Nejčastější dotazy k důvěryhodnému spuštění

Článek
10/24/2024

Upozornění

Tento článek odkazuje na CentOS, linuxovou distribuci, která se blíží stavu ukončení životnosti (EOL). Zvažte použití a plán odpovídajícím způsobem. Další informace najdete v doprovodných materiálech centOS EOL.

Nejčastější dotazy k případům použití funkcí Azure Trusted Launch, podpoře dalších funkcí Azure a opravám běžných chyb

Případy použití

Tato část odpovídá na otázky týkající se případů použití důvěryhodného spuštění.

Proč mám používat důvěryhodné spuštění? Co chrání důvěryhodné spuštění?

Trusted Launch chrání před spouštěcími sadami, rootkity a malwarem na úrovni jádra. Tyto sofistikované typy malwaru běží v režimu jádra a zůstávají skryté uživatelům. Příklad:

Rootkity firmwaru: Tyto sady přepíší firmware systému BIOS virtuálního počítače, aby se rootkit mohl spustit před operačním systémem (OS).
Spouštěcí sady: Tyto sady nahrazují zavaděč operačního systému tak, aby virtuální počítač načítal spouštěcí sadu před operačním systémem.
Rootkity jádra: Tyto sady nahrazují část jádra operačního systému, takže se rootkit může spustit automaticky při načtení operačního systému.
Rootkity ovladačů: Tyto sady předstírají, že jde o jeden z důvěryhodných ovladačů, které operační systém používá ke komunikaci s komponentami virtuálního počítače.

Jaké jsou rozdíly mezi zabezpečeným spouštěním a měřeným spouštěním?

V řetězu zabezpečeného spouštění každý krok v procesu spouštění zkontroluje kryptografický podpis následných kroků. Systém BIOS například kontroluje podpis na zavaděče a zavaděč kontroluje podpisy na všech objektech jádra, které načítá, atd. Pokud dojde k ohrožení zabezpečení některého z objektů, podpis se neshoduje a virtuální počítač se nespustí. Další informace najdete v tématu Zabezpečené spouštění.

Jak se důvěryhodné spuštění porovnává s chráněným virtuálním počítačem Hyper-V?

Stíněný virtuální počítač Hyper-V je aktuálně k dispozici pouze na hyper-V. Stíněný virtuální počítač Hyper-V se obvykle nasazuje s stráženými prostředky infrastruktury. Strážené prostředky infrastruktury se skládají ze služby Strážce hostitele (HGS), jednoho nebo několika strážených hostitelů a sady stíněných virtuálních počítačů. Stíněné virtuální počítače Hyper-V se používají v prostředcích infrastruktury, kde musí být data a stav virtuálního počítače chráněny před různými aktéry. Tito aktéři jsou správci prostředků infrastruktury i nedůvěryhodný software, který může běžet na hostitelích Hyper-V.

Důvěryhodné spuštění se dá na druhou stranu nasadit jako samostatný virtuální počítač nebo jako škálovací sady virtuálních počítačů v Azure bez jiného nasazení a správy HGS. Všechny funkce Důvěryhodného spuštění je možné povolit jednoduchou změnou kódu nasazení nebo zaškrtávacím políčkam na webu Azure Portal.

Co je stav hosta virtuálního počítače (VMGS)?

Stav hosta virtuálního počítače (VMGS) je specifický pro virtuální počítače důvěryhodného spuštění. Je to objekt blob spravovaný Azure a obsahuje databáze s jednotným rozhraním UEFI (Secure Boot Secure Boot) a dalšími informacemi o zabezpečení. Životní cyklus objektu blob VMGS je svázaný s diskem s operačním systémem.

Můžu pro nové nasazení virtuálního počítače zakázat důvěryhodné spuštění?

Důvěryhodné spouštěcí virtuální počítače poskytují základní zabezpečení výpočetních prostředků. Doporučujeme, abyste je nezakáželi pro nová nasazení virtuálních počítačů nebo škálovací sady virtuálních počítačů, s výjimkou případů, kdy jsou vaše nasazení závislá na:

Pomocí parametru securityType Standard s hodnotou můžete zakázat důvěryhodné spuštění v novém virtuálním počítači nebo nasazení škálovací sady virtuálních počítačů pomocí Azure PowerShellu (v10.3.0+) a Azure CLI (v2.53.0+).

Poznámka:

Nedoporučujeme zakázat zabezpečené spouštění, pokud nepoužíváte vlastní nepodepsané jádro nebo ovladače.

Pokud potřebujete zakázat zabezpečené spouštění, v konfiguraci virtuálního počítače zrušte zaškrtnutí políčka Povolit zabezpečené spouštění .

Rozhraní příkazového řádku
PowerShell

az vm create -n MyVm -g MyResourceGroup --image Ubuntu2204 `
    --security-type 'Standard'

$adminUsername = <USER NAME>
$adminPassword = <PASSWORD> | ConvertTo-SecureString -AsPlainText -Force
$vmCred = New-Object System.Management.Automation.PSCredential($adminUsername, $adminPassword)
New-AzVM -Name MyVm -Credential $vmCred -SecurityType Standard

Podporované funkce a nasazení

Tato část popisuje podporované funkce a nasazení Trusted Launch.

Podporuje Azure Compute Gallery důvěryhodné spuštění?

Důvěryhodné spuštění teď umožňuje vytváření a sdílení imagí prostřednictvím Galerie výpočetních prostředků Azure (dříve Sdílená galerie imagí). Zdroj image může být následující:

Existující virtuální počítač Azure, který je zobecněný nebo specializovaný.
Existující spravovaný disk nebo snímek
Virtuální pevný disk nebo verze image z jiné galerie.

Další informace o nasazení důvěryhodného spouštěcího virtuálního počítače pomocí Galerie výpočetních prostředků Azure najdete v tématu Nasazení důvěryhodných spouštěcích virtuálních počítačů.

Podporuje služba Azure Backup důvěryhodné spuštění?

Důvěryhodné spuštění teď podporuje Službu Azure Backup. Další informace najdete v tématu Matice podpory pro zálohování virtuálních počítačů Azure.

Bude služba Azure Backup dál fungovat po povolení důvěryhodného spuštění?

Zálohování nakonfigurované pomocí rozšířených zásad pokračuje v zálohování virtuálních počítačů po povolení důvěryhodného spuštění.

Podporují důvěryhodné spuštění dočasné disky s operačním systémem?

Trusted Launch podporuje dočasné disky s operačním systémem. Další informace najdete v tématu Důvěryhodné spuštění dočasných disků s operačním systémem.

Poznámka:

Pokud použijete dočasné disky pro virtuální počítače důvěryhodného spuštění, klíče a tajné kódy vygenerované nebo zapečetěné virtuálním modulem Trusted Platform Module (vTPM) po vytvoření virtuálního počítače nemusí být zachovány napříč operacemi, jako jsou přepracování a události platformy, jako jsou opravy služeb.

Jsou funkce zabezpečení dostupné i s důvěryhodným spuštěním, které platí i pro datové disky?

Důvěryhodné spuštění poskytuje základní zabezpečení operačního systému hostovaného na virtuálním počítači tím, že ověřuje jeho integritu spouštění. Důvěryhodné funkce zabezpečení pro spuštění operačního systému a operačního systému platí jenom pro datové disky nebo binární soubory operačního systému uložené na datových discích. Další podrobnosti najdete v tématu Přehled důvěryhodného spuštění.

Je možné virtuální počítač obnovit pomocí záloh provedených před povolením důvěryhodného spuštění?

Zálohy pořízené před upgradem existujícího virtuálního počítače generace 2 na důvěryhodné spuštění je možné použít k obnovení celého virtuálního počítače nebo jednotlivých datových disků. Nejde je použít k obnovení nebo nahrazení pouze disku s operačním systémem.

Jak najdu velikosti virtuálních počítačů, které podporují důvěryhodné spuštění?

Podívejte se na seznam velikostí virtuálních počítačů generace 2, které podporují důvěryhodné spuštění.

Pomocí následujících příkazů zkontrolujte, jestli velikost virtuálního počítače generace 2 nepodporuje důvěryhodné spuštění.

Rozhraní příkazového řádku
PowerShell

subscription="<yourSubID>"
region="westus"
vmSize="Standard_NC12s_v3"

az vm list-skus --resource-type virtualMachines  --location $region --query "[?name=='$vmSize'].capabilities" --subscription $subscription

$region = "southeastasia"
$vmSize = "Standard_M64"
(Get-AzComputeResourceSku | where {$_.Locations.Contains($region) -and ($_.Name -eq $vmSize) })[0].Capabilities

Odpověď je podobná následujícímu formuláři. Výstup, který obsahuje TrustedLaunchDisabled True , značí, že velikost virtuálního počítače generace 2 nepodporuje důvěryhodné spuštění. Pokud se jedná o velikost virtuálního počítače 2. generace a TrustedLaunchDisabled není součástí výstupu, je pro tuto velikost virtuálního počítače podporováno důvěryhodné spuštění.

Name                                         Value
----                                         -----
MaxResourceVolumeMB                          8192000
OSVhdSizeMB                                  1047552
vCPUs                                        64
MemoryPreservingMaintenanceSupported         False
HyperVGenerations                            V1,V2
MemoryGB                                     1000
MaxDataDiskCount                             64
CpuArchitectureType                          x64
MaxWriteAcceleratorDisksAllowed              8
LowPriorityCapable                           True
PremiumIO                                    True
VMDeploymentTypes                            IaaS
vCPUsAvailable                               64
ACUs                                         160
vCPUsPerCore                                 2
CombinedTempDiskAndCachedIOPS                80000
CombinedTempDiskAndCachedReadBytesPerSecond  838860800
CombinedTempDiskAndCachedWriteBytesPerSecond 838860800
CachedDiskBytes                              1318554959872
UncachedDiskIOPS                             40000
UncachedDiskBytesPerSecond                   1048576000
EphemeralOSDiskSupported                     True
EncryptionAtHostSupported                    True
CapacityReservationSupported                 False
TrustedLaunchDisabled                        True
AcceleratedNetworkingEnabled                 True
RdmaEnabled                                  False
MaxNetworkInterfaces                         8

Jak můžu ověřit, jestli image operačního systému podporuje důvěryhodné spuštění?

Podívejte se na seznam verzí operačního systému podporovaných důvěryhodným spuštěním.

Image operačního systému Marketplace

Pomocí následujících příkazů zkontrolujte, jestli image operačního systému Azure Marketplace podporuje důvěryhodné spuštění.

Rozhraní příkazového řádku
PowerShell

az vm image show --urn "MicrosoftWindowsServer:WindowsServer:2022-datacenter-azure-edition:latest"

Odpověď je podobná následujícímu formuláři. Pokud hyperVGeneration je v2 a SecurityType obsahuje TrustedLaunch ve výstupu, image operačního systému 2. generace podporuje důvěryhodné spuštění.

{
  "architecture": "x64",
  "automaticOsUpgradeProperties": {
    "automaticOsUpgradeSupported": false
  },
  "dataDiskImages": [],
  "disallowed": {
    "vmDiskType": "Unmanaged"
  },
  "extendedLocation": null,
  "features": [
    {
      "name": "SecurityType",
      "value": "TrustedLaunchAndConfidentialVmSupported"
    },
    {
      "name": "IsAcceleratedNetworkSupported",
      "value": "True"
    },
    {
      "name": "DiskControllerTypes",
      "value": "SCSI, NVMe"
    },
    {
      "name": "IsHibernateSupported",
      "value": "True"
    }
  ],
  "hyperVGeneration": "V2",
  "id": "/Subscriptions/00000000-0000-0000-0000-00000000000/Providers/Microsoft.Compute/Locations/westus/Publishers/MicrosoftWindowsServer/ArtifactTypes/VMImage/Offers/WindowsServer/Skus/2022-datacenter-azure-edition/Versions/20348.1906.230803",
  "imageDeprecationStatus": {
    "alternativeOption": null,
    "imageState": "Active",
    "scheduledDeprecationTime": null
  },
  "location": "westus",
  "name": "20348.1906.230803",
  "osDiskImage": {
    "operatingSystem": "Windows",
    "sizeInGb": 127
  },
  "plan": null,
  "tags": null
}

Get-AzVMImage -Skus 22_04-lts-gen2 -PublisherName Canonical -Offer 0001-com-ubuntu-server-jammy -Location westus3 -Version latest

Výstup příkazu můžete použít s virtuálními počítači – Získat rozhraní API. Odpověď je podobná následujícímu formuláři. Pokud hyperVGeneration je v2 a SecurityType obsahuje TrustedLaunch ve výstupu, image operačního systému 2. generace podporuje důvěryhodné spuštění.

{
    "properties": {
        "hyperVGeneration": "V2",
        "architecture": "x64",
        "replicaType": "Managed",
        "replicaCount": 10,
        "disallowed": {
            "vmDiskType": "Unmanaged"
        },
        "automaticOSUpgradeProperties": {
            "automaticOSUpgradeSupported": false
        },
        "imageDeprecationStatus": {
            "imageState": "Active"
        },
        "features": [
            {
                "name": "SecurityType",
                "value": "TrustedLaunchSupported"
            },
            {
                "name": "IsAcceleratedNetworkSupported",
                "value": "True"
            },
            {
                "name": "DiskControllerTypes",
                "value": "SCSI, NVMe"
            },
            {
                "name": "IsHibernateSupported",
                "value": "True"
            }
        ],
        "osDiskImage": {
            "operatingSystem": "Linux",
            "sizeInGb": 30
        },
        "dataDiskImages": []
    },
    "location": "WestUS3",
    "name": "22.04.202309080",
    "id": "/Subscriptions/00000000-0000-0000-0000-000000000000/Providers/Microsoft.Compute/Locations/WestUS3/Publishers/Canonical/ArtifactTypes/VMImage/Offers/0001-com-ubuntu-server-jammy/Skus/22_04-lts-gen2/Versions/22.04.202309080"
}

Image operačního systému Galerie výpočetních prostředků Azure

Pomocí následujících příkazů zkontrolujte, jestli image operačního systému Galerie výpočetních prostředků Azure podporuje důvěryhodné spuštění.

Rozhraní příkazového řádku
PowerShell

az sig image-definition show `
    --gallery-image-definition myImageDefinition `
    --gallery-name myImageGallery `
    --resource-group myImageGalleryRg

{
  "architecture": "x64",
  "features": [
    {
      "name": "SecurityType",
      "value": "TrustedLaunchSupported"
    }
  ],
  "hyperVGeneration": "V2",
  "id": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myImageGalleryRg/providers/Microsoft.Compute/galleries/myImageGallery/images/myImageDefinition",
  "identifier": {
    "offer": "myImageDefinition",
    "publisher": "myImageDefinition",
    "sku": "myImageDefinition"
  },
  "location": "westus3",
  "name": "myImageDefinition",
  "osState": "Generalized",
  "osType": "Windows",
  "provisioningState": "Succeeded",
  "recommended": {
    "memory": {
      "max": 32,
      "min": 1
    },
    "vCPUs": {
      "max": 16,
      "min": 1
    }
  },
  "resourceGroup": "myImageGalleryRg",
  "tags": {},
  "type": "Microsoft.Compute/galleries/images"
}

Get-AzGalleryImageDefinition -ResourceGroupName myImageGalleryRg `
    -GalleryName myImageGallery -GalleryImageDefinitionName myImageDefinition

ResourceGroupName : myImageGalleryRg
OsType            : Windows
OsState           : Generalized
HyperVGeneration  : V2
Identifier        :
  Publisher       : myImageDefinition
  Offer           : myImageDefinition
  Sku             : myImageDefinition
Recommended       :
  VCPUs           :
    Min           : 1
    Max           : 16
  Memory          :
    Min           : 1
    Max           : 32
ProvisioningState : Succeeded
Id                : /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myImageGalleryRg/providers/Microsoft.Compute/galleries/myImageGallery/images/myImageDefinition
Name              : myImageDefinition
Type              : Microsoft.Compute/galleries/images
Location          : westus3
Tags              : {}
Features[0]       :
  Name            : SecurityType
  Value           : TrustedLaunchSupported
Architecture      : x64

Jak fungují externí komunikační ovladače s virtuálními počítači Trusted Launch?

Přidání portů COM vyžaduje zakázání zabezpečeného spouštění. Porty COM jsou ve výchozím nastavení na virtuálních počítačích s důvěryhodným spuštěním zakázané.

Řešení potíží

Tato část odpovídá na otázky týkající se konkrétních stavů, typů spouštění a běžných problémů se spouštěním.

Co mám dělat, když má virtuální počítač důvěryhodného spuštění selhání nasazení?

Tato část obsahuje další podrobnosti o selháních nasazení důvěryhodného spuštění, abyste mohli provést správnou akci, abyste jim zabránili.

Virtual machine <vm name> failed to create from the selected snapshot because the virtual Trusted Platform Module (vTPM) state is locked.
To proceed with the VM creation, please select a different snapshot without a locked vTPM state.
For more assistance, please refer to “Troubleshooting locked vTPM state” in FAQ page at https://aka.ms/TrustedLaunch-FAQ.

K této chybě nasazení dochází v případě, že zadaný bod obnovení nebo snímek je nedostupný nebo nepoužitelný z následujících důvodů:

Poškozený stav hosta virtuálního počítače (VMGS)
VTPM v uzamčeném stavu
Nejméně jeden kritický index vTPM je v neplatném stavu.

K výše uvedenému problému může dojít v případě, že uživatel nebo úloha spuštěná na virtuálním počítači nastaví zámek na virtuálním počítači nebo upraví kritické indexy virtuálního počítače vTPM, které opustí virtuální počítač vTPM v neplatném stavu.

Opakováním stejného bodu vytvoření snímku nebo obnovení dojde ke stejnému selhání.

Řešení je následující:

Na zdrojovém virtuálním počítači důvěryhodného spuštění, ve kterém byl vygenerován snímek nebo bod obnovení, je nutné opravit chyby virtuálního počítače vTPM.
1. Pokud úloha na virtuálním počítači změnila stav vTPM, musíte použít stejný stav, abyste zkontrolovali chybové stavy a přenesli virtuální počítač do stavu, který není chybový.
2. Pokud byly nástroje TPM použity k úpravě stavu virtuálního počítače vTPM, měli byste použít stejné nástroje ke kontrole stavů chyb a přenesení virtuálního počítače do stavu, který není chybový.

Jakmile se z těchto chyb uvolní snímek nebo bod obnovení, můžete ho použít k vytvoření nového virtuálního počítače s důvěryhodným spuštěním.

Proč se důvěryhodný spouštěcí virtuální počítač nespouští správně?

Pokud se zjistí nepodepsané komponenty z rozhraní UEFI (firmware hosta), spouštěcího zavaděče, operačního systému nebo spouštěcích ovladačů, virtuální počítač důvěryhodného spuštění se nespustí. Nastavení zabezpečeného spouštění na virtuálním počítači důvěryhodného spuštění se nepodaří spustit, pokud během procesu spouštění dojde k nepodepsaným nebo nedůvěryhodným spouštěcím komponentám a hlásí se jako selhání zabezpečeného spouštění.

Snímek obrazovky znázorňující kanál Důvěryhodné spuštění ze zabezpečeného spouštění na ovladače třetích stran

Poznámka:

Důvěryhodné spouštěcí virtuální počítače vytvořené přímo z image Azure Marketplace by se neměly setkat se selháním zabezpečeného spouštění. Image Galerie výpočetních prostředků Azure s původním zdrojem imagí Azure Marketplace a snímky vytvořené z důvěryhodných spouštěcích virtuálních počítačů by také neměly narazit na tyto chyby.

Jak ověřím scénář bez spuštění na webu Azure Portal?

Když se virtuální počítač stane nedostupným z chyby zabezpečeného spouštění, znamená to, že virtuální počítač má komponentu operačního systému podepsanou důvěryhodnou autoritou, která blokuje spuštění virtuálního počítače Trusted Launch. Při nasazení virtuálního počítače se můžou na webu Azure Portal zobrazit informace o stavu prostředků, které hlásí, že v zabezpečeném spouštění došlo k chybě ověření.

Pokud chcete získat přístup ke stavu prostředků ze stránky konfigurace virtuálního počítače, přejděte v podokně Nápověda na Resource Health.

Pokud jste ověřili, že selhání zabezpečeného spouštění způsobilo žádné spuštění:

Image, kterou používáte, je starší verze, která může mít jednu nebo více nedůvěryhodných spouštěcích komponent a je na cestě vyřazení. Pokud chcete napravit zastaralou image, aktualizujte ji na podporovanou novější verzi image.
Image, kterou používáte, mohla být sestavená mimo zdroj marketplace nebo byly změněny spouštěcí komponenty a obsahují nepodepsané nebo nedůvěryhodné spouštěcí komponenty. Pokud chcete ověřit, jestli má vaše image nepodepsané nebo nedůvěryhodné spouštěcí komponenty, projděte si následující část "Ověření selhání zabezpečeného spouštění".
Pokud předchozí dva scénáře neplatí, může být virtuální počítač potenciálně napaden malwarem (bootkit/rootkit). Zvažte odstranění virtuálního počítače a opětovné vytvoření nového virtuálního počítače ze stejné zdrojové image při vyhodnocování veškerého nainstalovaného softwaru.

Proč můj virtuální počítač Trusted Launch zobrazuje méně paměti 50 MB?

S důvěryhodným spuštěním se vytvoří spouštěcí prostředí, které se běžně označuje jako paravisor, a spouští se uvnitř virtuálního počítače. Paravisor obvykle používá přibližně 50 MB paměti a v hostovaném operačním systému by se zobrazovalo jako "rezervované".

Ověření selhání zabezpečeného spouštění

Tato část vám pomůže ověřit selhání zabezpečeného spouštění.

Virtuální počítače s Linuxem

Pokud chcete ověřit, které spouštěcí komponenty zodpovídají za selhání zabezpečeného spouštění na virtuálním počítači Azure s Linuxem, můžete použít nástroj SBInfo z balíčku zabezpečení Linuxu.

Vypněte zabezpečené spouštění.
Připojte se k virtuálnímu počítači Azure Linux Trusted Launch.
Nainstalujte nástroj SBInfo pro distribuci, na které je virtuální počítač spuštěný. Nachází se v balíčku zabezpečení Linuxu.

Tyto příkazy platí pro distribuce založené na Ubuntu, Debianu a dalších distribucích založených na Debianu.

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ trusty main" | sudo tee -a /etc/apt/sources.list.d/azure.list

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ xenial main" | sudo tee -a /etc/apt/sources.list.d/azure.list

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ bionic main" | sudo tee -a /etc/apt/sources.list.d/azure.list

wget https://packages.microsoft.com/keys/microsoft.asc

wget https://packages.microsoft.com/keys/msopentech.asc

sudo apt-key add microsoft.asc && sudo apt-key add msopentech.asc

sudo apt update && sudo apt install azure-security

Tyto příkazy platí pro RHEL, CentOS a další distribuce založené na Red Hatu.

echo "[packages-microsoft-com-azurecore]" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "name=packages-microsoft-com-azurecore" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "baseurl=https://packages.microsoft.com/yumrepos/azurecore/" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "enabled=1" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "gpgcheck=0" | sudo tee -a /etc/yum.repos.d/azurecore.repo

sudo yum install azure-security

Tyto příkazy platí pro SLES, openSUSE a další distribuce založené na SUSE.

sudo zypper ar -t rpm-md -n "packages-microsoft-com-azurecore" --no-gpgcheck https://packages.microsoft.com/yumrepos/azurecore/ azurecore

sudo zypper install azure-security

Po instalaci balíčku zabezpečení linuxu pro vaši distribuci spusťte sbinfo příkaz, kterým ověříte, které spouštěcí komponenty zodpovídají za selhání zabezpečeného spouštění. Zobrazí se všechny nepodepsané moduly, jádra a zavaděče bootloaderů.

sudo sbinfo -u -m -k -b

Další informace o diagnostickém nástroji SBInfo můžete spustit sudo sbinfo -help.

Proč dochází k chybě monitorování integrity spouštění?

Důvěryhodné spuštění virtuálních počítačů Azure se monitoruje pro pokročilé hrozby. Pokud se takové hrozby zjistí, aktivuje se upozornění. Výstrahy jsou dostupné jenom v případě, že jsou povolené rozšířené funkce zabezpečení v programu Microsoft Defender pro cloud .

Microsoft Defender for Cloud pravidelně provádí ověření identity. Pokud ověření identity selže, aktivuje se výstraha se střední závažností. Ověření identity důvěryhodného spuštění může selhat z následujících důvodů:

Otestované informace, které zahrnují protokol důvěryhodného výpočetního základu (TCB), se odchýlí od důvěryhodného směrného plánu (například při povolení zabezpečeného spouštění). Jakákoli odchylka značí, že byly načteny nedůvěryhodné moduly a že by mohlo dojít k ohrožení operačního systému.
Nabídku ověření identity nešlo ověřit tak, aby pocházela z virtuálního počítače s ověřením virtuálního počítače, který je ověřený. Selhání ověření značí přítomnost malwaru a může zachycovat provoz do čipu TPM.
Rozšíření ověření identity na virtuálním počítači neodpovídá. Nereagující rozšíření indikuje útok na dostupnost služby malwarem nebo správcem operačního systému.

Certifikáty

Tato část obsahuje informace o certifikátech.

Jak můžu vytvořit kořen důvěryhodnosti s virtuálními počítači důvěryhodného spuštění?

Virtuální veřejný certifikát TPM AK poskytuje přehled o úplných řetězech certifikátů (kořenových a zprostředkujících certifikátech), které vám pomůžou ověřit důvěryhodnost v certifikátu a kořenovém řetězu. Abyste zajistili, že budete mít nepřetržitě nejvyšší stav zabezpečení důvěryhodného spuštění, poskytuje informace o vlastnostech instance, abyste mohli trasovat zpět do úplného řetězce.

Pokyny ke stažení

Zabalení certifikátů, které se skládají z .p7b (úplná certifikační autorita) a .cer (zprostředkující certifikační autorita), odhalí podpisovou a certifikační autoritu. Zkopírujte příslušný obsah a použijte nástroje pro certifikáty ke kontrole a posouzení podrobností o certifikátech.

Vyberte stažení souboru .crt, který následuje pro kořenovou certifikační autoritu Azure Virtual TPM 2023.

Kořenová certifikační autorita Azure TPM 2023

Výběrem zobrazíte obsah .p7b.

Globální virtuální certifikační autorita TPM – 01:

Výběrem zobrazíte obsah certifikátu .cert pro kořenový certifikát.

Kořenová certifikační autorita Azure TPM 2023

Výběrem zobrazíte obsah zprostředkující certifikační autority.

Zprostředkující certifikační autorita pro certifikát TPM:

"Global Virtual TPM CA - XX" (intermediate CA) [.cer], 
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

Intermediate Certificate Authority

Thumbprint # db1f3959dcce7091f87c43446be1f4ab2d3415b7
Serial Number # 3300000002c0d17b4b8f979c35000000000002
Valid Until # November 3rd, 2025

Jaké důvěryhodné certifikáty vlastněné Microsoftem jsou integrované do virtuálních počítačů Azure?

Pro virtuální počítače s Windows je certifikát certifikační autority systému Windows integrovaný ve firmwaru rozhraní UEFI. Pro virtuální počítače s Linuxem je certifikát ca UEFI vytvořený ve firmwaru UEFI. Pro virtuální počítače Azure s Linuxem se do firmwaru UEFI přidá také další certifikát Azure Services Linux Kmod PCA pro všechny distribuce Linuxu. Linux Kmod PCA se používá k podepisování modulů jádra vlastněných Microsoftem.

Při použití řešení Microsoftu, jako je Azure Site Recovery (ASR), který nainstaluje modul jádra, se přidá certifikát PCA pro Linux Kmod, aby byl zákaznický zážitek plynulejší. Modul jádra ASR se načte bez jakékoli akce zákazníka pro zadání klíče, protože modul jádra ASR je podepsaný pomocí důvěryhodného certifikátu AZURE Services Linux Kmod PCA.

Pokyny ke stažení

Zabalení certifikátů, které se skládají z .p7b a .cer odhalí podpis a certifikační autoritu. Zkopírujte příslušný obsah a použijte nástroje pro certifikáty ke kontrole a posouzení podrobností o certifikátech.

Vyberte stažení souboru .crt, který následuje pro certifikační autoritu systému Microsoft Windows.

Certifikační autorita systému Microsoft Windows

Vyberte stažení souboru .crt, který následuje pro certifikační autoritu Microsoft UEFI.

Microsoft UEFI CA

Výběrem zobrazíte obsah .p7b.

Certifikát PCA pro služby Azure s Linuxem:

Sdílet prostřednictvím

Nejčastější dotazy k důvěryhodnému spuštění

Případy použití

Proč mám používat důvěryhodné spuštění? Co chrání důvěryhodné spuštění?

Jaké jsou rozdíly mezi zabezpečeným spouštěním a měřeným spouštěním?

Jak se důvěryhodné spuštění porovnává s chráněným virtuálním počítačem Hyper-V?

Co je stav hosta virtuálního počítače (VMGS)?

Můžu pro nové nasazení virtuálního počítače zakázat důvěryhodné spuštění?

Podporované funkce a nasazení

Podporuje Azure Compute Gallery důvěryhodné spuštění?

Podporuje služba Azure Backup důvěryhodné spuštění?

Bude služba Azure Backup dál fungovat po povolení důvěryhodného spuštění?

Podporují důvěryhodné spuštění dočasné disky s operačním systémem?

Jsou funkce zabezpečení dostupné i s důvěryhodným spuštěním, které platí i pro datové disky?

Je možné virtuální počítač obnovit pomocí záloh provedených před povolením důvěryhodného spuštění?

Jak najdu velikosti virtuálních počítačů, které podporují důvěryhodné spuštění?

Jak můžu ověřit, jestli image operačního systému podporuje důvěryhodné spuštění?

Image operačního systému Marketplace

Image operačního systému Galerie výpočetních prostředků Azure

Jak fungují externí komunikační ovladače s virtuálními počítači Trusted Launch?

Řešení potíží

Co mám dělat, když má virtuální počítač důvěryhodného spuštění selhání nasazení?

Proč se důvěryhodný spouštěcí virtuální počítač nespouští správně?

Jak ověřím scénář bez spuštění na webu Azure Portal?

Proč můj virtuální počítač Trusted Launch zobrazuje méně paměti 50 MB?

Ověření selhání zabezpečeného spouštění

Virtuální počítače s Linuxem

Proč dochází k chybě monitorování integrity spouštění?

Certifikáty

Jak můžu vytvořit kořen důvěryhodnosti s virtuálními počítači důvěryhodného spuštění?

Pokyny ke stažení

Jaké důvěryhodné certifikáty vlastněné Microsoftem jsou integrované do virtuálních počítačů Azure?

Pokyny ke stažení

Váš názor

Další materiály