kod finns och kan fånga upp trafik till TPM.
Attesteringstillägget på den virtuella datorn svarar inte. Ett tillägg som inte svarar indikerar en överbelastningsattack av skadlig kod eller en operativsystemadministratör.

Certifikat

Det här avsnittet innehåller information om certifikat.

Hur upprättar jag roten av förtroende med betrodda virtuella startdatorer?

Det virtuella offentliga TPM AK-certifikatet ger dig insyn i information om den fullständiga certifikatkedjan (rotcertifikat och mellanliggande certifikat) som hjälper dig att verifiera förtroendet för certifikatet och rotkedjan. För att säkerställa att du kontinuerligt har den högsta säkerhetsstatusen för betrodd start innehåller den information om instansegenskaper så att du kan spåra tillbaka till hela kedjan.

Nedladdningsanvisningar

Paketcertifikat, som består av .p7b (fullständig certifikatutfärdare) och .cer (mellanliggande certifikatutfärdare), avslöjar signerings- och certifikatutfärdare. Kopiera relevant innehåll och använd certifikatverktyg för att inspektera och utvärdera information om certifikat.

Välj att ladda ned .crt som följer för Azure Virtual TPM Root Certificate Authority 2023

Azure Virtual TPM Root Certificate Authority 2023

Välj för att visa .p7b-innehållet

Global virtuell TPM CA – 01:

Välj för att visa .cert-innehållet för rotcertifikatet

Azure Virtual TPM Root Certificate Authority 2023

Välj för att visa mellanliggande CA-innehåll

Mellanliggande certifikatutfärdare för TPM-certifikat:

"Global Virtual TPM CA - XX" (intermediate CA) [.cer], 
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

Intermediate Certificate Authority

Thumbprint # db1f3959dcce7091f87c43446be1f4ab2d3415b7
Serial Number # 3300000002c0d17b4b8f979c35000000000002
Valid Until # November 3rd, 2025

Vilka Microsoft-ägda betrodda certifikat är inbyggda i virtuella Azure-datorer?

För virtuella Windows-datorer är Windows CA-certifikatet inbyggt i UEFI-inbyggd programvara. För virtuella Linux-datorer är Microsoft UEFI CA-certifikatet inbyggt i UEFI-inbyggd programvara. Endast för virtuella Azure Linux-datorer läggs ytterligare ett "Azure Services Linux Kmod PCA"-certifikat till i UEFI-inbyggd programvara för alla Linux-distributioner. Linux Kmod PCA används för att signera Microsoft-ägda kernelmoduler.

Linux Kmod PCA-certifikat läggs till för att göra kundupplevelsen smidigare när du använder Microsoft-lösningar som Azure Site Recovery (ASR) som installerar en kernelmodul. ASR-kernelmodulen läses in utan någon kundåtgärd för att ange en nyckel som ASR-kernelmodul signeras med hjälp av det betrodda "Azure Services Linux Kmod PCA"-certifikatet.

Nedladdningsanvisningar

Paketcertifikat som består av .p7b och .cer avslöjar signerings- och certifikatutfärdare. Kopiera relevant innehåll och använd certifikatverktyg för att inspektera och utvärdera information om certifikat.

Välj att ladda ned den .crt som följer för Microsoft Windows CA

Microsoft Windows CA

Välj att ladda ned .crt som följer för Microsoft UEFI CA

Microsoft UEFI CA

Välj för att visa .p7b-innehållet

Azure Services Linux kmod PCA-certifikat:

Dela via

Vanliga frågor och svar om betrodd start

Användningsfall

Varför ska jag använda betrodd start? Vad skyddar trusted launch mot?

Vilka är skillnaderna mellan säker start och uppmätt start?

Hur skiljer sig betrodd start från hyper-V-avskärmad virtuell dator?

Vad är vm-gästtillstånd (VMGS)?

Kan jag inaktivera Betrodd start för en ny distribution av virtuell dator?

Funktioner och distributioner som stöds

Stöds Azure Compute-galleriet av betrodd start?

Stöds Azure Backup av Trusted Launch?

Kommer Azure Backup att fortsätta att fungera när jag har aktiverat betrodd start?

Stöds tillfälliga OS-diskar av betrodd start?

Är säkerhetsfunktioner tillgängliga med betrodd start även för datadiskar?

Kan en virtuell dator återställas med hjälp av säkerhetskopior som gjordes innan betrodd start aktiverades?

Hur hittar jag VM-storlekar som stöder betrodd start?

Hur kan jag verifiera att min OS-avbildning har stöd för betrodd start?

Os-avbildningar på Marketplace

Azure Compute Gallery OS-avbildning

Hur fungerar externa kommunikationsdrivrutiner med betrodda virtuella startdatorer?

Felsökningsproblem

Vad ska jag göra när den virtuella datorn för betrodd start har distributionsfel?

Varför startas inte den betrodda virtuella datorn för start på rätt sätt?

Hur verifierar jag ett scenario utan start i Azure Portal?

Varför visar min virtuella dator för betrodd start 50 MB mindre minne?

Verifiera fel vid säker start

Virtuella Linux-datorer

Varför får jag ett övervakningsfel för startintegritet?

Certifikat

Hur upprättar jag roten av förtroende med betrodda virtuella startdatorer?

Nedladdningsanvisningar

Vilka Microsoft-ägda betrodda certifikat är inbyggda i virtuella Azure-datorer?

Nedladdningsanvisningar

Feedback

Ytterligare resurser