在 Azure Stack HCI 版本 23H2 上部署 Azure Arc VM 的信任啟動

適用於：Azure Stack HCI 版本 23H2

本文說明如何在 Azure Stack HCI 版本 23H2 上部署 Azure Arc 虛擬機 (VM) 受信任的啟動。

必要條件

請確定您可以存取已部署並向 Azure 註冊的 Azure Stack HCI 版本 23H2 叢集。 如需詳細資訊，請參閱使用 Azure 入口網站 進行部署。

建立受信任的啟動Arc VM

您可以使用 Azure 入口網站 或使用 Azure Command-Line Interface (CLI) 來建立受信任的啟動 VM。 使用下列索引標籤來選取方法。

Azure 入口網站

若要在 Azure Stack HCI 上建立受信任的啟動 Arc VM，請遵循使用 Azure 入口網站 在 Azure Stack HCI 上建立 Arc 虛擬機中的步驟，並進行下列變更：

1. 建立 VM 時，請選取 [信任啟動虛擬機 ] 以取得安全性類型。

   

2. 從支援的映像清單中選取 VM 客體 OS 映射：

   

3. 建立 VM 之後，請移至 VM 屬性 頁面，並確認顯示的安全性類型為 [信任啟動]。

   

Azure CLI

若要在 Azure Stack HCI 上建立受信任的啟動 Arc VM，請遵循使用 Azure CLI 在 Azure Stack HCI 上建立 Arc 虛擬機 中的步驟，並進行下列變更：

1. 透過信任從 Azure Marketplace 啟動，使用支援的 VM 客體 OS 映射來建立 VM 映像。 如需詳細資訊，請參閱使用 Azure Marketplace 建立 Azure Stack HCI VM 映射。

2. 使用 CLI 建立 VM，如下所示：

   $vmName="<Name of the VM>" 
   $subscription="<Subscription ID associated with your cluster>" 
   $resourceGroup="<Resource group name for your cluster>" 
   $location="<Location for your Azure Stack HCI cluster>" 
   $customLocationID=(az customlocation show --resource-group $resource_group --name "<custom location name for HCI cluster>" --query id -o tsv) 
   $guestName="<Name of the guest>" 
   $userName="<Username for VM>" 
   $password="<Password for VM>" 
   $galleryImageName="<Name of VM guest image>" 
   $vNic="<Name of virtual network interface>" 
   
   az stack-hci-vm create --name $vmName --subscription $subscription --resource-group $resourceGroup --custom-location=$customLocationID --location $location --size="Default" --computer-name $guestName --admin-username $userName --admin-password $password --image $galleryImageName --nics $vNic --enable-secure-boot true --enable-vtpm true --security-type "TrustedLaunch"
   

   範例輸出：

   {
     "extendedLocation": {
       "name": "/subscriptions/myhci-sub/resourceGroups/myhci-rg/Microsoft.ExtendedLocation/customLocations/myhci-cl",
       "type": "CustomLocation"
     },
     "id": "/subscriptions/myhci-sub/resourceGroups/myhci-rg/providers/Microsoft.HybridCompute/machines/tvm1/providers/Microsoft.AzureStackHCI/virtualMachineInstances/default",
     "name": "default",
     "properties": {
       "hardwareProfile": {
         "dynamicMemoryConfig": {
           "maximumMemoryMb": null,
           "minimumMemoryMb": null,
           "targetMemoryBuffer": null
         },
         "memoryMb": 4096,
         "processors": 4,
         "vmSize": "Custom"
       },
       "instanceView": {
         "vmAgent": {
           "statuses": []
         }
       },
       "networkProfile": {
         "networkInterfaces": [
           {
             "id": "ram-nic"
           }
         ]
       },
       "osProfile": {
         "adminPassword": null,
         "adminUsername": "admin",
         "computerName": "myhci-tvm",
         "linuxConfiguration": {
           "disablePasswordAuthentication": null,
           "provisionVmAgent": false,
           "provisionVmConfigAgent": false,
           "ssh": {
             "publicKeys": null
           }
         },
         "windowsConfiguration": {
           "enableAutomaticUpdates": null,
           "provisionVmAgent": false,
           "provisionVmConfigAgent": false,
           "ssh": {
             "publicKeys": null
           },
           "timeZone": null
         }
       },
       "provisioningState": "Succeeded",
       "securityProfile": {
         "enableTpm": true,
         "securityType": "TrustedLaunch",
         "uefiSettings": {
           "secureBootEnabled": true
         }
       },
       "status": {
         "powerState": "Running"
       },
       "storageProfile": {
         "dataDisks": [],
         "imageReference": {
           "id": "/subscriptions/myhci-sub/resourceGroups/myhci-rg/providers/Microsoft.AzureStackHCI/marketplacegalleryimages/Win11EntMulti21H2",
           "resourceGroup": "myhci-rg"
         },
         "osDisk": {
           "id": null,
           "osType": "Windows"
         },
         "storagepathId": null
       },
       "vmId": "myhci-tvm-1234567890"
     },
     "resourceGroup": "myhci-rg",
     "systemData": {
       "createdAt": "2023-10-24T19:15:47.152610+00:00",
       "createdBy": "registration@contoso.com",
       "createdByType": "User",
       "lastModifiedAt": "2023-10-24T19:41:05.196469+00:00",
       "lastModifiedBy": "319f651f-7ddb-4fc6-9857-7aef9250bd05",
       "lastModifiedByType": "Application"
     },
     "tags": null,
     "type": "microsoft.azurestackhci/virtualmachineinstances"
   }
   

3. 建立 VM 之後，請確認 VM 的安全性類型為 [受信任的啟動]。

4. 執行下列 Cmdlet 以尋找 VM 的擁有者節點：

   Get-ClusterGroup $vmName
   

5. 在 VM 的擁有者節點上執行下列 Cmdlet：

   (Get-VM $vmName).GuestStateIsolationType
   

6. 確定傳回 TrustedLaunch 的值。

範例

此範例顯示執行 Windows 11 客體且已啟用 BitLocker 加密的受信任啟動 Arc VM。 以下是練習案例的步驟：

1. 建立受信任的啟動Arc VM，執行支援的 Windows 11客體作業系統。

2. 為 Win 11 客體上的 OS 磁碟區啟用 BitLocker 加密。

   登入 Windows 11 客體，併為 OS 磁碟區啟用 BitLocker 加密 () ：在任務欄的搜尋方塊中，輸入 [管理 BitLocker]，然後從結果清單中選取它。 選取 [開啟 BitLocker ]，然後依照指示將 OS 磁碟區加密 (C：) 。 BitLocker 將使用 vTPM 作為 OS 磁碟區的密鑰保護裝置。

3. 將 VM 遷移至叢集中的另一個節點。 執行下列 PowerShell 命令：

   Move-ClusterVirtualMachineRole -Name $vmName -Node <destination node name> -MigrationType Shutdown
   

4. 確認 VM 的擁有者節點是指定的目的地節點：

   Get-ClusterGroup $vmName
   

5. VM 移轉完成之後，請確認 VM 是否可用且已啟用 BitLocker。

6. 確認您是否可以在 VM 中登入 Windows 11 客體，以及 OS 磁碟區的 BitLocker 加密是否保持啟用狀態。 如果可以這麼做，這會確認 vTPM 狀態已在 VM 移轉期間保留。

   如果在 VM 移轉期間未保留 vTPM 狀態，VM 啟動會導致客體開機期間進行 BitLocker 復原。 也就是說，當您嘗試登入 Windows 11 來賓時，系統就會提示您輸入 BitLocker 修復密碼。 這是因為 (儲存在目的地節點上已移轉 VM 的 vTPM) 開機度量與原始 VM 不同。

7. 強制 VM 故障轉移至叢集中的另一個節點。

   1. 使用此指令確認 VM 的擁有者節點：

      Get-ClusterGroup $vmName
      

   2. 使用故障轉移叢集管理員來停止擁有者節點上的叢集服務，如下所示：選取故障轉移叢集管理員中顯示的擁有者節點。  在 [ 動作 ] 右窗格中，選取 [更多動作 ]，然後選取 [ 停止叢集服務]。

   3. 停止擁有者節點上的叢集服務會導致 VM 自動移轉至叢集中的另一個可用節點。 之後重新啟動叢集服務。

8. 故障轉移完成之後，請確認 VM 是否可用，並在故障轉移之後啟用 BitLocker。

9. 確認 VM 的擁有者節點是指定的目的地節點：

   Get-ClusterGroup $vmName
   

下一步

• 管理受信任的啟動Arc VM客體狀態保護金鑰。