部署已啟用可信啟動的 VM

  • 發行項

適用於： ✔️ Linux VM ✔️ Windows VM ✔️ 彈性擴展集 ✔️ 統一擴展集

可信啟動是改善 第 2 代 VM 安全性的方法。 可信啟動藉由結合 vTPM 和安全開機等基礎結構技術，防範進階和持續性攻擊技術。

必要條件

  • 您必須將訂用帳戶上線至適用於雲端的 Microsoft Defender，如果尚未這樣做的話。 適用於雲端的 Microsoft Defender 具有免費層，可為各種 Azure 和混合式資源提供非常有用的深入解析。 可信啟動會利用適用於雲端的 Defender，顯露關於 VM 健康情況的多個建議。

  • 將 Azure 原則方案指派給您的訂用帳戶。 每個訂用帳戶只需獲指派一次這些原則方案。 這會自動在所有支援的 VM 上安裝所有必要的延伸模組。

    • 設定必要條件以在已啟用可信啟動的 VM 上啟用來賓證明。

    • 設定機器以在虛擬機器上自動安裝 Azure 監視器和 Azure 安全性代理程式。

  • 允許 NSG 輸出規則中的服務標籤 AzureAttestation 允許 Microsoft Azure 證明的流量。 請參閱虛擬網路服務標籤。

  • 請確定防火牆原則允許存取 *.attest.azure.net。

注意

如果您使用 Linux 映像，並預期 VM 可能具有未簽署或未由 Linux 散發版本廠商簽署的核心驅動程式，則您可能想要考慮關閉安全開機。 在 Azure 入口網站的 [建立虛擬機] 頁面的 [安全性類型] 參數中，選取 [可信啟動虛擬機器]，按兩下 [設定安全性功能]，然後取消核取 [啟用安全開機] 核取方塊。 在 CLI、PowerShell 或 SDK 中，將安全開機參數設定為 false。

部署可信啟動 VM

建立已啟用可信啟動的虛擬機器。 選擇下列選項：

  1. 登入 Azure 入口網站。
  2. 搜尋 [虛擬機器]。
  3. 在 [服務] 底下，選取 [虛擬機器]。
  4. 在 [虛擬機器] 頁面中，選取 [新增]，然後選取 [虛擬機器]。
  5. 在 [專案詳細資料] 下方，確定已選取正確的訂用帳戶。
  6. 在 [資源群組] 下方，選取 [新建] 並為您的資源群組輸入名稱，或從下拉式清單中選取現有的資源群組。
  7. 在 [執行個體詳細資料] 下方，輸入虛擬機器名稱的名稱，然後選擇支援可信啟動的區域。
  8. 針對 [安全性類型]，選取 [可信啟動虛擬機器]。 這將會再顯示三個選項 - 安全開機、vTPM 和 完整性監視。 為您的部署選取適當的選項。 深入了解可信啟動啟用安全性功能。 Screenshot showing the options for Trusted Launch.
  9. 在 [映像] 下方，從 [與可信啟動相容的建議第 2 代映像] 中選取映像。 如需清單，請參閱可信啟動。

    提示

    如果您在下拉式清單中看不到您想要的映像第 2 代版本，請選取 [查看所有映像]，然後將 [安全性類型] 篩選條件變更為 [可信啟動]。

  10. 選取支援可信啟動的 VM 大小。 請查看支援的大小清單。
  11. 填寫系統管理員帳戶資訊，然後填寫輸入連接埠規則。
  12. 在頁面底部，選取 [檢閱 + 建立]
  13. 在 [建立虛擬機器] 頁面上，您可以看到即將部署的 VM 詳細資料。 一旦驗證顯示為通過，請選取 [建立]。

Sceenshot of the validation page, showing the trusted launch options are included.

可能需要幾分鐘的時間才能部署好 VM。

Azure 可信啟動虛擬機支援使用 Azure Compute Gallery 建立和共用自訂映像。 您可以根據映像的安全性類型，建立兩種類型的映像：

可信啟動虛擬機器支援的映像

針對下列映像來源，映像定義上的安全性類型應設定為 TrustedLaunchsupported：

  • Gen2 OS 磁碟 VHD
  • Gen2 受控映像
  • Gen2 資源庫映像版本

映像來源中不得包含任何虛擬機器客體狀態資訊。

產生的映像版本可用來建立 Azure Gen2 虛擬機器或可信啟動虛擬機器。

您可以使用 Azure Compute Gallery - 直接共用資源庫和 Azure Compute Gallery - 社群資源庫共用這些映像

注意

OS 磁碟 VHD、受控映像或資源庫映像版本應該從與可信啟動虛擬機器相容的 Gen2 映像建立。

  1. 登入 Azure 入口網站。
  2. 在搜尋列中搜尋並選取虛擬機器映像版本
  3. 在 [虛擬機器映像版本] 頁面上，選取 [建立]。
  4. 在 [建立虛擬機器映像版本] 頁面上的 [基本] 索引標籤上：
    1. 選取 Azure 訂用帳戶。
    2. 選取現有的資源群組或建立新的資源群組。
    3. 選取 Azure 區域。
    4. 輸入映像版本號碼。
    5. 針對 [來源]，選取 [記憶體 Blob] 或 [VHD] 或 [受控映像] 或其他虛擬機器映像版本
    6. 如果您選取 [記憶體 Blob (VHD)]，請輸入 OS 磁碟 VHD (不含虛擬機器客體狀態)。 請務必使用 Gen 2 VHD。
    7. 如果您選取 [受控映像]，請選取 Gen 2 虛擬機器的現有受控映像。
    8. 如果您選取 [虛擬機器映像版本]，請選取現有的 Gen2 虛擬機器資源庫映像版本。
    9. 針對 [目標 Azure 計算資源庫]，選取或建立資源庫以共用映像。
    10. 針對 [操作系統狀態]，根據您的使用案例選取 [一般化] 或 [特製化]。 如果您使用受控映像作為來源，請一律選取 [一般化]。 如果您使用記憶體 Blob(VHD)並想要選取 [一般化]，請遵循步驟以一般化 Linux VHD或一般化 Windows VHD，再繼續進行。 如果您使用現有的虛擬機器映像版本，請根據來源虛擬機器映像定義中使用的項目選取 [一般化] 或 [特製化]。
    11. 針對 [目標虛擬機器映像定義] 選取 [新建]。
    12. 在 [建立虛擬機器映像定義] 窗格中，輸入定義的名稱。 請確定安全性類型已設為 Trustedlaunch Supported。 輸入發行者、供應項目和 SKU 資訊。 然後選取 [確定]。
  5. 在 [複寫] 索引標籤上，視需要輸入映像複寫的複本計數和目標區域。
  6. 在 [加密] 索引標籤上，視需要輸入 SSE 加密相關資訊。
  7. 選取 [檢閱 + 建立] 。
  8. 成功驗證組態之後，選取 [建立] 以完成映像的建立。
  9. 建立映像版本之後，請選取 [建立虛擬機器]。
  10. 在 [建立虛擬機器] 頁面的 [資源群組] 下方，選取 [新建] 並為您的資源群組輸入名稱，或從下拉式清單中選取現有的資源群組。
  11. 在 [執行個體詳細資料] 下方，輸入虛擬機器名稱的名稱，然後選擇支援可信啟動的區域。
  12. 選取 [可信啟動虛擬機] 作為安全性類型。 [安全開機] 和 [vTPM] 核取方塊會預設為啟用。
  13. 填寫系統管理員帳戶資訊，然後填寫輸入連接埠規則。
  14. 在驗證頁面上，檢閱虛擬機器的詳細資料。
  15. 驗證成功之後，選取 [建立] 以完成虛擬機器的建立。

可信啟動虛擬機器映像

針對下列映像來源，映像定義上的安全性類型應設定為 TrustedLaunch：

  • 可信啟動虛擬機器擷取
  • 受控 OS 磁碟
  • 受控 OS 磁碟快照集

產生的映像版本只能用來建立 Azure 可信啟動虛擬機器。

  1. 登入 Azure 入口網站。
  2. 若要從 VM 建立 Azure Compute Gallery 映像，請開啟現有可信啟動 VM，然後選取 [擷取]。
  3. 在下列的 [建立映像] 頁面中，允許映像以 VM 映像版本的形式共用至資源庫。 可信啟動 VM 不支援建立受控映像。
  4. 建立新的目標 Azure Compute Gallery，或選取現有的資源庫。
  5. 對於 [作業系統狀態]，選取 [一般化] 或 [特製化]。 如果您想要建立一般化映像，則請先確定您已將 VM 一般化以移除機器特定資訊，再選取此選項。 如果可信啟動 Windows VM 上已啟用 Bitlocker 型加密，則您可能無法以相同的方式進行一般化。
  6. 提供名稱、發行者、供應項目和 SKU 詳細資料，藉以建立新的映像定義。 映像定義的 [安全性類型] 應該已設定為 [可信啟動]。
  7. 提供映像版本的版本號碼。
  8. 視需要修改複寫選項。
  9. 在 [建立映像] 頁面底部，選取 [檢閱 + 建立]，並在驗證顯示為已通過時選取 [建立]。
  10. 建立映像版本之後，請直接移至映像版本。 也可以透過映像定義瀏覽至所需的映像版本。
  11. 在 [VM 映像版本] 頁面上，選取 [+ 建立 VM] 以進入 [建立虛擬機器] 頁面。
  12. 在 [建立虛擬機器] 頁面的 [資源群組] 下方，選取 [新建] 並為您的資源群組輸入名稱，或從下拉式清單中選取現有的資源群組。
  13. 在 [執行個體詳細資料] 下方，輸入虛擬機器名稱的名稱，然後選擇支援可信啟動的區域。
  14. 已根據選取的映像版本填入映像和安全性類型。 [安全開機] 和 [vTPM] 核取方塊會預設為啟用。
  15. 填寫系統管理員帳戶資訊，然後填寫輸入連接埠規則。
  16. 在頁面底部，選取 [檢閱 + 建立]
  17. 在驗證頁面上，檢閱虛擬機器的詳細資料。
  18. 驗證成功之後，選取 [建立] 以完成虛擬機器的建立。

如果您想要使用受控磁碟或受控磁碟快照集作為映像版本來源 (而不是可信啟動 VM)，則請使用下列步驟

  1. 登入入口網站
  2. 搜尋「VM 映像版本」，然後選取 [建立]
  3. 提供訂用帳戶、資源群組、區域和映像版本號碼
  4. 將來源選取為 [磁碟和/或快照集]
  5. 從下拉式清單中，選取 OS 磁碟作為受控磁碟或受控磁碟快照集
  6. 選取 [目標 Azure 計算資源庫] 以建立和共用映像。 如果沒有資源庫，則請建立新的資源庫。
  7. 對於 [作業系統狀態]，選取 [一般化] 或 [特製化]。 如果您想要建立一般化映像，則請確定您已將磁碟或快照集一般化以移除機器特定資訊。
  8. 針對 [目標 VM 映像定義] 選取 [新建]。 在開啟的視窗中，選取映像定義名稱，並確定 [安全性類型] 設定為 [可信啟動]。 提供發行者、供應項目和 SKU 資訊，然後選取 [確定]。
  9. 如有需要，可以使用 [複寫] 索引標籤來設定映像複寫的複本計數和目標區域。
  10. 如有需要，也可以使用 [加密] 索引標籤來提供 SSE 加密相關資訊。
  11. 在 [檢閱 + 建立] 索引標籤中，選取 [建立] 以建立映像
  12. 成功建立映像版本之後，請選取 [+ 建立 VM] 以進入 [建立虛擬機器] 頁面。
  13. 遵循先前所述的步驟 12 到 18，以使用此映像版本建立可信啟動虛擬機器

驗證或更新您的設定

針對已啟用可信啟動建立的虛擬機器，您可以造訪 Azure 入口網站中虛擬機器的 [概觀] 頁面，以檢視可信啟動設定。 [屬性] 索引標籤會顯示可信啟動功能的狀態：

Screenshot of the Trusted Launch properties of the VM.

若要變更可信啟動設定，請在左側功能表中，選取 [設定] 區段底下的 [組態]。 您可以從 [安全性類型] 區段啟用或停用安全開機、vTPM 和完整性監視。 當您完成時，請選取頁面頂端的 [儲存]。

Screenshot showing check boxes to change the Trusted Launch settings.

如果 VM 正在執行，您會收到一則訊息，指出 VM 將會重新啟動。 選取 [是]，然後等候 VM 重新啟動，變更才會生效。

下一步

深入了解可信啟動和開機完整性監視虛擬機器。