Güvenilen Başlatma hakkında SSS

Makale
09/04/2024

Dikkat

Bu makalede, kullanım süresi sonu (EOL) durumuna yakın bir Linux dağıtımı olan CentOS'a başvuruda bulunur. Kullanımınızı göz önünde bulundurun ve buna göre planlayın. Daha fazla bilgi için bkz . CentOS EOL kılavuzu.

Azure Güvenilen Başlatma özelliği kullanım örnekleri, diğer Azure özellikleri desteği ve yaygın hatalar için düzeltmeler hakkında sık sorulan sorular (SSS).

Kullanım örnekleri

Bu bölümde, Güvenilen Başlatma için kullanım örnekleri hakkındaki sorular yanıtlanmıştır.

Neden Güvenilen Başlatma kullanmalıyım? Güvenilen Başlatma neye karşı koruma yapar?

Güvenilen Başlatma önyükleme setlerine, rootkit'lere ve çekirdek düzeyinde kötü amaçlı yazılımlara karşı koruma sağlar. Bu gelişmiş kötü amaçlı yazılım türleri çekirdek modunda çalışır ve kullanıcılardan gizlenir. Örneğin:

Üretici yazılımı rootkit'leri: Bu kitler sanal makine (VM) BIOS'un üretici yazılımının üzerine yazılır, böylece rootkit işletim sisteminden (OS) önce başlayabilir.
Önyükleme setleri: Bu kitler işletim sisteminin önyükleme yükleyicisinin yerini alır, böylece VM önyükleme setini işletim sisteminden önce yükler.
Çekirdek rootkit'leri: Bu setler işletim sistemi çekirdeğinin bir kısmının yerini alır, böylece işletim sistemi yüklendiğinde rootkit otomatik olarak başlatılabilir.
Sürücü rootkit'leri: Bu setler, işletim sisteminin VM'nin bileşenleriyle iletişim kurmak için kullandığı güvenilir sürücülerden biri gibi davranır.

Güvenli Önyükleme ile ölçülen önyükleme arasındaki farklar nelerdir?

Güvenli Önyükleme zincirinde, önyükleme işlemindeki her adım sonraki adımların şifreleme imzasını denetler. Örneğin, BIOS yükleyicideki bir imzayı denetler ve yükleyici, yüklemiş olduğu tüm çekirdek nesnelerindeki imzaları denetler ve bu şekilde devam eder. Nesnelerden herhangi birinin güvenliği aşılırsa, imza eşleşmez ve VM önyükleme yapmaz. Daha fazla bilgi için, bkz. Güvenli Önyükleme.

Güvenilen Başlatma, Hyper-V Korumalı VM ile karşılaştırıldığında nasıldır?

Hyper-V Korumalı VM şu anda yalnızca Hyper-V'de kullanılabilir. Hyper-V Korumalı VM genellikle Korumalı Yapı ile dağıtılır. Korumalı Yapı, bir Konak Koruyucu Hizmeti (HGS), bir veya daha fazla korunan konak ve bir dizi Korumalı VM'den oluşur. Hyper-V Korumalı VM'ler, VM'nin verilerinin ve durumunun çeşitli aktörlerden korunması gereken dokularda kullanılır. Bu aktörler hem doku yöneticileri hem de Hyper-V konaklarında çalışıyor olabilecek güvenilmeyen yazılımlardır.

Öte yandan Güvenilir Başlatma, HGS'nin diğer dağıtımı ve yönetimi olmadan tek başına VM olarak veya Azure'da sanal makine ölçek kümeleri olarak dağıtılabilir. Tüm Güvenilen Başlatma özellikleri, dağıtım kodunda basit bir değişiklikle veya Azure portalında bir onay kutusuyla etkinleştirilebilir.

VM Konuk Durumu (VMGS) nedir?

VM Konuk Durumu (VMGS), Güvenilen Başlatma VM'lerine özgüdür. Azure tarafından yönetilen bir blobdur ve birleşik genişletilebilir üretici yazılımı arabirimi (UEFI) Güvenli Önyükleme imza veritabanlarını ve diğer güvenlik bilgilerini içerir. VMGS blobunun yaşam döngüsü işletim sistemi diskinin yaşam döngüsüne bağlıdır.

Yeni bir VM dağıtımı için Güvenilen Başlat'ı devre dışı bırakabilir miyim?

Güvenilen Başlatma VM'leri size temel işlem güvenliği sağlar. Dağıtımlarınızın şunlara bağımlılığı olması dışında, bunları yeni VM veya sanal makine ölçek kümesi dağıtımları için devre dışı bırakmamanızı öneririz:

Azure PowerShell (v10.3.0+) ve Azure CLI (v2.53.0+) kullanarak yeni VM veya sanal makine ölçek kümesi dağıtımlarında Güvenilen Başlatma'yı devre dışı bırakmak için parametresini değeriyle Standard kullanabilirsinizsecurityType.

Not

Özel imzasız çekirdek veya sürücüler kullanmıyorsanız Güvenli Önyükleme'yi devre dışı bırakmanızı önermeyiz.

Güvenli Önyükleme'yi devre dışı bırakmanız gerekiyorsa, VM'nin yapılandırması altında Güvenli Önyüklemeyi Etkinleştir seçeneğini temizleyin.

CLI
PowerShell

az vm create -n MyVm -g MyResourceGroup --image Ubuntu2204 `
    --security-type 'Standard'

$adminUsername = <USER NAME>
$adminPassword = <PASSWORD> | ConvertTo-SecureString -AsPlainText -Force
$vmCred = New-Object System.Management.Automation.PSCredential($adminUsername, $adminPassword)
New-AzVM -Name MyVm -Credential $vmCred -SecurityType Standard

Desteklenen özellikler ve dağıtımlar

Bu bölümde Güvenilen Başlatma ile desteklenen özellikler ve dağıtımlar ele alınmaktadır.

Azure İşlem Galerisi Güvenilen Başlatma tarafından destekleniyor mu?

Güvenilen Başlatma artık Azure İşlem Galerisi (eski adıyla Paylaşılan Görüntü Galerisi) aracılığıyla görüntülerin oluşturulmasına ve paylaşılmasına izin veriyor. Görüntü kaynağı şu olabilir:

Genelleştirilmiş veya özelleştirilmiş mevcut bir Azure VM.
Mevcut bir yönetilen disk veya anlık görüntü.
Başka bir galeriden VHD veya görüntü sürümü.

Azure İşlem Galerisi'ni kullanarak Güvenilen Başlatma VM'sini dağıtma hakkında daha fazla bilgi için bkz . Güvenilen Başlatma VM'lerini dağıtma.

Azure Backup Güvenilen Başlatma tarafından destekleniyor mu?

Güvenilen Başlatma artık Azure Backup'ı destekliyor. Daha fazla bilgi için bkz . Azure VM yedeklemesi için destek matrisi.

Güvenilen Başlatma'yı etkinleştirdikten sonra Azure Backup çalışmaya devam edecek mi?

Gelişmiş ilkeyle yapılandırılan yedeklemeler, Güvenilen Başlatma'yı etkinleştirdikten sonra VM'lerin yedeklerini almaya devam eder.

Kısa ömürlü işletim sistemi diskleri Güvenilen Başlatma tarafından destekleniyor mu?

Güvenilen Başlatma kısa ömürlü işletim sistemi disklerini destekler. Daha fazla bilgi için bkz . Kısa ömürlü işletim sistemi diskleri için Güvenilen Başlatma.

Not

Güvenilen Başlatma VM'leri için kısa ömürlü diskler kullandığınızda, VM oluşturulduktan sonra sanal Güvenilen Platform Modülü (vTPM) tarafından oluşturulan veya korumalı anahtarlar ve gizli diziler, yeniden oluşturma gibi işlemler ve hizmet düzeltmesi gibi platform olayları arasında kalıcı olmayabilir.

Güvenilir başlatma ile sağlanan güvenlik özellikleri veri diskleri için de geçerli mi?

Güvenilen başlatma, önyükleme bütünlüğünü kanıtlayarak sanal makinede barındırılan İşletim sistemi için temel güvenlik sağlar. Güvenilen başlatma güvenlik özellikleri yalnızca işletim sistemi ve işletim sistemi disklerini çalıştırmak için geçerlidir, veri disklerinde depolanan veri diskleri veya işletim sistemi ikili dosyaları için geçerli değildir. Daha fazla ayrıntı için bkz . Güvenilen başlatmaya genel bakış

Güvenilen Başlatma etkinleştirilmeden önce alınan yedeklemeler kullanılarak vm geri yüklenebilir mi?

Mevcut 2. Nesil VM'yi Güvenilir Başlatma'ya yükseltmeden önce alınan yedeklemeler, VM'nin tamamını veya tek tek veri disklerini geri yüklemek için kullanılabilir. Yalnızca işletim sistemi diskini geri yüklemek veya değiştirmek için kullanılamazlar.

Güvenilen Başlatma'yı destekleyen VM boyutlarını nasıl bulabilirim?

Güvenilen Başlatma'yı destekleyen 2. Nesil VM boyutlarının listesine bakın.

2. Nesil VM boyutunun Güvenilen Başlatma'nın desteklenip desteklemediğini denetlemek için aşağıdaki komutları kullanın.

CLI
PowerShell

subscription="<yourSubID>"
region="westus"
vmSize="Standard_NC12s_v3"

az vm list-skus --resource-type virtualMachines  --location $region --query "[?name=='$vmSize'].capabilities" --subscription $subscription

$region = "southeastasia"
$vmSize = "Standard_M64"
(Get-AzComputeResourceSku | where {$_.Locations.Contains($region) -and ($_.Name -eq $vmSize) })[0].Capabilities

Yanıt aşağıdaki forma benzer. içeren TrustedLaunchDisabled True çıkış, 2. Nesil VM boyutunun Güvenilen Başlatma'yi desteklemediğini gösterir. Bu bir 2. Nesil VM boyutuysa ve TrustedLaunchDisabled çıkışın bir parçası değilse, bu VM boyutu için Güvenilen Başlatma desteklenir.

Name                                         Value
----                                         -----
MaxResourceVolumeMB                          8192000
OSVhdSizeMB                                  1047552
vCPUs                                        64
MemoryPreservingMaintenanceSupported         False
HyperVGenerations                            V1,V2
MemoryGB                                     1000
MaxDataDiskCount                             64
CpuArchitectureType                          x64
MaxWriteAcceleratorDisksAllowed              8
LowPriorityCapable                           True
PremiumIO                                    True
VMDeploymentTypes                            IaaS
vCPUsAvailable                               64
ACUs                                         160
vCPUsPerCore                                 2
CombinedTempDiskAndCachedIOPS                80000
CombinedTempDiskAndCachedReadBytesPerSecond  838860800
CombinedTempDiskAndCachedWriteBytesPerSecond 838860800
CachedDiskBytes                              1318554959872
UncachedDiskIOPS                             40000
UncachedDiskBytesPerSecond                   1048576000
EphemeralOSDiskSupported                     True
EncryptionAtHostSupported                    True
CapacityReservationSupported                 False
TrustedLaunchDisabled                        True
AcceleratedNetworkingEnabled                 True
RdmaEnabled                                  False
MaxNetworkInterfaces                         8

İşletim sistemi görüntüm tarafından Güvenilen Başlatma'nın desteklendiğini nasıl doğrularım?

Güvenilen Başlatma ile desteklenen işletim sistemi sürümlerinin listesine bakın.

Market işletim sistemi görüntüleri

Azure Market işletim sistemi görüntüsünün Güvenilen Başlatma'nın desteklenip desteklemediğini denetlemek için aşağıdaki komutları kullanın.

CLI
PowerShell

az vm image show --urn "MicrosoftWindowsServer:WindowsServer:2022-datacenter-azure-edition:latest"

Yanıt aşağıdaki forma benzer. çıktıda ve hyperVGeneration v2 SecurityType varsa TrustedLaunch , 2. Nesil işletim sistemi görüntüsü Güvenilen Başlatma'yı destekler.

{
  "architecture": "x64",
  "automaticOsUpgradeProperties": {
    "automaticOsUpgradeSupported": false
  },
  "dataDiskImages": [],
  "disallowed": {
    "vmDiskType": "Unmanaged"
  },
  "extendedLocation": null,
  "features": [
    {
      "name": "SecurityType",
      "value": "TrustedLaunchAndConfidentialVmSupported"
    },
    {
      "name": "IsAcceleratedNetworkSupported",
      "value": "True"
    },
    {
      "name": "DiskControllerTypes",
      "value": "SCSI, NVMe"
    },
    {
      "name": "IsHibernateSupported",
      "value": "True"
    }
  ],
  "hyperVGeneration": "V2",
  "id": "/Subscriptions/00000000-0000-0000-0000-00000000000/Providers/Microsoft.Compute/Locations/westus/Publishers/MicrosoftWindowsServer/ArtifactTypes/VMImage/Offers/WindowsServer/Skus/2022-datacenter-azure-edition/Versions/20348.1906.230803",
  "imageDeprecationStatus": {
    "alternativeOption": null,
    "imageState": "Active",
    "scheduledDeprecationTime": null
  },
  "location": "westus",
  "name": "20348.1906.230803",
  "osDiskImage": {
    "operatingSystem": "Windows",
    "sizeInGb": 127
  },
  "plan": null,
  "tags": null
}

Get-AzVMImage -Skus 22_04-lts-gen2 -PublisherName Canonical -Offer 0001-com-ubuntu-server-jammy -Location westus3 -Version latest

Komutunun çıkışını Sanal makineler - Get API ile kullanabilirsiniz. Yanıt aşağıdaki forma benzer. çıktıda ve hyperVGeneration v2 SecurityType varsa TrustedLaunch , 2. Nesil işletim sistemi görüntüsü Güvenilen Başlatma'yı destekler.

{
    "properties": {
        "hyperVGeneration": "V2",
        "architecture": "x64",
        "replicaType": "Managed",
        "replicaCount": 10,
        "disallowed": {
            "vmDiskType": "Unmanaged"
        },
        "automaticOSUpgradeProperties": {
            "automaticOSUpgradeSupported": false
        },
        "imageDeprecationStatus": {
            "imageState": "Active"
        },
        "features": [
            {
                "name": "SecurityType",
                "value": "TrustedLaunchSupported"
            },
            {
                "name": "IsAcceleratedNetworkSupported",
                "value": "True"
            },
            {
                "name": "DiskControllerTypes",
                "value": "SCSI, NVMe"
            },
            {
                "name": "IsHibernateSupported",
                "value": "True"
            }
        ],
        "osDiskImage": {
            "operatingSystem": "Linux",
            "sizeInGb": 30
        },
        "dataDiskImages": []
    },
    "location": "WestUS3",
    "name": "22.04.202309080",
    "id": "/Subscriptions/00000000-0000-0000-0000-000000000000/Providers/Microsoft.Compute/Locations/WestUS3/Publishers/Canonical/ArtifactTypes/VMImage/Offers/0001-com-ubuntu-server-jammy/Skus/22_04-lts-gen2/Versions/22.04.202309080"
}

Azure İşlem Galerisi işletim sistemi görüntüsü

Azure İşlem Galerisi işletim sistemi görüntüsünün Güvenilen Başlatma'nın desteklenip desteklemediğini denetlemek için aşağıdaki komutları kullanın.

CLI
PowerShell

az sig image-definition show `
    --gallery-image-definition myImageDefinition `
    --gallery-name myImageGallery `
    --resource-group myImageGalleryRg

Yanıt aşağıdaki forma benzer. çıktıda ve hyperVGeneration v2 SecurityType varsa TrustedLaunch , 2. Nesil işletim sistemi görüntüsü Güvenilen Başlatma'yı destekler.

{
  "architecture": "x64",
  "features": [
    {
      "name": "SecurityType",
      "value": "TrustedLaunchSupported"
    }
  ],
  "hyperVGeneration": "V2",
  "id": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myImageGalleryRg/providers/Microsoft.Compute/galleries/myImageGallery/images/myImageDefinition",
  "identifier": {
    "offer": "myImageDefinition",
    "publisher": "myImageDefinition",
    "sku": "myImageDefinition"
  },
  "location": "westus3",
  "name": "myImageDefinition",
  "osState": "Generalized",
  "osType": "Windows",
  "provisioningState": "Succeeded",
  "recommended": {
    "memory": {
      "max": 32,
      "min": 1
    },
    "vCPUs": {
      "max": 16,
      "min": 1
    }
  },
  "resourceGroup": "myImageGalleryRg",
  "tags": {},
  "type": "Microsoft.Compute/galleries/images"
}

Get-AzGalleryImageDefinition -ResourceGroupName myImageGalleryRg `
    -GalleryName myImageGallery -GalleryImageDefinitionName myImageDefinition

Yanıt aşağıdaki forma benzer. çıktıda ve hyperVGeneration v2 SecurityType varsa TrustedLaunch , 2. Nesil işletim sistemi görüntüsü Güvenilen Başlatma'yı destekler.

ResourceGroupName : myImageGalleryRg
OsType            : Windows
OsState           : Generalized
HyperVGeneration  : V2
Identifier        :
  Publisher       : myImageDefinition
  Offer           : myImageDefinition
  Sku             : myImageDefinition
Recommended       :
  VCPUs           :
    Min           : 1
    Max           : 16
  Memory          :
    Min           : 1
    Max           : 32
ProvisioningState : Succeeded
Id                : /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myImageGalleryRg/providers/Microsoft.Compute/galleries/myImageGallery/images/myImageDefinition
Name              : myImageDefinition
Type              : Microsoft.Compute/galleries/images
Location          : westus3
Tags              : {}
Features[0]       :
  Name            : SecurityType
  Value           : TrustedLaunchSupported
Architecture      : x64

Dış iletişim sürücüleri Güvenilen Başlatma VM'leriyle nasıl çalışır?

COM bağlantı noktaları eklemek için Güvenli Önyükleme'yi devre dışı bırakmanız gerekir. COM bağlantı noktaları, Güvenilen Başlatma VM'lerinde varsayılan olarak devre dışı bırakılır.

Sorun giderme

Bu bölümde belirli durumlar, önyükleme türleri ve yaygın önyükleme sorunlarıyla ilgili sorular yanıtlanmıştır.

Güvenilen Başlatma VM'mde dağıtım hataları olduğunda ne yapmalıyım?

Bu bölümde, Güvenilen Başlatma dağıtım hataları ile ilgili ek ayrıntılar ve bunları önlemek için uygun eylemleri gerçekleştirmeniz sağlanır.

Virtual machine <vm name> failed to create from the selected snapshot because the virtual Trusted Platform Module (vTPM) state is locked.
To proceed with the VM creation, please select a different snapshot without a locked vTPM state.
For more assistance, please refer to “Troubleshooting locked vTPM state” in FAQ page at https://aka.ms/TrustedLaunch-FAQ.

Bu dağıtım hatası, aşağıdaki nedenlerle sağlanan anlık görüntü veya geri yükleme noktası erişilemez veya kullanılamaz olduğunda oluşur:

Bozuk sanal makine konuk durumu (VMGS)
Kilitli durumda vTPM
Bir veya daha fazla kritik vTPM dizinleri geçersiz durumda.

Sanal makinede çalışan bir kullanıcı veya iş yükü vTPM üzerindeki kilidi ayarlarsa veya vTPM'yi geçersiz durumda bırakan kritik vTPM dizinlerini değiştirirse yukarıdaki durum oluşabilir.

Aynı anlık görüntü/geri yükleme noktasıyla yeniden denemek aynı hataya neden olur.

Bunu çözmek için:

Anlık görüntü veya geri yükleme noktasının oluşturulduğu kaynak Güvenilen Başlatma VM'sinde vTPM hataları düzeltilmelidir.
1. VTPM durumu sanal makinedeki bir iş yükü tarafından değiştirildiyse, hata durumlarını denetlemek ve vTPM'yi hata olmayan bir duruma getirmek için aynı değeri kullanmanız gerekir.
2. VTPM durumunu değiştirmek için TPM araçları kullanıldıysa, hata durumlarını denetlemek ve vTPM'yi hata olmayan bir duruma getirmek için aynı araçları kullanmanız gerekir.

Anlık görüntü veya geri yükleme noktası bu hatalardan kurtulduktan sonra, yeni bir Güvenilen Başlatma VM'sini oluşturmak için bunu kullanabilirsiniz.

Güvenilen Başlatma VM'sinin önyüklemesi neden doğru değil?

UEFI (konuk üretici yazılımı), önyükleme yükleyicisi, işletim sistemi veya önyükleme sürücülerinden imzasız bileşenler algılanırsa, Güvenilen Başlatma VM'si önyüklenmez. Güvenilir Başlatma VM'sindeki Güvenli Önyükleme ayarı, önyükleme işlemi sırasında imzasız veya güvenilmeyen önyükleme bileşenleriyle karşılaşılırsa önyükleme başarısız olur ve Güvenli Önyükleme hatası olarak raporlar.

Güvenli Önyükleme'den üçüncü taraf sürücülere Güvenilen Başlatma işlem hattını gösteren ekran görüntüsü.

Not

Doğrudan bir Azure Market görüntüsünden oluşturulan Güvenilen Başlatma VM'leri Güvenli Önyükleme hatalarıyla karşılaşmamalıdır. Azure Market özgün görüntü kaynağına ve Güvenilen Başlatma VM'lerinden oluşturulan anlık görüntülere sahip Azure İşlem Galerisi görüntüleri de bu hatalarla karşılaşmamalıdır.

Azure portalında önyüklemesiz senaryoyu nasıl doğrulayabilirim?

Bir VM Güvenli Önyükleme hatasından kullanılamaz duruma geldiğinde "önyükleme yok", VM'nin güvenilen bir yetkili tarafından imzalanan ve Güvenilen Başlatma VM'sinin önyüklenmesini engelleyen bir işletim sistemi bileşenine sahip olduğu anlamına gelir. VM dağıtımında, Azure portalında Güvenli Önyükleme'de doğrulama hatası olduğunu belirten kaynak durumu bilgilerini görebilirsiniz.

VM yapılandırma sayfasından kaynak durumuna erişmek için Yardım bölmesinin altındaki Kaynak Durumu gidin.

Önyüklemenin güvenli önyükleme hatasından kaynaklandığını doğruladıysanız:

Kullandığınız görüntü, bir veya daha fazla güvenilmeyen önyükleme bileşenine sahip olabilecek eski bir sürümdür ve kullanımdan kaldırma yolundadır. Eski bir görüntüyü düzeltmek için desteklenen daha yeni bir görüntü sürümüne güncelleştirin.
Kullandığınız görüntü bir market kaynağının dışında oluşturulmuş olabilir veya önyükleme bileşenleri değiştirilmiş ve imzasız veya güvenilmeyen önyükleme bileşenleri içeriyor olabilir. Görüntünüzde imzasız veya güvenilmeyen önyükleme bileşenleri olup olmadığını doğrulamak için aşağıdaki "Güvenli Önyükleme hatalarını doğrulama" bölümüne bakın.
Yukarıdaki iki senaryo geçerli değilse VM'ye kötü amaçlı yazılım (bootkit/rootkit) bulaşmış olabilir. Yüklü olan tüm yazılımları değerlendirirken VM'yi silmeyi ve aynı kaynak görüntüden yeni bir VM oluşturmayı göz önünde bulundurun.

Güvenilen Başlatma SANAL makinem neden 50 MB daha az bellek gösteriyor?

Güvenilen Başlatma ile genellikle "paravisor" olarak bilinen bir yürütme ortamı oluşturulur ve VM içinde çalışır. Genellikle, paravisor tarafından yaklaşık 50 MB bellek kullanılır ve konuk İşletim Sistemi içinde "ayrılmış" olarak gösterilir.

Güvenli Önyükleme hatalarını doğrulama

Bu bölüm, Güvenli Önyükleme hatalarını doğrulamanıza yardımcı olur.

Linux sanal makineleri

Azure Linux VM'sinde Güvenli Önyükleme hatalarından hangi önyükleme bileşenlerinin sorumlu olduğunu doğrulamak için Linux Güvenlik Paketi'nden SBInfo aracını kullanabilirsiniz.

Güvenli Önyükleme'ye gidin.
Azure Linux Güvenilen Başlatma VM'nize bağlanın.
VM'nizin çalıştığı dağıtım için SBInfo aracını yükleyin. Linux Güvenlik Paketi'nin içinde bulunur.

Bu komutlar Ubuntu, Debian ve diğer Debian tabanlı dağıtımlar için geçerlidir.

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ trusty main" | sudo tee -a /etc/apt/sources.list.d/azure.list

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ xenial main" | sudo tee -a /etc/apt/sources.list.d/azure.list

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ bionic main" | sudo tee -a /etc/apt/sources.list.d/azure.list

wget https://packages.microsoft.com/keys/microsoft.asc

wget https://packages.microsoft.com/keys/msopentech.asc

sudo apt-key add microsoft.asc && sudo apt-key add msopentech.asc

sudo apt update && sudo apt install azure-security

Bu komutlar RHEL, CentOS ve diğer Red Hat tabanlı dağıtımlar için geçerlidir.

echo "[packages-microsoft-com-azurecore]" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "name=packages-microsoft-com-azurecore" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "baseurl=https://packages.microsoft.com/yumrepos/azurecore/" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "enabled=1" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "gpgcheck=0" | sudo tee -a /etc/yum.repos.d/azurecore.repo

sudo yum install azure-security

Bu komutlar SLES, openSUSE ve diğer SUSE tabanlı dağıtımlar için geçerlidir.

sudo zypper ar -t rpm-md -n "packages-microsoft-com-azurecore" --no-gpgcheck https://packages.microsoft.com/yumrepos/azurecore/ azurecore

sudo zypper install azure-security

Dağıtımınız için Linux Güvenlik Paketi'ni sbinfo yükledikten sonra, tüm imzasız modülleri, çekirdekleri ve önyükleme yükleyicilerini görüntüleyerek Güvenli Önyükleme hatalarından hangi önyükleme bileşenlerinin sorumlu olduğunu doğrulamak için komutunu çalıştırın.

sudo sbinfo -u -m -k -b

SBInfo tanılama aracı hakkında daha fazla bilgi edinmek için komutunu çalıştırabilirsiniz sudo sbinfo -help.

Neden önyükleme bütünlüğü izleme hatası alıyorum?

Azure VM'leri için Güvenilen Başlatma, gelişmiş tehditler için izlenir. Bu tür tehditler algılanırsa bir uyarı tetiklenir. Uyarılar yalnızca Bulut için Microsoft Defender gelişmiş güvenlik özellikleri etkinleştirildiğinde kullanılabilir.

Bulut için Microsoft Defender düzenli aralıklarla kanıtlama gerçekleştirir. Kanıtlama başarısız olursa orta önem derecesi uyarısı tetikler. Güvenilen Başlatma kanıtlaması aşağıdaki nedenlerle başarısız olabilir:

Güvenilen Bilgi İşlem Temeli'nin (TCB) günlüğünü içeren doğrulanmış bilgiler, güvenilir bir temelden (Güvenli Önyükleme etkinleştirildiğinde olduğu gibi) sapma gösterir. Herhangi bir sapma, güvenilmeyen modüllerin yüklendiğini ve işletim sisteminin güvenliğinin aşılmış olabileceğini gösterir.
Kanıtlama teklifinin doğrulanmış VM'nin vTPM'sinden kaynaklandığı doğrulanamadı. Doğrulama hatası kötü amaçlı yazılımların mevcut olduğunu ve TPM'ye yönelik trafiği kesiyor olabileceğini gösterir.
VM'deki kanıtlama uzantısı yanıt vermiyor. Yanıt vermeyen uzantı, kötü amaçlı yazılım veya işletim sistemi yöneticisi tarafından yapılan hizmet reddi saldırısını gösterir.

Sertifikalar

Bu bölüm sertifikalar hakkında bilgi sağlar.

Güvenilen Başlatma VM'leri ile güven kökünü nasıl oluşturabilirim?

Sanal TPM AK ortak sertifikası, sertifikaya ve kök zincire güveni doğrulamanıza yardımcı olmak için tam sertifika zinciri (Kök ve Ara Sertifikalar) hakkında bilgi için görünürlük sağlar. Güvenilir Başlatma için sürekli olarak en yüksek güvenlik duruşunu elde etmek için örnek özellikleri hakkında bilgi sağlar, böylece tam zincire geri dönebilirsiniz.

İndirme yönergeleri

.p7b (Tam Sertifika Yetkilisi) ve .cer (Ara CA) oluşan paket sertifikaları, imzalama ve sertifika yetkilisini gösterir. İlgili içeriği kopyalayın ve sertifikaların ayrıntılarını incelemek ve değerlendirmek için sertifika araçlarını kullanın.

Azure Sanal TPM Kök Sertifika Yetkilisi 2023 için aşağıdaki .crt dosyasını indirmek için seçin

Azure Sanal TPM Kök Sertifika Yetkilisi 2023

.p7b içeriğini görüntülemek için seçin

Genel Sanal TPM CA - 01:

Kök Sertifika için .cert içeriğini görüntülemek için seçin

Azure Sanal TPM Kök Sertifika Yetkilisi 2023

Ara CA içeriğini görüntülemek için seçin

TPM sertifikası için Ara Sertifika Yetkilisi:

"Global Virtual TPM CA - XX" (intermediate CA) [.cer], 
-----BEGIN CERTIFICATE-----
MIIFnDCCA4SgAwIBAgITMwAAAALA0XtLj5ecNQAAAAAAAjANBgkqhkiG9w0BAQwF
ADBpMQswCQYDVQQGEwJVUzEeMBwGA1UEChMVTWljcm9zb2Z0IENvcnBvcmF0aW9u
MTowOAYDVQQDEzFBenVyZSBWaXJ0dWFsIFRQTSBSb290IENlcnRpZmljYXRlIEF1
dGhvcml0eSAyMDIzMB4XDTIzMDYwODE3NTMwNFoXDTI1MTEwMzE3NTMwNFowJTEj
MCEGA1UEAxMaR2xvYmFsIFZpcnR1YWwgVFBNIENBIC0gMDEwggEiMA0GCSqGSIb3
DQEBAQUAA4IBDwAwggEKAoIBAQC/NqouHGBovTadw1GLMQYNxWrEciPSh7gE7Vxs
fbbPCE0SfTO80OF2raLdRYN2gEWE2Dr8+TDUuAb/WBFyczhU1aHFPssg8B3/DT6p
TXlDlohLLPWkjYU+OuT1/Ls7RzjQBe2se/MJyPaIJXI6KgCwePw7EcWFChe8aCTU
MHYBG0Ju4xNlMTUd/tcu6a53CXn6Nq48umwlaJelRh+i1f0vcwB2CY/v+Rliwb/8
DM5Ed9FUHZOKyp5Vnaw9GWloM46sLQT/fdHB0jmugfNZzafkkhQAYiNL3jYNYFZH
5/IgUfYJ/yybwnwoxOdV2NV0Q2i+P5Pcb0WNGaJY47aqOj8BAgMBAAGjggF/MIIB
ezASBgNVHRMBAf8ECDAGAQH/AgEAMA4GA1UdDwEB/wQEAwICBDAXBgNVHSUEEDAO
BgVngQUIAQYFZ4EFCAMwHQYDVR0OBBYEFP/2zueowUhpKMuKS/LYgYG1bYCBMB8G
A1UdIwQYMBaAFEv+JlqUwfYzw4NIJt3z5bBksqqVMHYGA1UdHwRvMG0wa6BpoGeG
ZWh0dHA6Ly93d3cubWljcm9zb2Z0LmNvbS9wa2lvcHMvY3JsL0F6dXJlJTIwVmly
dHVhbCUyMFRQTSUyMFJvb3QlMjBDZXJ0aWZpY2F0ZSUyMEF1dGhvcml0eSUyMDIw
MjMuY3JsMIGDBggrBgEFBQcBAQR3MHUwcwYIKwYBBQUHMAKGZ2h0dHA6Ly93d3cu
bWljcm9zb2Z0LmNvbS9wa2lvcHMvY2VydHMvQXp1cmUlMjBWaXJ0dWFsJTIwVFBN
JTIwUm9vdCUyMENlcnRpZmljYXRlJTIwQXV0aG9yaXR5JTIwMjAyMy5jcnQwDQYJ
KoZIhvcNAQEMBQADggIBAEhTwx26W+Xap7zXExbAwnHYtN6kB4dIGXdgQIiQy5OQ
ltsSj2jx7qZ/af5n5OnTBQ+gXM8siVipgaAIdBkbGgOjCb6b6MTe1YpFAH4fQv8e
VwTVDziBMD0EKI30h0JbFKLdSdKe48O9Lw+T2b0PBXvMFJOSdZT7meGIkpNxSqmA
Z+RNyreLxil9knNjF5ymPT0RcGK52+MwGlElBb/jc+snhr+ZJZ1grjFky9NzjCTi
E5SG+6H3YgiHCqfXr0L3NRt/QZ5IgkuGkNPeMvn4JjevFwAhXFxBqJYJ7mY61MJu
WTdyhhoUJgzmZo1hS+GNyuMKaKBLreUwtc1y7LRH3YGGed57HbQ9bmyMdhO7x8KZ
NrBDX2/cRLzrCmpSUldmKMu9G4dpzXpde4pFMObiVFrGRq8/9HMOJwZlQvzhwQp0
PUMY/gIU5rf23n1M1M36tM5g5CEzxQUGtVaG9ABTJQ2zijD5wDo840vbznyKt3ih
imrUs+LqpPDNXyxbwvibcZidwSdhu0QmUoyYsgSP2Zff5E8ks53h2xQSM3zz2qaW
VS1vVqG4zC0EfRnO65ogPPfrtK6ZiFmVHSWP9vPkFcUNYDnYQXW/TArO/JCe2I++
GClM7AcDQwWLxcopzskGQdHNM1zMsprRRwYaVpTJH67xeNda6+Y7IOPJYTvyoXHP
-----END CERTIFICATE-----

Intermediate Certificate Authority

Thumbprint # db1f3959dcce7091f87c43446be1f4ab2d3415b7
Serial Number # 3300000002c0d17b4b8f979c35000000000002
Valid Until # November 3rd, 2025

Aracılığıyla paylaş

Güvenilen Başlatma hakkında SSS

Kullanım örnekleri

Neden Güvenilen Başlatma kullanmalıyım? Güvenilen Başlatma neye karşı koruma yapar?

Güvenli Önyükleme ile ölçülen önyükleme arasındaki farklar nelerdir?

Güvenilen Başlatma, Hyper-V Korumalı VM ile karşılaştırıldığında nasıldır?

VM Konuk Durumu (VMGS) nedir?

Yeni bir VM dağıtımı için Güvenilen Başlat'ı devre dışı bırakabilir miyim?

Desteklenen özellikler ve dağıtımlar

Azure İşlem Galerisi Güvenilen Başlatma tarafından destekleniyor mu?

Azure Backup Güvenilen Başlatma tarafından destekleniyor mu?

Güvenilen Başlatma'yı etkinleştirdikten sonra Azure Backup çalışmaya devam edecek mi?

Kısa ömürlü işletim sistemi diskleri Güvenilen Başlatma tarafından destekleniyor mu?

Güvenilir başlatma ile sağlanan güvenlik özellikleri veri diskleri için de geçerli mi?

Güvenilen Başlatma etkinleştirilmeden önce alınan yedeklemeler kullanılarak vm geri yüklenebilir mi?

Güvenilen Başlatma'yı destekleyen VM boyutlarını nasıl bulabilirim?

İşletim sistemi görüntüm tarafından Güvenilen Başlatma'nın desteklendiğini nasıl doğrularım?

Market işletim sistemi görüntüleri

Azure İşlem Galerisi işletim sistemi görüntüsü

Dış iletişim sürücüleri Güvenilen Başlatma VM'leriyle nasıl çalışır?

Sorun giderme

Güvenilen Başlatma VM'mde dağıtım hataları olduğunda ne yapmalıyım?

Güvenilen Başlatma VM'sinin önyüklemesi neden doğru değil?

Azure portalında önyüklemesiz senaryoyu nasıl doğrulayabilirim?

Güvenilen Başlatma SANAL makinem neden 50 MB daha az bellek gösteriyor?

Güvenli Önyükleme hatalarını doğrulama

Linux sanal makineleri

Neden önyükleme bütünlüğü izleme hatası alıyorum?

Sertifikalar

Güvenilen Başlatma VM'leri ile güven kökünü nasıl oluşturabilirim?

İndirme yönergeleri

Geri Bildirim

Ek kaynaklar