Nejčastější dotazy k důvěryhodnému spuštění

Článek
02/01/2024

Upozornění

Tento článek odkazuje na CentOS, linuxovou distribuci, která se blíží stavu Konec životnosti (EOL). Zvažte své použití a odpovídajícím způsobem naplánujte. Další informace najdete v doprovodných materiálech CentOS End Of Life.

Nejčastější dotazy týkající se důvěryhodného spuštění Případy použití funkcí, podpora dalších funkcí Azure a opravy běžných chyb

Případy použití

Proč mám používat důvěryhodné spuštění? Proti čemu důvěryhodná ochrana proti spuštění?

Důvěryhodná ochrana spouštění proti spouštěcím sadám, rootkitům a malwaru na úrovni jádra. Tyto sofistikované typy malwaru běží v režimu jádra a zůstávají skryté uživatelům. Příklad:

Rootkity firmwaru: tyto sady přepíší firmware systému BIOS virtuálního počítače, aby se rootkit mohl spustit před operačním systémem.
Spouštěcí sady: tyto sady nahrazují spouštěcí zavaděč operačního systému tak, aby virtuální počítač načítal spouštěcí sadu před operačním systémem.
Rootkity jádra: tyto sady nahrazují část jádra operačního systému, aby se rootkit mohl spustit automaticky při načtení operačního systému.
Rootkity ovladačů: tyto sady předstírají, že jde o jeden z důvěryhodných ovladačů, které operační systém používá ke komunikaci s komponentami virtuálního počítače.

Jak se důvěryhodný start porovnává s chráněným virtuálním počítačem Hyper-V?

Stíněný virtuální počítač Hyper-V je aktuálně k dispozici pouze na hyper-V. Stíněný virtuální počítač Hyper-V se obvykle nasazuje s stráženými prostředky infrastruktury. Strážené prostředky infrastruktury se skládají ze služby Strážce hostitele (HGS), jednoho nebo několika strážených hostitelů a sady stíněných virtuálních počítačů. Stíněné virtuální počítače Hyper-V se používají v prostředcích infrastruktury, kde musí být data a stav virtuálního počítače chráněny před různými aktéry. Tito aktéři jsou správci prostředků infrastruktury i nedůvěryhodný software, který může běžet na hostitelích Hyper-V. Na druhou stranu je možné důvěryhodné spuštění nasadit jako samostatný virtuální počítač nebo škálovací sady virtuálních počítačů v Azure bez jiného nasazení a správy služby HGS. Všechny důvěryhodné spouštěcí funkce je možné povolit jednoduchou změnou kódu nasazení nebo zaškrtávacím políčkam na webu Azure Portal.

Můžu pro nové nasazení virtuálního počítače zakázat důvěryhodné spuštění?

Důvěryhodné spouštěcí virtuální počítače poskytují základní zabezpečení výpočetních prostředků a naším doporučením není zakázat stejné nasazení pro nové nasazení virtuálních počítačů nebo virtuálních počítačů s výjimkou případů, kdy vaše nasazení závisí na:

Parametr securityType s hodnotou Standard můžete použít k zakázání důvěryhodného spuštění v nových nasazeních virtuálních počítačů nebo VMSS pomocí Azure PowerShellu (verze 10.3.0+) a rozhraní příkazového řádku (v2.53.0+).

Rozhraní příkazového řádku
PowerShell

az vm create -n MyVm -g MyResourceGroup --image Ubuntu2204 `
    --security-type 'Standard'

$adminUsername = <USER NAME>
$adminPassword = <PASSWORD> | ConvertTo-SecureString -AsPlainText -Force
$vmCred = New-Object System.Management.Automation.PSCredential($adminUsername, $adminPassword)
New-AzVM -Name MyVm -Credential $vmCred -SecurityType Standard

Můžu zakázat možnost zabezpečeného spouštění pro virtuální počítače důvěryhodného spuštění?

Zabezpečené spouštění není ve výchozím nastavení povolené, ale doporučuje se ho povolit, pokud nepoužíváte vlastní nepodepsané jádro nebo ovladače. Po vytvoření virtuálního počítače s povolenou možností důvěryhodného spuštění a zabezpečeného spouštění můžete přejít na virtuální počítač na kartě Nastavení přejděte na Konfigurace a zrušte výběr možnosti Povolit zabezpečené spouštění.

Podporované funkce a nasazení

Podporuje azure Compute Gallery důvěryhodné spuštění?

Důvěryhodné spuštění teď umožňuje vytváření a sdílení imagí prostřednictvím Galerie výpočetních prostředků Azure (dříve Sdílená galerie imagí). Zdroj image může být následující:

existující virtuální počítač Azure, který je zobecněný nebo specializovaný nebo
existující spravovaný disk nebo snímek NEBO,
verze virtuálního pevného disku nebo image z jiné galerie.

Další informace o nasazení důvěryhodného spouštěcího virtuálního počítače pomocí Galerie výpočetních prostředků Azure najdete v tématu nasazení virtuálních počítačů s důvěryhodným spuštěním.

Podporuje Azure Backup důvěryhodné spuštění?

Důvěryhodné spuštění teď podporuje Azure Backup. Další informace najdete v tématu Matice podpory pro zálohování virtuálních počítačů Azure.

Bude Služba Azure Backup po povolení důvěryhodného spuštění dál fungovat?

Zálohy nakonfigurované pomocí rozšířených zásad budou i nadále po povolení důvěryhodného spuštění zálohovat virtuální počítač.

Jsou dočasné disky s operačním systémem podporované důvěryhodným spuštěním?

Důvěryhodné spuštění podporuje dočasné disky s operačním systémem. Další informace najdete v tématu Důvěryhodné spuštění dočasných disků s operačním systémem.

Poznámka:

Při použití dočasných disků pro virtuální počítače trusted Launch, klíče a tajné kódy vygenerované nebo zapečetěné virtuálním počítačem po vytvoření virtuálního počítače nemusí být trvalé napříč operacemi, jako jsou přepracování a události platformy, jako jsou opravy služeb.

Je možné virtuální počítač obnovit pomocí zálohy pořízené před povolením důvěryhodného spuštění?

Zálohy pořízené před upgradem existujícího virtuálního počítače generace 2 na důvěryhodné spuštění je možné použít k obnovení celého virtuálního počítače nebo jednotlivých datových disků. Nejde je použít jenom k obnovení nebo nahrazení disku s operačním systémem.

Jak najdu velikosti virtuálních počítačů, které podporují důvěryhodné spuštění?

Podívejte se na seznam velikostí virtuálních počítačů generace 2 podporujících důvěryhodné spuštění.

Následující příkazy můžete použít ke kontrole, jestli velikost virtuálního počítače generace 2 nepodporuje důvěryhodné spuštění.

Rozhraní příkazového řádku
PowerShell

subscription="<yourSubID>"
region="westus"
vmSize="Standard_NC12s_v3"

az vm list-skus --resource-type virtualMachines  --location $region --query "[?name=='$vmSize'].capabilities" --subscription $subscription

$region = "southeastasia"
$vmSize = "Standard_M64"
(Get-AzComputeResourceSku | where {$_.Locations.Contains($region) -and ($_.Name -eq $vmSize) })[0].Capabilities

Odpověď je podobná následujícímu formuláři. TrustedLaunchDisabled True ve výstupu znamená, že velikost virtuálního počítače generace 2 nepodporuje důvěryhodné spuštění. Pokud se jedná o velikost virtuálního počítače 2. generace a TrustedLaunchDisabled není součástí výstupu, znamená to, že pro danou velikost virtuálního počítače se podporuje důvěryhodné spuštění.

Name                                         Value
----                                         -----
MaxResourceVolumeMB                          8192000
OSVhdSizeMB                                  1047552
vCPUs                                        64
MemoryPreservingMaintenanceSupported         False
HyperVGenerations                            V1,V2
MemoryGB                                     1000
MaxDataDiskCount                             64
CpuArchitectureType                          x64
MaxWriteAcceleratorDisksAllowed              8
LowPriorityCapable                           True
PremiumIO                                    True
VMDeploymentTypes                            IaaS
vCPUsAvailable                               64
ACUs                                         160
vCPUsPerCore                                 2
CombinedTempDiskAndCachedIOPS                80000
CombinedTempDiskAndCachedReadBytesPerSecond  838860800
CombinedTempDiskAndCachedWriteBytesPerSecond 838860800
CachedDiskBytes                              1318554959872
UncachedDiskIOPS                             40000
UncachedDiskBytesPerSecond                   1048576000
EphemeralOSDiskSupported                     True
EncryptionAtHostSupported                    True
CapacityReservationSupported                 False
TrustedLaunchDisabled                        True
AcceleratedNetworkingEnabled                 True
RdmaEnabled                                  False
MaxNetworkInterfaces                         8

Jak můžu ověřit, jestli image operačního systému podporuje důvěryhodné spuštění?

Podívejte se na seznam verzí operačního systému podporovaných u důvěryhodného spuštění.

Image operačního systému Marketplace

Následující příkazy můžete použít ke kontrole, jestli image operačního systému Marketplace podporuje důvěryhodné spuštění.

Rozhraní příkazového řádku
PowerShell

az vm image show --urn "MicrosoftWindowsServer:WindowsServer:2022-datacenter-azure-edition:latest"

Odpověď je podobná následujícímu formuláři. HyperVGenerationv2 a SecurityType obsahuje TrustedLaunch ve výstupu indikuje, že image operačního systému generace 2 podporuje důvěryhodné spuštění.

{
  "architecture": "x64",
  "automaticOsUpgradeProperties": {
    "automaticOsUpgradeSupported": false
  },
  "dataDiskImages": [],
  "disallowed": {
    "vmDiskType": "Unmanaged"
  },
  "extendedLocation": null,
  "features": [
    {
      "name": "SecurityType",
      "value": "TrustedLaunchAndConfidentialVmSupported"
    },
    {
      "name": "IsAcceleratedNetworkSupported",
      "value": "True"
    },
    {
      "name": "DiskControllerTypes",
      "value": "SCSI, NVMe"
    },
    {
      "name": "IsHibernateSupported",
      "value": "True"
    }
  ],
  "hyperVGeneration": "V2",
  "id": "/Subscriptions/00000000-0000-0000-0000-00000000000/Providers/Microsoft.Compute/Locations/westus/Publishers/MicrosoftWindowsServer/ArtifactTypes/VMImage/Offers/WindowsServer/Skus/2022-datacenter-azure-edition/Versions/20348.1906.230803",
  "imageDeprecationStatus": {
    "alternativeOption": null,
    "imageState": "Active",
    "scheduledDeprecationTime": null
  },
  "location": "westus",
  "name": "20348.1906.230803",
  "osDiskImage": {
    "operatingSystem": "Windows",
    "sizeInGb": 127
  },
  "plan": null,
  "tags": null
}

Get-AzVMImage -Skus 22_04-lts-gen2 -PublisherName Canonical -Offer 0001-com-ubuntu-server-jammy -Location westus3 -Version latest

Výstup příkazu je možné použít s virtuálními počítači – Get API. Odpověď je podobná následujícímu formuláři. HyperVGenerationv2 a SecurityType obsahuje TrustedLaunch ve výstupu indikuje, že image operačního systému generace 2 podporuje důvěryhodné spuštění.

{
    "properties": {
        "hyperVGeneration": "V2",
        "architecture": "x64",
        "replicaType": "Managed",
        "replicaCount": 10,
        "disallowed": {
            "vmDiskType": "Unmanaged"
        },
        "automaticOSUpgradeProperties": {
            "automaticOSUpgradeSupported": false
        },
        "imageDeprecationStatus": {
            "imageState": "Active"
        },
        "features": [
            {
                "name": "SecurityType",
                "value": "TrustedLaunchSupported"
            },
            {
                "name": "IsAcceleratedNetworkSupported",
                "value": "True"
            },
            {
                "name": "DiskControllerTypes",
                "value": "SCSI, NVMe"
            },
            {
                "name": "IsHibernateSupported",
                "value": "True"
            }
        ],
        "osDiskImage": {
            "operatingSystem": "Linux",
            "sizeInGb": 30
        },
        "dataDiskImages": []
    },
    "location": "WestUS3",
    "name": "22.04.202309080",
    "id": "/Subscriptions/00000000-0000-0000-0000-000000000000/Providers/Microsoft.Compute/Locations/WestUS3/Publishers/Canonical/ArtifactTypes/VMImage/Offers/0001-com-ubuntu-server-jammy/Skus/22_04-lts-gen2/Versions/22.04.202309080"
}

Image operačního systému Galerie výpočetních prostředků Azure

Následující příkazy můžete použít ke kontrole, jestli image operačního systému Galerie výpočetních prostředků Azure podporuje důvěryhodné spuštění.

Rozhraní příkazového řádku
PowerShell

az sig image-definition show `
    --gallery-image-definition myImageDefinition `
    --gallery-name myImageGallery `
    --resource-group myImageGalleryRg

{
  "architecture": "x64",
  "features": [
    {
      "name": "SecurityType",
      "value": "TrustedLaunchSupported"
    }
  ],
  "hyperVGeneration": "V2",
  "id": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myImageGalleryRg/providers/Microsoft.Compute/galleries/myImageGallery/images/myImageDefinition",
  "identifier": {
    "offer": "myImageDefinition",
    "publisher": "myImageDefinition",
    "sku": "myImageDefinition"
  },
  "location": "westus3",
  "name": "myImageDefinition",
  "osState": "Generalized",
  "osType": "Windows",
  "provisioningState": "Succeeded",
  "recommended": {
    "memory": {
      "max": 32,
      "min": 1
    },
    "vCPUs": {
      "max": 16,
      "min": 1
    }
  },
  "resourceGroup": "myImageGalleryRg",
  "tags": {},
  "type": "Microsoft.Compute/galleries/images"
}

Get-AzGalleryImageDefinition -ResourceGroupName myImageGalleryRg `
    -GalleryName myImageGallery -GalleryImageDefinitionName myImageDefinition

ResourceGroupName : myImageGalleryRg
OsType            : Windows
OsState           : Generalized
HyperVGeneration  : V2
Identifier        :
  Publisher       : myImageDefinition
  Offer           : myImageDefinition
  Sku             : myImageDefinition
Recommended       :
  VCPUs           :
    Min           : 1
    Max           : 16
  Memory          :
    Min           : 1
    Max           : 32
ProvisioningState : Succeeded
Id                : /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myImageGalleryRg/providers/Microsoft.Compute/galleries/myImageGallery/images/myImageDefinition
Name              : myImageDefinition
Type              : Microsoft.Compute/galleries/images
Location          : westus3
Tags              : {}
Features[0]       :
  Name            : SecurityType
  Value           : TrustedLaunchSupported
Architecture      : x64

Jak fungují externí komunikační ovladače s virtuálními počítači Trusted Launch?

Přidání portů COM vyžaduje zakázání zabezpečeného spouštění. Porty COM jsou proto ve výchozím nastavení ve virtuálních počítačích Důvěryhodné spuštění zakázané.

Stavy napájení

Konkrétní stavy, typy spouštění a běžné problémy se spouštěním

Co je stav hosta virtuálního počítače (VMGS)?

Stav hosta virtuálního počítače (VMGS) je specifický pro důvěryhodný spouštěcí virtuální počítač. Je to objekt blob spravovaný Azure a obsahuje databáze zabezpečených podpisových podpisů zabezpečeného spouštění rozhraní UEFI (Unified Extensible Firmware Interface) a další informace o zabezpečení. Životní cyklus objektu blob VMGS je svázaný s diskem s operačním systémem.

Jaké jsou rozdíly mezi zabezpečeným spouštěním a měřeným spouštěním?

V zabezpečeném řetězci spouštění každý krok v procesu spouštění zkontroluje kryptografický podpis následných kroků. Systém BIOS například kontroluje podpis na zavaděče a zavaděč kontroluje podpisy na všech objektech jádra, které načítá, atd. Pokud dojde k ohrožení zabezpečení některého z objektů, podpis se neshoduje a virtuální počítač se nespustí. Další informace najdete v tématu Zabezpečené spouštění. Měřené spouštění nezastaví proces spouštění, měří nebo vypočítá hodnotu hash dalších objektů v řetězu a ukládá hodnoty hash do registrů konfigurace platformy (PCRS) na virtuálním počítači. Měřené spouštěcí záznamy se používají k monitorování integrity spouštění.

Proč se důvěryhodný spouštěcí virtuální počítač nespouští správně?

Pokud se zjistí nepodepsané komponenty z rozhraní UEFI (firmware hosta), spouštěcího zavaděče, operačního systému nebo ovladačů spouštění, důvěryhodný spouštěcí virtuální počítač se nespustí. Nastavení zabezpečeného spouštění na virtuálním počítači Trusted Launch se nepovedlo spustit, pokud během procesu spouštění dojde k nepodepsaným nebo nedůvěryhodným spouštěcím komponentám a bude hlásit chybu zabezpečeného spouštění.

Důvěryhodný spouštěcí kanál od zabezpečeného spouštění po ovladače třetích stran

Poznámka:

Důvěryhodné spouštěcí virtuální počítače vytvořené přímo z image Azure Marketplace by se neměly setkat se selháním zabezpečeného spouštění. Image galerie azure Compute s původním zdrojem imagí Marketplace a snímky vytvořené z důvěryhodných spouštěcích virtuálních počítačů by také neměly narazit na tyto chyby.

Jak ověřím scénář bez spuštění na webu Azure Portal?

Když se virtuální počítač stane nedostupným z chyby zabezpečeného spouštění, znamená to, že virtuální počítač má součást operačního systému podepsanou důvěryhodnou autoritou, která blokuje spouštění virtuálního počítače Trusted Launch. Při nasazení virtuálního počítače se zákazníkům můžou na webu Azure Portal zobrazit informace o stavu prostředků s oznámením, že v zabezpečeném spouštění došlo k chybě ověření.

Pokud chcete získat přístup ke stavu prostředků ze stránky konfigurace virtuálního počítače, přejděte na Resource Health na panelu Nápověda.

Postupujte podle doporučených kroků uvedených na obrazovce stavu prostředku. Pokyny zahrnují snímek obrazovky a sériový protokol ke stažení z diagnostiky spouštění virtuálního počítače.

Pokud jste ověřili, že selhání bezpečného spuštění způsobilo žádné spuštění:

Image, kterou používáte, je starší verze, která může mít jednu nebo více nedůvěryhodných spouštěcích komponent a je na cestě k vyřazení. Pokud chcete napravit zastaralou image, aktualizujte ji na podporovanou novější verzi image.
Image, kterou používáte, byla pravděpodobně sestavena mimo zdroj marketplace nebo byly změněny spouštěcí komponenty a obsahují nepodepsané nebo nedůvěryhodné spouštěcí komponenty. Pokud chcete ověřit, jestli má vaše image nepodepsané nebo nedůvěryhodné spouštěcí komponenty, projděte si část Ověření selhání zabezpečeného spouštění.
Pokud se výše uvedené dva scénáře nepoužijí, je virtuální počítač potenciálně napadený malwarem (bootkit/rootkit). Zvažte odstranění virtuálního počítače a opětovné vytvoření nového virtuálního počítače ze stejné zdrojové image při vyhodnocování veškerého nainstalovaného softwaru.

Ověření selhání zabezpečeného spouštění

Linux Virtual Machines

Pokud chcete ověřit, které spouštěcí komponenty zodpovídají za selhání zabezpečeného spouštění na virtuálním počítači Azure s Linuxem, můžou koncoví uživatelé použít nástroj SBInfo z balíčku zabezpečení Linuxu.

Vypnutí zabezpečeného spouštění
Připojení k virtuálnímu počítači Azure Linux Trusted Launch.
Nainstalujte nástroj SBInfo pro distribuci vašeho virtuálního počítače. Nachází se v balíčku zabezpečení Linuxu.

Tyto příkazy platí pro distribuce založené na Ubuntu, Debianu a dalších distribucích založených na debianu.

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ trusty main" | sudo tee -a /etc/apt/sources.list.d/azure.list

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ xenial main" | sudo tee -a /etc/apt/sources.list.d/azure.list

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ bionic main" | sudo tee -a /etc/apt/sources.list.d/azure.list

wget https://packages.microsoft.com/keys/microsoft.asc

wget https://packages.microsoft.com/keys/msopentech.asc

sudo apt-key add microsoft.asc && sudo apt-key add msopentech.asc

sudo apt update && sudo apt install azure-security

Tyto příkazy platí pro RHEL, CentOS a další distribuce založené na Red Hatu.

echo "[packages-microsoft-com-azurecore]" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "name=packages-microsoft-com-azurecore" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "baseurl=https://packages.microsoft.com/yumrepos/azurecore/" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "enabled=1" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "gpgcheck=0" | sudo tee -a /etc/yum.repos.d/azurecore.repo

sudo yum install azure-security

Tyto příkazy platí pro SLES, openSUSE a další distribuce založené na SUSE.

sudo zypper ar -t rpm-md -n "packages-microsoft-com-azurecore" --no-gpgcheck https://packages.microsoft.com/yumrepos/azurecore/ azurecore

sudo zypper install azure-security

Po instalaci balíčku zabezpečení linuxu pro vaši distribuci spusťte příkaz sbinfo a ověřte, které spouštěcí komponenty zodpovídají za selhání zabezpečeného spouštění, a to zobrazením všech nepodepsaných modulů, jader a zavaděčů bootloaderů.

sudo sbinfo -u -m -k -b

Další informace o diagnostickém nástroji SBInfo můžete spustit příkaz sudo sbinfo -help.

Proč dochází k chybě monitorování integrity spouštění?

Důvěryhodné spuštění virtuálních počítačů Azure se monitoruje pro pokročilé hrozby. Pokud se takové hrozby zjistí, aktivuje se upozornění. Výstrahy jsou dostupné jenom v případě, že jsou povolené funkce rozšířeného zabezpečení Defenderu pro cloud.

Microsoft Defender for Cloud pravidelně provádí ověření identity. Pokud ověření identity selže, aktivuje se výstraha střední závažnosti. Ověření důvěryhodného spuštění může selhat z následujících důvodů:

Otestované informace, které zahrnují protokol důvěryhodného výpočetního základu (TCB), se odchýlí od důvěryhodného směrného plánu (například při povolení zabezpečeného spouštění). Jakákoli odchylka značí načtení nedůvěryhodných modulů a může dojít k ohrožení operačního systému.
Nabídku ověření identity nešlo ověřit tak, aby pocházela z virtuálního počítače s ověřením virtuálního počítače, který je ověřený. Selhání ověření značí, že je malware k dispozici a může zachycovat provoz do čipu TPM.
Rozšíření ověření identity na virtuálním počítači neodpovídá. Nereagující rozšíření indikuje útok na dostupnost služby malwarem nebo správcem operačního systému.

Certifikáty

Jak můžou uživatelé vytvořit kořen důvěryhodnosti s virtuálními počítači důvěryhodného spuštění?

Virtuální veřejný certifikát TPM AK poskytuje uživatelům přehled o úplném řetězu certifikátů (kořenových a zprostředkujících certifikátech), který jim pomáhá ověřovat důvěryhodnost v certifikátu a kořenovém řetězu. Aby uživatelé důvěryhodného spuštění měli nepřetržitě nejvyšší stav zabezpečení, poskytují informace o vlastnostech instance, aby uživatelé mohli trasovat zpět do úplného řetězce.

Pokyny ke stažení

Zabalit certifikáty, ohrožené. p7b (úplná certifikační autorita) a .cer (zprostředkující certifikační autorita), zobrazte podpisovou a certifikační autoritu. Zkopírujte příslušný obsah a použijte nástroje pro certifikáty ke kontrole a posouzení podrobností o certifikátech.

Níže vyberte stažení souboru .crt pro kořenovou certifikační autoritu Azure Virtual TPM 2023.

Kořenová certifikační autorita Azure TPM 2023

Výběrem zobrazíte obsah .p7b.

Globální virtuální certifikační autorita TPM – 01:

Výběrem zobrazíte obsah certifikátu .cert pro kořenový certifikát.