Azure sanal makineleri için Güvenilen Başlatma

Applies to: ✔️ Linux VM'leri ✔️ Windows VM'leri ✔️ Esnek ölçek kümeleri ✔️ Tekdüzen ölçek kümeleri

Azure Güvenilen Başlatma, 2. Nesil sanal makinelerin (VM) güvenliğini geliştirmek için kolay bir yol sağlar. Güvenilen Başlatma, bootkit'lere, rootkit'lere ve düşük düzey kötü amaçlı yazılım saldırılarına karşı gelişmiş koruma sağlayarak gelişmiş ve kalıcı saldırı tekniklerine karşı koruma sağlar. Bağımsız olarak etkinleştirebileceğiniz çeşitli eşgüdümlü altyapı teknolojileri kullanır. Her teknoloji gelişmiş tehditlere karşı başka bir savunma katmanı ekler.

Güvenilen Başlatma hem x64 hem de Arm64 mimarileri için desteklenir.

Önemli

Sosyal haklar

  • Doğrulanmış önyükleme yükleyicileri, işletim sistemi (OS) çekirdekleri ve sürücülerle VM'leri güvenli bir şekilde dağıtın.
  • VM'lerdeki anahtarları, sertifikaları ve gizli dizileri güvenli bir şekilde koruyun.
  • Tüm önyükleme zincirinin bütünlüğü hakkında içgörüler ve güvenilirlik elde edin.
  • İş yüklerinin güvenilir ve doğrulanabilir olduğundan emin olun.

Sanal makine boyutları

Tür Desteklenen boyut aileleri Şu anda desteklenmeyen boyut aileleri Desteklenmeyen boyut aileleri
Genel amaçlı B ailesi, D ailesi, Dpsv6 serisi1, Dplsv6 serisi1 Dpsv5 serisi, Dpdsv5 serisi, Dplsv5 serisi, Dpldsv5 serisi A ailesi, Dv2 serisi, Dv3 serisi, DC-Confidential-family
Hesaplama için optimize edilmiş F ailesi, Fx ailesi Desteklenen tüm boyutlar.
Bellek için optimize edilmiş E-aile, Eb-aile, Epsv6-serisi1 Mbdsv4 boyut serisi (Önizleme) M ailesi, Mbdsv4 boyut serisi (Önizleme) hariç, EC-Confidential-family
Depolama optimize L ailesi Desteklenen tüm boyutlar.
GPU NC ailesi, ND ailesi, NV ailesi, NDasrA100_v4 serisi, NDm_A100_v4 serisi NC serisi, NV serisi, NP serisi
Yüksek Performanslı İşlem HBv2 serisi2, HBv3 serisi, HBv4 serisi, HBv5 serisi, HC serisi3, HX serisi Desteklenen tüm boyutlar.

1Güvenilir Başlatmayı destekleyen Arm64 Cobalt 100 tabanlı boyutlar.

2HBv2 serisi şu anda Güvenilen Lansman için desteklenmektedir ancak 31 Mayıs 2027'de kullanımdan kaldırılması planlanmaktadır. Yeni HPC Güvenilen Başlatma dağıtımları için HBv5 serisi, HX serisi, HBv4 serisi veya HBv3 serisi boyutları tercih edin.

3HC serisi boyutları (Standard_HC44rs, Standard_HC44-16rs, Standard_HC44-32rs) 31 Mayıs 2027'de kullanımdan kaldırılıyor. Bu tarihten sonra, kalan HC serisi VM'lerin tahsisi geri alınacak ve ücret tahakkuk etmeyecek, ayrıca HC serisi için artık SLA veya destek sağlanmayacaktır. 1 yıllık ve 3 yıllık Ayrılmış Örneklerin satışları 2 Nisan 2026'da sona erdi. Yeni HPC Güvenilen Başlatma dağıtımları için daha yüksek performans ve daha iyi fiyat performansı için HBv5 serisini veya yüksek bellekli HPC iş yükleri için HX serisini göz önünde bulundurun. Kesintiyi önlemek için HC serisini kullanımdan kaldırma tarihinden çok önce kapatmayı planlayın.

Not

  • Secure Boot özellikli Windows VM'lerdeki CUDA ve GRID sürücülerinin kurulumu ek adım gerektirmez.
  • Güvenli Önyükleme özellikli Ubuntu VM'lerine CUDA sürücüsünün yüklenmesi için ek adımlar gerekir. Daha fazla bilgi için bkz . Linux çalıştıran N serisi VM'lere NVIDIA GPU sürücüleri yükleme. Diğer Linux VM'lerine CUDA sürücülerini yüklemek için Güvenli Önyükleme devre dışı bırakılmalıdır.
  • GRID sürücüsünün yüklenmesi, Linux VM'leri için Güvenli Önyükleme'nin devre dışı bırakılabilmesini gerektirir.
  • Desteklenmeyen boyut aileleri 2. Nesil VM'leri desteklemez. Güvenilen Başlatma'nın etkinleştirilmesi için VM boyutunu eşdeğer desteklenen boyut aileleri olarak değiştirin.

Desteklenen işletim sistemleri

işletim sistemi Sürüm
Alma Linux 8, 9, 10
Linux Azure 1.0, 2.0, 3.0
Debian 11, 12, 13
Oracle Linux 8.10, 9.6, 9.7, 10.1
Red Hat Enterprise Linux 8.6, 8.8, 8.10, 9.4, 9.5, 9.6, 9.7, 9.8, 10.0, 10.1, 10.2
CIQ'dan Rocky Linux 8.6, 8.10, 9.2, 9.4, 9.5, 9.6, 9.7
SUSE Enterprise Linux 15SP3, 15SP4, 15SP5, 15SP6, 15SP7, SLES 16
Ubuntu Sunucusu 18.04 LTS, 20.04 LTS, 22.04 LTS, 24.04 LTS, 26.04 LTS
Windows 10 Pro, Enterprise, Enterprise Çoklu Oturum *
Windows 11 Pro, Enterprise, Enterprise Çoklu Oturum *
Windows Server 2016, 2019, 2022, 2022-Azure-Edition, 2025, 2025-Azure-Edition *

* Bu işletim sisteminin varyasyonları desteklenir.

Not

Desteklenen dağıtımlar ve sürümler için geçerli Arm64 Market görüntüleri kullanılırken Arm64'te Güvenilen Başlatma desteklenir. Cobalt 100 boyutları için, Azure Market'da sağlanan Arm64 görüntülerini kullanarak Güvenilen Başlatma'yı dağıtın.

Daha Fazla Bilgi

Bölgeler:

  • Tüm kamusal bölgeler
  • Tüm Azure Kamu bölgeleri
  • Tüm Azure Çin bölgeleri

Fiyatlandırma: Güvenilen Başlatma mevcut VM fiyatlandırma maliyetlerini artırmaz.

Desteklenmeyen özellikler

Şu anda Güvenilen Başlatma ile aşağıdaki VM özellikleri desteklenmez:

Güvenli Önyükleme

Trusted Launch'un kökünde, Sanal Makineniz için Güvenli Önyükleme bulunur. Platform üretici yazılımında uygulanan Güvenli Önyükleme, kötü amaçlı yazılım tabanlı rootkit'lerin ve önyükleme setlerinin yürütülmesine karşı koruma sağlar. Güvenli Önyükleme, yalnızca imzalı işletim sistemlerinin ve sürücülerin önyüklenmesini sağlamak için çalışır. VM'nizdeki yazılım yığını için bir "güven kökü" oluşturur.

Güvenli Önyükleme etkinleştirildiğinde, tüm işletim sistemi önyükleme bileşenleri (önyükleme yükleyicisi, çekirdek, çekirdek sürücüleri) güvenilir yayımcıların imzalamasını gerektirir. Hem Windows hem de önemli Linux dağıtımları Güvenli Önyüklemeyi destekler. Güvenli Önyükleme görüntünün güvenilir bir yayımcı tarafından imzalandığını doğrulayamazsa VM önyüklemesi başarısız olur. Daha fazla bilgi için, bkz. Güvenli Önyükleme.

vTPM

Güvenilen Başlatma ayrıca Azure VM'ler için sanal Güvenilen Platform Modülü(vTPM) sunar. Donanım Güvenilir Platform Modülü'nin bu sanallaştırılmış sürümü TPM2.0 belirtimiyle uyumludur. Anahtarlar ve ölçümler için ayrılmış bir güvenli kasa görevi görür.

Güvenilen Başlatma, VM'nize herhangi bir VM'nin erişimi dışında güvenli bir ortamda çalışan kendi ayrılmış TPM örneğini sağlar. vTPM, VM'nizin tüm önyükleme zincirini (UEFI, işletim sistemi, sistem ve sürücüler) ölçerek kanıtlamaya olanak tanır.

Güvenilen Başlatma, bulutta uzaktan kanıtlama gerçekleştirmek için vTPM'yi kullanır. Kanıtlamalar, platform sistem durumu denetimlerini etkinleştirir ve güven tabanlı kararlar vermek için kullanılır. Sistem durumu denetimi olarak Güvenilen Başlatma, sanal makinenizin doğru önyüklendiğini şifrelemeyle onaylayabilir.

İşlem başarısız olursa, büyük olasılıkla VM'niz yetkisiz bir bileşen çalıştırdığı için, Microsoft Defender for Cloud bütünlük uyarıları oluşturur. Uyarılar, hangi bileşenlerin bütünlük denetimlerini geçiremediğine ilişkin ayrıntıları içerir.

Sanallaştırma tabanlı güvenlik

Sanallaştırma tabanlı güvenlik (VBS), güvenli ve yalıtılmış bir bellek bölgesi oluşturmak için hiper yöneticiyi kullanır. Windows, güvenlik açıklarına ve kötü amaçlı açıklara karşı daha fazla koruma ile çeşitli güvenlik çözümleri çalıştırmak için bu bölgeleri kullanır. Güvenilen Başlatma, hiper yönetici kod bütünlüğünü (HVCI) ve Windows Defender Credential Guard'ı etkinleştirmenize olanak tanır.

HVCI, Windows çekirdek modu işlemlerini kötü amaçlı veya doğrulanmamış kodun eklenmesine ve yürütülmesine karşı koruyan güçlü bir sistem azaltma özelliğidir. Çalışmadan önce çekirdek modu sürücülerini ve ikili dosyalarını denetler ve imzasız dosyaların belleğe yüklenmesini önler. Denetimler, yürütülebilir kodun HVCI tarafından yüklenmesine izin verildikten sonra değiştirilememesini sağlar. VBS ve HVCI hakkında daha fazla bilgi için Sanallaştırma tabanlı güvenlik ve hipervizör tarafından uygulanan kod bütünlüğü'ne bakın.

Güvenilir Başlatma ve VBS ile Windows Defender Credential Guard'ı etkinleştirebilirsiniz. Credential Guard, yalnızca ayrıcalıklı sistem yazılımlarının erişimini sağlamak için şifreleri yalıtır ve korur. Gizli bilgiler ve kimlik bilgisi hırsızlığı saldırılarına, özellikle Pass-the-Hash saldırılarına, yetkisiz erişimi önler. Daha fazla bilgi için bkz . Credential Guard.

Microsoft Defender for Cloud tümleştirmesi

Güvenilir Başlatma, VM'lerinizin düzgün yapılandırıldığından emin olmak için Defender for Cloud ile tümleşiktir. Defender for Cloud uyumlu VM'leri sürekli olarak değerlendirir ve ilgili öneriler sağlar:

  • Güvenli Önyüklemeyi etkinleştirme önerisi: Güvenli Önyükleme önerisi yalnızca Güvenilen Başlatma'yı destekleyen VM'ler için geçerlidir. Defender for Cloud, Güvenli önyükleme devre dışı bırakılmış VM'leri tanımlar. Etkinleştirmek için düşük önem düzeyine sahip bir öneride bulunur.

  • vTPM etkinleştirme önerisi: vTPM, VM için etkinleştirilirse, Defender for Cloud bunu konuk kanıtlaması gerçekleştirmek ve gelişmiş tehdit desenlerini tanımlamak için kullanabilir. Defender for Cloud vTPM devre dışı bırakılmış olarak Güvenilen Başlatma'yı destekleyen VM'leri tanımlarsa, etkinleştirmek için düşük önem derecesine sahip bir öneri yayınlar.

  • Konuk Onayı uzantısının yüklenmesi önerisi: VM'nizde Güvenli Önyükleme ve vTPM etkinse ancak Konuk Onayı uzantısı yüklü değilse, Defender for Cloud düşük önem düzeyinde Konuk Onayı uzantısının yüklenmesi için önerilerde bulunur. Bu uzantı, Defender for Cloud vm'lerinizin önyükleme bütünlüğünü proaktif olarak test etmesine ve izlemesine olanak tanır. Önyükleme bütünlüğü, uzaktan kanıtlama yoluyla tasdik edilir.

  • Kanıtlama sistem durumu değerlendirmesi veya önyükleme bütünlüğünün izlenmesi: Sanal makinenizde Güvenli Önyükleme ve vTPM etkinleştirildiyse ve Kanıtlama uzantısı yüklüyse, Defender for Cloud sanal makinenizin iyi durumda önyüklendiğini uzaktan doğrulayabilir. Bu uygulama, önyükleme bütünlüğünü izleme olarak bilinir. Defender for Cloud, uzak kanıtlamanın durumunu gösteren bir değerlendirme oluşturur.

    VM'leriniz Güvenilir Başlatma ile düzgün şekilde ayarlandıysa Defender for Cloud VM sistem durumu sorunlarını algılayabilir ve sizi uyarabilir.

  • VM doğrulama hatası uyarısı: Defender for Cloud, VM'lerinizde düzenli aralıklarla doğrulama gerçekleştirir. Kanıtlama, VM'niz önyükleme yaptıktan sonra da gerçekleşir. Kanıtlama başarısız olursa orta önem derecesinde bir uyarı tetikler.

    Not

    Defender for Cloud'da ortaya çıkarılan VM istemci önyükleme kanıtlama uyarıları bilgilendirme amaçlıdır ve şu anda Defender portalında sunulmamaktadır.

    VM kanıtlama aşağıdaki nedenlerle başarısız olabilir:

    • Bir önyükleme günlüğü içeren doğrulanmış bilgiler, güvenilir bir temelden sapar. Herhangi bir sapma güvenilmeyen modüllerin yüklendiğini ve işletim sisteminin tehlikeye atıldığını gösterebilir.

    • Attestasyon cümlesinin doğrulanan VM'nin vTPM'sinden geldiği doğrulanamadı. Doğrulanmamış bir kaynak, kötü amaçlı yazılımın mevcut olduğunu ve vTPM'ye gelen trafiği kesebileceğini gösterebilir.

      Not

      vTPM'nin etkinleştirildiği ve Kanıtlama uzantısının yüklü olduğu VM'ler için uyarılar kullanılabilir. Kanıtlamanın geçmesi için Güvenli Önyükleme etkinleştirilmelidir. Güvenli Önyükleme devre dışı bırakılırsa kanıtlama başarısız olur. Güvenli Önyükleme'yi devre dışı bırakmanız gerekiyorsa, hatalı pozitif sonuçları önlemek için bu uyarıyı gizleyebilirsiniz.

  • Güvenilmeyen Linux çekirdek modülü için uyarı: Güvenli Önyükleme etkinleştirilmiş Güvenilir Başlatma ile, bir çekirdek sürücüsü doğrulama başarısız olsa ve yüklenmesi yasaklanmış olsa dahi, bir VM'nin önyükleme yapması mümkündür. Çekirdek sürücüsü doğrulama hatası oluşursa Defender for Cloud düşük önem derecesinde uyarılar oluşturur. Güvenilmeyen sürücü yüklenmediğinden anında bir tehdit olmasa da bu olaylar araştırılmalıdır. Kendinize sorun:

    • Hangi çekirdek sürücüsü başarısız oldu? Başarısız çekirdek sürücüsünü biliyor muyum ve yüklenmesini bekliyor muyum?
    • Sürücünün tam sürümü beklendiği gibi mi? Sürücü ikili dosyaları bozulmamış mı? Başarısız sürücü bir iş ortağı sürücüsüyse, iş ortağı imzasını almak için işletim sistemi uyumluluk testlerini geçti mi?

(Genel Kullanılabilirlik) Trusted Launch varsayılan olarak

Önemli

Varsayılan Olarak Güvenilen Başlatma, yeni 2. Nesil sanal makineler (VM) ve sanal makine ölçek kümeleri (ölçek kümeleri) için genel olarak kullanılabilir. TLaD, yeni 2. Nesil tabanlı Azure VM ve sanal makine ölçek kümeleri dağıtımlarının güvenlik duruşunu iyileştirmeye yönelik hızlı ve sıfır dokunmalı bir araçtır. Bu özellik için aboneliği kaydettiğinizde, Varsayılan Olarak Güvenilen Başlat, herhangi bir istemci aracı (ARM şablonu, Bicep, Terraform gibi) aracılığıyla oluşturduğunuz yeni 2. Nesil VM'leri veya ölçek kümelerini, güvenli önyükleme ve vTPM'nin varsayılan olarak etkin olduğu Güvenilir Başlatma VM'leri olarak ayarlar. Bu değişiklik, dağıtım kodunun bir parçası olarak sağlanan girişleri geçersiz kılmaz.

Azure portal, PowerShell ve CLI müşterileri Varsayılan olarak Güvenilir Başlatma'yı etkinleştirir.

TLaD'yi Etkinleştir (Varsayılan olarak Güvenilen Başlatma)

Bu özelliği iş yükleriniz için oluşturduğunuz tüm VM'lerde varsayılan olarak kullanılabilir hale getirmek için, önce özelliği TrustedLaunchByDefaultPreview sanal makine aboneliğinizdeki ad alanı altına Microsoft.Compute kaydedin. Daha fazla bilgi için bkz. Azure aboneliğinde önizleme özelliklerini ayarlama.

Güvenilen Başlatma varsayılanı ile yeni bir 2. Nesil VM veya ölçek kümesi oluşturmak için mevcut dağıtım betiğinizi Azure SDK, Terraform veya başka bir yöntemle çalıştırın.

Not

Azure portalında, CLI'de veya PowerShell'de VM oluşturma, özellik kaydedilmiş olsun ya da olmasın varsayılan olarak Güvenilen Başlatma'yı kullanır.

TLaD ile VM ve ölçek kümesi dağıtımları

Mevcut davranış

Güvenilen başlatma VM'si ve ölçek kümesi oluşturmak için dağıtıma aşağıdaki securityProfile öğesini eklemeniz gerekir:

"securityProfile": {
    "securityType": "TrustedLaunch",
    "uefiSettings": {
        "secureBootEnabled": true,
        "vTpmEnabled": true,
    }
}

Dağıtım kodunda securityProfile öğesinin olmayışı, Güvenli başlatmayı etkinleştirmeden VM ve ölçek kümesini dağıtır.

Örnekler

  • vm-windows-admincenter – Azure Resource Manager (ARM) şablonu, Güvenilir başlatmayı etkinleştirmeden 2. Nesil VM'yi dağıtır.
  • vm-simple-windows – ARM şablonu, Güvenilir başlatma VM’sini dağıtır (varsayılan olmadan securityProfile doğrudan ARM şablonuna eklenir)

Yeni davranış

API sürüm 2025-11-01 veya üzeri kullanılarak, aşağıdaki koşullar karşılanırsa dağıtılan yeni VM'ler ve ölçek kümeleri için Güvenilen Başlatma varsayılan olarak etkinleştirilir:

Listelenen koşullardan biri veya daha fazlası karşılanmazsa dağıtım varsayılan olarak Güvenilir Başlat'a ayarlanmaz ve Güvenilir Başlatma olmadan yeni bir 2. Nesil VM ve ölçek kümesi oluşturmak için başarıyla tamamlanmıştır.

securityType değerini Standard parametresine ayarlayıp 2025-11-01 veya daha yeni bir API sürümü kullanarak, VM ve ölçek kümesi dağıtımlarında varsayılan davranışı açıkça atlamayı seçebilirsiniz. Daha fazla bilgi için bkz. Yeni bir VM dağıtımı için Güvenilen Başlatma'yı devre dışı bırakabilir miyim?

Bilinen sınırlamalar

VM veya VMSS, varsayılan olarak Güvenilir başlatmaya dönüştürüldükten sonra, desteklenmeyen bir Güvenilir başlatma VM boyutu ailesine (M Serisi gibi) yeniden boyutlandırılamaz.

Güvenilen başlatma VM'sini VM boyutu ailesine yeniden boyutlandırma, Güvenilen başlatma ile desteklenmez .

Önlem olarak, lütfen kullanılabilir istemci araçlarını kullanarak (Azure portal hariç) UseStandardSecurityType özellik bayrağını Microsoft.Compute ad alanı altında kaydedin ve securityType = Standard ayarlayarak VM'yi Güvenli başlatmadan Yalnızca 2. Nesil'e (Güvensiz başlatma) geri alın.

Güvenilen Başlatma ile bir VM veya VM ölçek kümesi oluşturulduktan sonra, desteklenmeyen M serisi boyutu gibi Güvenilir Başlatma'yı desteklemeyen bir VM boyutu ailesine yeniden boyutlandıramazsınız. Desteklenmeyen bir boyut kullanmak için önce kaynağın tahsisini kaldırın ve desteklenen bir istemci aracı üzerinden Microsoft.Compute API sürüm 2025-11-01 veya üzerini kullanarak securityType değerini Standard olarak değiştirin. Bu işlem Azure portalında kullanılamaz.

TLaD'yi devre dışı bırakma

TLaD'yi devre dışı bırakmak için sanal makine aboneliğindeki Microsoft.Compute ad alanının altındaki önizleme özelliğinin TrustedLaunchByDefaultPreview kaydını kaldırın. Belirli VM'ler için, güvenlik türünü Standard olarak ayarlayarak TLaD'yi atlayabilirsiniz. Daha fazla bilgi için bkz. Önizleme özelliğinin kaydını kaldırma.

Not

Azure portal, CLI ve PowerShell varsayılan olarak özellik kaydından bağımsız olarak Güvenilir Başlatma ile 2. Nesil VM'ler oluşturur.

İlgili içerik

  • Last updated on