Scenario: Distribuire host sorvegliati e macchine virtuali schermate in VMMScenario - Deploy guarded hosts and shielded virtual machines in VMM

Importante

Questa versione di Virtual Machine Manager (VMM) ha raggiunto la fine del supporto. È consigliabile eseguire l'aggiornamento a VMM 2019.This version of Virtual Machine Manager (VMM) has reached the end of support, we recommend you to upgrade to VMM 2019.

Questo articolo offre una panoramica della distribuzione di host sorvegliati Hyper-V e macchine virtuali schermate in un'infrastruttura di calcolo di System Center Virtual Machine Manager (VMM).This article provides an overview of deploying Hyper-V guarded hosts and shielded virtual machines in a System Center - Virtual Machine Manager (VMM) compute fabric.

Le infrastrutture sorvegliate forniscono ulteriore protezione per le macchine virtuali per impedire manomissioni e furti da amministratori malintenzionati e tramite malware.Guarded fabrics provide additional protections for VMs to prevent tampering and theft by malicious administrators and malware. Il provider di servizi cloud o l'amministratore del cloud privato può distribuire un'infrastruttura sorvegliata costituita in genere da un server che esegue il servizio Sorveglianza host (HGS), uno o più server host Hyper-V sorvegliati e una o più VM schermate in esecuzione in tali host.As a cloud service provider or private cloud administrator, you can deploy a guarded fabric that typically consists of a server running the host guardian service (HGS), one or more guarded Hyper-V host servers, and one or more shielded VMs running on those hosts. Altre informazioni sulle infrastrutture sorvegliate.Learn more about guarded fabrics.

Funzionalità per la protezione di VMWhy do I need to protect VMs?

Le macchine virtuali contengono dati sensibili ed elementi di configurazione che probabilmente il proprietario della macchina virtuale non vuole siano visibili per l'amministratore di un'infrastruttura.Virtual machines contain sensitive data and configuration that the VM owner may not want a fabric administrator to see. Dato che tutti i dati per le macchine virtuali sono archiviati in file, tuttavia, questi dati possono essere facilmente copiati e visionati da un amministratore malintenzionato o tramite malware.However, since all the data for VMs are stored in files, the data can easily be copied off and inspected by malware or a malicious administrator. Le VM schermate in Windows Server consentono di evitare attacchi di questo tipo tramite processi di attestazione rigorosi dell'integrità di un host Hyper-V prima dell'avvio di una macchina virtuale, assicurando che la macchina virtuale possa essere avviata solo nei data center autorizzati dal proprietario della macchina virtuale e consentendo al sistema operativo guest di crittografare i propri dati usando un nuovo TPM virtuale.Shielded VMs in Windows Server help prevent such attacks by rigorously attesting to the health of a Hyper-V host before booting up a VM, ensuring the VM can only be started in datacenters authorized by the VM owner, and enabling the guest OS to encrypt its own data through the use of a new, virtual TPM. Il proprietario della macchina virtuale può selezionare uno dei due tipi seguenti di protezione al momento della creazione di una macchina virtuali con esigenze particolari per la sicurezza:The VM owner can select from the following two types of protection when creating a security-sensitive VM:

  • Supporto della crittografia: ideale per scenari di cloud privato aziendale in cui è necessario applicare la crittografia ai dati inattivi e in transito, ma gli amministratori dell'infrastruttura sono comunque fidati.Encryption Supported: Ideal for enterprise private cloud scenarios where encryption of data at rest and in-flight is necessary, but the fabric administrators are still trusted. La console della macchina virtuale e altri strumenti per la gestione rimangono disponibili per gli amministratori dell'infrastruttura.The VM console and other management conveniences remain available to fabric administrators.
  • Schermata: la schermatura rappresenta l'opzione di distribuzione più sicura e impedisce agli amministratori dell'infrastruttura di connettersi alla console della macchina virtuale o di modificare gli aspetti relativi alla sicurezza della configurazione della macchina virtuale.Shielded: The most secure deployment option, shielding prevents fabric administrators from connecting to the VM console or modifying security aspects of the VM configuration. I proprietari delle macchine virtuali possono accedere alla macchina virtuale solo tramite gli strumenti di gestione remota che scelgono di abilitare.VM owners can only access the VM through remote management tools they choose to enable. Questa è l'opzione consigliata per i tenant con carichi di lavoro sensibili su un'infrastruttura pubblica o condivisa.This is recommended for tenants running sensitive workloads on public or shared infrastructure.

Gestione di un'infrastruttura sorvegliata con VMMManaging a guarded fabric with VMM

L'infrastruttura sorvegliata di base (costituita da uno o più host Hyper-V sorvegliati, dal servizio Sorveglianza host e dagli elementi necessari per creare VM schermate) è inclusa in Windows Server 2016 e versioni successive e deve essere configurata in base alla documentazione sulle infrastrutture sorvegliate.The core guarded fabric infrastructure (consisting of one or more guarded Hyper-V hosts, the Host Guardian Service, and the artifacts needed to create shielded VMs) is included with Windows Server 2016 and above, and must be configured according to the guarded fabric documentation. Dopo aver configurato l'infrastruttura sorvegliata, per semplificarne la gestione è possibile usare facoltativamente System Center Virtual Machine Manager.Once set up, you can optionally use System Center - Virtual Machine Manager to simplify management of the guarded fabric.

È possibile usare VMM per:VMM can be used to:

  • Provisioning e gestione di host sorvegliati nell'infrastruttura di VMM: è possibile aggiungere e gestire host sorvegliati nell'infrastruttura di VMM.Provision and manage guarded hosts in the VMM fabric: You can add and manage guarded hosts to the VMM fabric. Un host sorvegliato è un server Hyper-V che:A guarded host is a Hyper-V server that:
    • Soddisfa i prerequisiti per gli host sorvegliati.Meets the guarded host prerequisites.
    • È autorizzato dal servizio Sorveglianza host per l'infrastruttura a eseguire VM schermate.Is authorized by the Host Guardian Service for the fabric to run shielded VMs. L'amministratore di HGS determina i requisiti in base ai quali viene eseguita l'attestazione degli host in modo che possano diventare "sorvegliati".The HGS admin determines the requirements for hosts to successfully attest and become "guarded".
    • È contrassegnato come sorvegliato in VMM mediante la configurazione di URL di HGS corrispondenti a quelli specificati nelle impostazioni globali di VMM.Is marked as guarded in VMM by configuring it to use the same HGS URLs as those specified in the global VMM settings.
  • Configurazione di un disco rigido virtuale schermato e, facoltativamente, di un modello di macchina virtuale: i dischi modello firmati (VHDX) usati per distribuire nuove VM schermate possono essere archiviati nella libreria VMM per semplificare la distribuzione.Configure a shielded virtual hard disk and optionally a VM template: Signed template disks (VHDX) used to deploy new shielded VMs can be stored in the VMM library for easy deployment. È quindi possibile usare questo VHDX in un modello di macchina virtuale.You can then use this VHDX in a VM template.
  • Provisioning e gestione di VM schermate: VMM supporta l'intero ciclo di vita delle VM schermate.Provision and manage shielded VMs: VMM supports the full lifecycle of shielded VMs. Sono inclusi:This includes:
    • Creazione di nuove VM schermate da un disco modello firmato (VHDX) e uso facoltativo di un modello di macchina virtuale.Creating new shielded VMs from a signed template disk (VHDX), and optionally using a VM template.
    • Conversione di macchine virtuali esistenti in VM schermate.Converting existing VMs to shielded VMs.

Passaggi successiviNext steps