Erstellen eines Datenträgers für eine geschützte Windows-VM-VorlageCreate a Windows shielded VM template disk

Gilt für: Windows Server (halbjährlicher Kanal), Windows Server 2016, Windows Server 2019Applies to: Windows Server (Semi-Annual Channel), Windows Server 2016, Windows Server 2019

Wie bei regulären virtuellen Computern können Sie eine VM-Vorlage erstellen (z. b. eine VM-Vorlage in Virtual Machine Manager (VMM)), damit Mandanten und Administratoren mithilfe eines Vorlagen Datenträgers problemlos neue VMS im Fabric bereitstellen können.As with regular VMs, you can create a VM template (for example, a VM template in Virtual Machine Manager (VMM)) to make it easy for tenants and administrators to deploy new VMs on the fabric using a template disk. Da abgeschirmte VMS sicherheitsrelevante Ressourcen sind, sind zusätzliche Schritte erforderlich, um eine VM-Vorlage zu erstellen, die Schutz unterstützt.Because shielded VMs are security-sensitive assets, there are additional steps to create a VM template that supports shielding. In diesem Thema werden die Schritte zum Erstellen eines geschützten Vorlagen Datenträgers und einer VM-Vorlage in VMM behandelt.This topic covers the steps to create a shielded template disk and a VM template in VMM.

Informationen dazu, wie sich dieses Thema in den Gesamtprozess der Bereitstellung von abgeschirmten VMS einfügt, finden Sie unter Hosten von Dienstanbietern Konfigurationsschritte für geschützte Hosts und abgeschirmte VMS.To understand how this topic fits in the overall process of deploying shielded VMs, see Hosting service provider configuration steps for guarded hosts and shielded VMs.

Vorbereiten einer vhdx-Betriebssystem DateiPrepare an operating system VHDX

Bereiten Sie zuerst einen Betriebssystem Datenträger vor, den Sie dann mit dem Assistenten zum Erstellen einer abgeschirmten Vorlage ausführenFirst prepare an OS disk that you will then run through the Shielded Template Disk Creation Wizard. Dieser Datenträger wird als Betriebssystem Datenträger in den virtuellen Computern Ihres Mandanten verwendet.This disk will be used as the OS disk in your tenant's VMs. Zum Erstellen dieses Datenträgers können Sie beliebige vorhandene Tools verwenden, z. b. Microsoft Desktop Image Service Manager (Mage), oder Sie können manuell einen virtuellen Computer mit einer leeren vhdx einrichten und das Betriebssystem auf diesem Datenträger installieren.You can use any existing tooling to create this disk, such as Microsoft Desktop Image Service Manager (DISM), or manually set up a VM with a blank VHDX and install the OS onto that disk. Beim Einrichten des Datenträgers müssen die folgenden Anforderungen erfüllt werden, die für die Generation 2 und/oder abgeschirmte VMS spezifisch sind:When setting up the disk, it must adhere to the following requirements that are specific to generation 2 and/or shielded VMs:

Anforderung für vhdxRequirement for VHDX ReasonReason
Muss ein GPT-Datenträger (GUID-Partitionstabelle) sein.Must be a GUID Partition Table (GPT) disk Erforderlich für virtuelle Computer der Generation 2 zur Unterstützung von UEFINeeded for generation 2 virtual machines to support UEFI
Der Datenträgertyp muss Standard und nicht dynamisch sein.Disk type must be Basic as opposed to Dynamic.
Hinweis: Dies bezieht sich auf den Typ des logischen Datenträgers, nicht auf das von Hyper-V unterstützte "dynamisch erweiterbare" vhdx-Feature.Note: This refers to the logical disk type, not the "dynamically expanding" VHDX feature supported by Hyper-V.
BitLocker unterstützt keine dynamischen Datenträger.BitLocker does NOT support dynamic disks.
Der Datenträger verfügt über mindestens zwei Partitionen.The disk has at least two partitions. Eine Partition muss das Laufwerk enthalten, auf dem Windows installiert ist.One partition must include the drive on which Windows is installed. Dies ist das Laufwerk, das von BitLocker verschlüsselt wird.This is the drive that BitLocker will encrypt. Die andere Partition ist die aktive Partition, die den Bootloader enthält und unverschlüsselt bleibt, damit der Computer gestartet werden kann.The other partition is the active partition, which contains the bootloader and remains unencrypted so that the computer can be started. Für BitLocker erforderlichNeeded for BitLocker
Dateisystem ist NTFSFile system is NTFS Für BitLocker erforderlichNeeded for BitLocker
Das auf der vhdx installierte Betriebssystem ist einer der folgenden:The operating system installed on the VHDX is one of the following:
-Windows Server 2019, Windows Server 2016, Windows Server 2012 R2 oder Windows Server 2012- Windows Server 2019, Windows Server 2016, Windows Server 2012 R2, or Windows Server 2012
-Windows 10, Windows 8.1, Windows 8- Windows 10, Windows 8.1, Windows 8
Erforderlich zur Unterstützung virtueller Maschinen der Generation 2 und der Microsoft-Vorlage für den sicheren StartNeeded to support generation 2 virtual machines and the Microsoft Secure Boot template
Das Betriebssystem muss generalisiert sein (sysprep.exe ausführen).Operating system must be generalized (run sysprep.exe) Die Vorlagen Bereitstellung umfasst spezialisierte VMs für die Arbeitsauslastung eines bestimmten Mandanten.Template provisioning involves specializing VMs for a specific tenant's workload

Hinweis

Wenn Sie VMM verwenden, kopieren Sie den Vorlagen Datenträger in dieser Phase nicht in die VMM-Bibliothek.If you use VMM, do not copy the template disk into the VMM library at this stage.

Ausführen von Windows Update auf dem Vorlagen BetriebssystemRun Windows Update on the template operating system

Vergewissern Sie sich auf dem Vorlagen Datenträger, dass alle aktuellen Windows-Updates auf dem Betriebssystem installiert sind.On the template disk, verify that the operating system has all of the latest Windows updates installed. Kürzlich veröffentlichte Updates verbessern die Zuverlässigkeit des End-to-End-Schutz Vorgangs. Dies ist ein Prozess, der möglicherweise nicht abgeschlossen wird, wenn das Vorlagen Betriebssystem nicht auf dem neuesten Stand ist.Recently released updates improve the reliability of the end-to-end shielding process - a process that may fail to complete if the template operating system is not up-to-date.

Vorbereiten und schützen der vhdx-Datei mit dem Vorlagen Datenträger-AssistentenPrepare and protect the VHDX with the template disk wizard

Um einen Vorlagen Datenträger mit abgeschirmten VMS zu verwenden, muss der Datenträger mithilfe des Assistenten für die Datenträger Erstellung für abgeschirmte Vorlagen mit BitLocker vorbereitet und verschlüsselt werden.To use a template disk with shielded VMs, the disk must be prepared and encrypted with BitLocker by using the Shielded Template Disk Creation Wizard. Dieser Assistent generiert einen Hash für den Datenträger und fügt ihn einem volumesignaturkatalog (VSC) hinzu.This wizard will generate a hash for the disk and add it to a volume signature catalog (VSC). Der VSC wird mit einem von Ihnen angegebenen Zertifikat signiert und während des Bereitstellungs Prozesses verwendet, um sicherzustellen, dass der Datenträger, der für einen Mandanten bereitgestellt wird, nicht geändert oder durch einen Datenträger ersetzt wurde, dem der Mandant nicht vertraut.The VSC is signed using a certificate you specify and is used during the provisioning process to ensure the disk being deployed for a tenant has not been altered or replaced with a disk the tenant does not trust. Schließlich wird BitLocker auf dem Betriebssystem des Datenträgers installiert (sofern es noch nicht vorhanden ist), um den Datenträger für die Verschlüsselung während der VM-Bereitstellung vorzubereiten.Finally, BitLocker is installed on the disk's operating system (if it is not already there) to prepare the disk for encryption during VM provisioning.

Hinweis

Der Vorlagen Datenträger-Assistent ändert den Vorlagen Datenträger, den Sie direkt angeben.The template disk wizard will modify the template disk you specify in-place. Sie sollten eine Kopie der ungeschützten vhdx-Datei erstellen, bevor Sie den Assistenten ausführen, um die Datenträger zu einem späteren Zeitpunkt zu aktualisieren.You may want to make a copy of the unprotected VHDX before running the wizard to make updates to the disk at a later time. Sie können einen Datenträger, der mit dem Vorlagen Datenträger-Assistenten geschützt wurde, nicht ändern.You will not be able to modify a disk that has been protected with the template disk wizard.

Führen Sie die folgenden Schritte auf einem Computer aus, auf dem Windows Server 2016, Windows 10 (mit Remote Server-Verwaltungs Tools, RSAT installiert) oder höher ausgeführt wird (es muss sich nicht um einen überwachten Host oder VMM-Server handeln):Perform the following steps on a computer running Windows Server 2016, Windows 10 (with Remote Server Management Tools, RSAT installed) or later (does not need to be a guarded host or a VMM server):

  1. Kopieren Sie die in Vorbereiten einer Betriebssystem-vhdx erstellte generalisierte vhdx auf den Server, sofern diese nicht bereits vorhanden ist.Copy the generalized VHDX created in Prepare an operating system VHDX to the server, if it is not already there.

  2. Um den Server lokal zu verwalten, installieren Sie das Feature der abgeschirmten VM-Tools von Remoteserver-Verwaltungstools auf dem Server.To administer the server locally, install the Shielded VM Tools feature from Remote Server Administration Tools on the server.

    Install-WindowsFeature RSAT-Shielded-VM-Tools -Restart
    

    Sie können den Server auch über einen Client Computer verwalten, auf dem Sie die Windows 10-Remoteserver-Verwaltungstoolsinstalliert haben.You can also administer the server from a client computer on which you have installed the Windows 10 Remote Server Administration Tools.

  3. Abrufen oder Erstellen eines Zertifikats zum Signieren des VSC für die vhdx-Datei, die als Vorlagen Datenträger für neue abgeschirmte VMS verwendet wird.Obtain or create a certificate to sign the VSC for the VHDX that will become the template disk for new shielded VMs. Details zu diesem Zertifikat werden den Mandanten angezeigt, wenn Sie Ihre geschützten Datendateien erstellen und die Datenträger autorisierst, denen Sie vertrauen.Details about this certificate will be shown to tenants when they create their shielding data files and are authorizing disks they trust. Daher ist es wichtig, dass Sie dieses Zertifikat von einer Zertifizierungsstelle abrufen, die von Ihnen und ihren Mandanten als nicht vertrauenswürdig eingestuft wird.Therefore, it is important to obtain this certificate from a certificate authority mutually trusted by you and your tenants. In Unternehmens Szenarios, in denen Sie sowohl der Host als auch der Mandant sind, sollten Sie das Zertifikat aus Ihrer PKI ausgeben.In enterprise scenarios where you are both the host and tenant, you might consider issuing this certificate from your PKI.

    Wenn Sie eine Testumgebung einrichten und nur ein selbst signiertes Zertifikat verwenden möchten, um den Vorlagen Datenträger vorzubereiten, führen Sie einen Befehl aus, der dem folgenden ähnelt:If you are setting up a test environment and just want to use a self-signed certificate to prepare your template disk, run a command similar to the following:

    New-SelfSignedCertificate -DnsName publisher.fabrikam.com
    
  4. Starten Sie den Vorlagen Datenträger- Assistenten im Ordner " Verwaltung " im Startmenü, oder geben Sie TemplateDiskWizard.exe in eine Eingabeaufforderung ein.Start the Template Disk Wizard from the Administrative Tools folder on the Start menu or by typing TemplateDiskWizard.exe into a command prompt.

  5. Klicken Sie auf der Seite Zertifikat auf Durchsuchen , um eine Liste mit Zertifikaten anzuzeigen.On the Certificate page, click Browse to display a list of certificates. Wählen Sie das Zertifikat aus, mit dem die Datenträger Vorlage vorbereitet werden soll.Select the certificate with which to prepare the disk template. Klicken Sie auf OK und anschließend auf Weiter.Click OK and then click Next.

  6. Klicken Sie auf der Seite virtueller Datenträger auf Durchsuchen , um das vhdx auszuwählen, das Sie vorbereitet haben, und klicken Sie dann auf weiter.On the Virtual Disk page, click Browse to select the VHDX that you have prepared, then click Next.

  7. Geben Sie auf der Seite Signatur Katalog einen anzeigen Amen und eine Version des Datenträgers an.On the Signature Catalog page, provide a friendly disk name and version. Diese Felder sind vorhanden, damit Sie den Datenträger nach der Vorbereitung identifizieren können.These fields are present to help you identify the disk once it has been prepared.

    Beispielsweise können Sie für den Datenträger Namen WS2016 und für Version, 1.0.0.0 eingeben.For example, for disk name you could type WS2016 and for Version, 1.0.0.0

  8. Überprüfen Sie Ihre Auswahl auf der Seite Einstellungen überprüfen des Assistenten.Review your selections on the Review Settings page of the wizard. Wenn Sie auf generieren klicken, aktiviert der Assistent BitLocker auf dem Vorlagen Datenträger, berechnet den Hash des Datenträgers und erstellt den volumensignaturkatalog, der in den vhdx-Metadaten gespeichert ist.When you click Generate, the wizard will enable BitLocker on the template disk, compute the hash of the disk, and create the Volume Signature Catalog, which is stored in the VHDX metadata.

    Warten Sie, bis der Vorbereitungs Vorgang abgeschlossen ist, bevor Sie versuchen, den Vorlagen Datenträger zu startenWait until the prep process has finished before attempting to mount or move the template disk. Der Vorgang kann je nach Größe des Datenträgers einige Zeit in Anspruch nehmen.This process may take a while to complete, depending on the size of your disk.

    Wichtig

    Vorlagen Datenträger können nur mit dem sicheren geschützten VM-Bereitstellungs Prozess verwendet werden.Template disks can only be used with the secure shielded VM provisioning process. Der Versuch, einen regulären virtuellen Computer mit einem Vorlagen Datenträger zu starten, führt wahrscheinlich zu einem Fehler beim Abbrechen (blauer Bildschirm) und wird nicht unterstützt.Attempting to boot a regular (unshielded) VM using a template disk will likely result in a stop error (blue screen) and is unsupported.

  9. Auf der Seite Zusammenfassung werden Informationen zur Datenträger Vorlage, zum Zertifikat, das zum Signieren des VSC und zum Aussteller des Zertifikats verwendet wird, angezeigt.On the Summary page, information about the disk template, the certificate used to sign the VSC, and the certificate issuer is shown. Klicken Sie auf Schließen, um den Assistenten zu beenden.Click Close to exit the wizard.

Wenn Sie VMM verwenden, führen Sie die Schritte in den restlichen Abschnitten in diesem Thema aus, um einen Vorlagen Datenträger in eine geschützte VM-Vorlage in VMM einzubinden.If you use VMM, follow the steps in the remaining sections in this topic to incorporate a template disk into a shielded VM template in VMM.

Kopieren Sie den Vorlagen Datenträger in die VMM-BibliothekCopy the template disk to the VMM Library

Wenn Sie VMM verwenden, müssen Sie nach dem Erstellen eines Vorlagen Datenträgers diese Datei in eine VMM-Bibliotheks Freigabe kopieren, damit Hosts den Datenträger herunterladen und verwenden können, wenn Sie neue VMs bereitstellen.If you use VMM, after you create a template disk, you need to copy it to a VMM library share so hosts can download and use the disk when provisioning new VMs. Verwenden Sie das folgende Verfahren, um den Vorlagen Datenträger in die VMM-Bibliothek zu kopieren und dann die Bibliothek zu aktualisieren.Use the following procedure to copy the template disk into the VMM library and then refresh the library.

  1. Kopieren Sie die vhdx-Datei in den Ordner der VMM-Bibliotheks Freigabe.Copy the VHDX file to the VMM library share folder. Wenn Sie die VMM-Standardkonfiguration verwendet haben, kopieren Sie den Vorlagen Datenträger in \ \msscvmmlibrary\vhds.If you used the default VMM configuration, copy the template disk to \\MSSCVMMLibrary\VHDs.

  2. Aktualisieren Sie den Bibliothek Server.Refresh the library server. Öffnen Sie den Arbeitsbereich Bibliothek , erweitern Sie Bibliothek Server, klicken Sie mit der rechten Maustaste auf den Bibliothek Server, den Sie aktualisieren möchten, und klicken Sie auf Aktualisieren.Open the Library workspace, expand Library Servers, right-click on the library server that you want to refresh, and click Refresh.

  3. Als Nächstes stellen Sie VMM Informationen zum Betriebssystem bereit, das auf dem Vorlagen Datenträger installiert ist:Next, provide VMM with information about the operating system installed on the template disk:

    a.a. Suchen Sie den neu importierten Vorlagen Datenträger auf dem Bibliothek Server im Arbeitsbereich Bibliothek .Find your newly imported template disk on your library server in the Library workspace.

    b.b. Klicken Sie mit der rechten Maustaste auf den Datenträger und dann auf Eigenschaften.Right-click the disk and then click Properties.

    c.c. Erweitern Sie unter Betriebssystem die Liste, und wählen Sie das Betriebssystem aus, das auf dem Datenträger installiert ist.For operating system, expand the list and select the operating system installed on the disk. Die Auswahl eines Betriebssystems weist VMM darauf hin, dass die vhdx nicht leer ist.Selecting an operating system indicates to VMM that the VHDX is not blank.

    d.d. Klicken Sie auf OK.When you have updated the properties, click OK.

Das kleine Schild Symbol neben dem Namen des Datenträgers bezeichnet den Datenträger als vorbereiteten Vorlagen Datenträger für geschützte VMS.The small shield icon next to the disk's name denotes the disk as a prepared template disk for shielded VMs. Sie können auch mit der rechten Maustaste auf die Spaltenüberschriften klicken und die geschützte Spalte umschalten, um eine Textdarstellung anzuzeigen, die angibt, ob ein Datenträger für reguläre oder abgeschirmte VM-bereit Stellungen vorgesehen ist.You can also right click the column headers and toggle the Shielded column to see a textual representation indicating whether a disk is intended for regular or shielded VM deployments.

Vorlage für abgeschirmte VM-Vorlage

Erstellen der abgeschirmten VM-Vorlage in VMM mithilfe des vorbereiteten Vorlagen DatenträgersCreate the shielded VM template in VMM using the prepared template disk

Mit einem vorbereiteten Vorlagen Datenträger in der VMM-Bibliothek können Sie eine VM-Vorlage für abgeschirmte VMS erstellen.With a prepared template disk in your VMM library, you are ready to create a VM template for shielded VMs. VM-Vorlagen für abgeschirmte VMS unterscheiden sich geringfügig von herkömmlichen VM-Vorlagen dahin, dass bestimmte Einstellungen fest sind (VM der Generation 2, UEFI und sicherer Start aktiviert usw.) und andere nicht verfügbar sind (die Anpassung von Mandanten ist auf einige wenige, ausgewählte Eigenschaften der VM beschränkt).VM templates for shielded VMs differ slightly from traditional VM templates in that certain settings are fixed (generation 2 VM, UEFI and Secure Boot enabled, and so on) and others are unavailable (tenant customization is limited to a few, select properties of the VM). Führen Sie die folgenden Schritte aus, um die VM-Vorlage zu erstellen:To create the VM template, perform the following steps:

  1. Klicken Sie im Arbeitsbereich Bibliothek oben auf der Registerkarte Start auf VM-Vorlage erstellen .In the Library workspace, click Create VM Template on the home tab at the top.

  2. Klicken Sie auf der Seite Quelle auswählen auf Vorhandene VM-Vorlage oder in der Bibliothek gespeicherte virtuelle Festplatte verwenden und dann auf Durchsuchen.On the Select Source page, click Use an existing VM template or a virtual hard disk stored in the library, and then click Browse.

  3. Wählen Sie im angezeigten Fenster einen vorbereiteten Vorlagen Datenträger aus der VMM-Bibliothek aus.In the window that appears, select a prepared template disk from the VMM library. Um leichter festzustellen, welche Datenträger vorbereitet werden, klicken Sie mit der rechten Maustaste auf einen Spaltenheader, und aktivieren Sie die geschützte Spalte.To more easily identify which disks are prepared, right-click a column header and enable the Shielded column. Klicken Sie auf OK und dann weiter.Click OK then Next.

  4. Geben Sie einen VM-Vorlagen Namen und optional eine Beschreibung ein, und klicken Sie dann auf weiter.Specify a VM template name and optionally a description, and then click Next.

  5. Geben Sie auf der Seite Hardware konfigurieren die Funktionen der virtuellen Computer an, die aus dieser Vorlage erstellt wurden.On the Configure Hardware page, specify the capabilities of VMs created from this template. Stellen Sie sicher, dass mindestens eine NIC für die VM-Vorlage verfügbar und konfiguriert ist.Ensure that at least one NIC is available and configured on the VM template. Die einzige Möglichkeit für einen Mandanten, eine Verbindung mit einer abgeschirmten VM herzustellen, ist die Remotedesktopverbindung, Windows-Remoteverwaltung oder anderen vorkonfigurierten Remote Verwaltungs Tools, die über Netzwerkprotokolle arbeiten.The only way for a tenant to connect to a shielded VM is through Remote Desktop Connection, Windows Remote Management, or other pre-configured remote management tools that work over networking protocols.

    Wenn Sie statische IP-Pools in VMM nutzen möchten, anstatt einen DHCP-Server im Mandanten Netzwerk ausführen zu müssen, müssen Sie Ihre Mandanten für diese Konfiguration benachrichtigen.If you choose to leverage static IP pools in VMM instead of running a DHCP server on the tenant network, you will need to alert your tenants to this configuration. Wenn ein Mandant seine Schutz Datendatei bereitstellt, die die Datei für die unbeaufsichtigte Installation für VMM enthält, muss er spezielle Platzhalter Werte für die Informationen des statischen IP-Pools angeben.When a tenant supplies their shielding data file, which contains the unattend file for the VMM, they will need to provide special placeholder values for the static IP pool information. Weitere Informationen zu VMM-Platzhaltern in Dateien für die unbeaufsichtigte Installation von Mandanten finden Sie unter Erstellen einer Antwortdatei.For more information about VMM placeholders in tenant unattend files, see Create an answer file.

  6. Auf der Seite Betriebs System konfigurieren werden von VMM nur einige Optionen für abgeschirmte VMS angezeigt, einschließlich der Product Key, der Zeitzone und des Computer namens.On the Configure Operating System page, VMM will only show a few options for shielded VMs, including the product key, time zone, and computer name. Einige sichere Informationen, z. b. das Administrator Kennwort und der Domänen Name, werden vom Mandanten über eine geschützte Datendatei () angegeben. PDK-Datei).Some secure information, such as the administrator password and domain name, is specified by the tenant through a shielding data file (.PDK file).

    Hinweis

    Wenn Sie einen Product Key auf dieser Seite angeben, stellen Sie sicher, dass er für das Betriebssystem auf dem Vorlagen Datenträger gültig ist.If you choose to specify a product key on this page, ensure it is valid for the operating system on the template disk. Wenn eine falsche Product Key verwendet wird, tritt bei der VM-Erstellung ein Fehler auf.If an incorrect product key is used, the VM creation will fail.

Nachdem die Vorlage erstellt wurde, können Mandanten Sie zum Erstellen neuer virtueller Maschinen verwenden.After the template is created, tenants can use it to create new virtual machines. Sie müssen überprüfen, ob es sich bei der VM-Vorlage um eine der für die Mandantenadministrator-Benutzerrolle verfügbaren Ressourcen handelt (in VMM befinden sich Benutzer Rollen im Arbeitsbereich " Einstellungen ").You will need to verify that the VM template is one of the resources available to the Tenant Administrator user role (in VMM, user roles are in the Settings workspace).

Vorbereiten und schützen der vhdx-Datei mithilfe von PowerShellPrepare and protect the VHDX using PowerShell

Als Alternative zum Ausführen des Assistenten für Vorlagen Datenträger können Sie den Vorlagen Datenträger und das Zertifikat auf einen Computer mit RSAT kopieren und Protect-templatedisk ausführen, um den Signatur Prozess zu initiieren.As an alternative to running the Template Disk Wizard, you can copy your template disk and certificate to a computer running RSAT and run Protect-TemplateDisk to initiate the signing process. Im folgenden Beispiel werden der Name und die Versionsinformationen verwendet, die von den Parametern templatename und Version angegeben werden.The following example uses the name and version information specified by the TemplateName and Version parameters. Die vhdx-Datei, die Sie für den-Parameter bereitstellen -Path , wird mit dem aktualisierten Vorlagen Datenträger überschrieben. Achten Sie daher darauf, dass Sie vor dem Ausführen des BefehlsThe VHDX you provide to the -Path parameter will be overwritten with the updated template disk, so be sure to make a copy before running the command.

# Replace "THUMBPRINT" with the thumbprint of your template disk signing certificate in the line below
$certificate = Get-Item Cert:\LocalMachine\My\THUMBPRINT

Protect-TemplateDisk -Certificate $certificate -Path "WindowsServer2019-ShieldedTemplate.vhdx" -TemplateName "Windows Server 2019" -Version 1.0.0.0

Der Vorlagen Datenträger kann jetzt zum Bereitstellen von abgeschirmten VMS verwendet werden.Your template disk is now ready to be used to provision shielded VMs. Wenn Sie System Center Virtual Machine Manager zum Bereitstellen Ihrer VM verwenden, können Sie jetzt die vhdx-Datei in die VMM-Bibliothek kopieren.If you are using System Center Virtual Machine Manager to deploy your VM, you can now copy the VHDX to your VMM library.

Möglicherweise möchten Sie auch den volumesignaturkatalog aus der vhdx-Datei extrahieren.You may also want to extract the volume signature catalog from the VHDX. Diese Datei wird verwendet, um Informationen über das Signaturzertifikat, den Datenträger Namen und die Version für die VM-Besitzer bereitzustellen, die Ihre Vorlage verwenden möchten.This file is used to provide information about the signing certificate, disk name, and version to VM owners who want to use your template. Sie müssen diese Datei in den Assistenten für die Schutz Datendatei importieren, um Sie zu autorisieren, den Vorlagen Autor im Besitz des Signatur Zertifikats, um diesen und zukünftige Vorlagen Datenträger zu erstellen.They need to import this file into the Shielding Data File Wizard to authorize you, the template author in possession of the signing certificate, to create this and future template disks for them.

Führen Sie den folgenden Befehl in PowerShell aus, um den volumesignaturkatalog zu extrahieren:To extract the volume signature catalog, run the following command in PowerShell:

Save-VolumeSignatureCatalog -TemplateDiskPath 'C:\temp\MyLinuxTemplate.vhdx' -VolumeSignatureCatalogPath 'C:\temp\MyLinuxTemplate.vsc'

Nächster SchrittNext step

Weitere VerweiseAdditional References