Bereitstellen des vertrauenswürdigen Starts für Azure Arc-VMs auf Azure Local, Version 23H2

Gilt für: Azure Local, Version 23H2

In diesem Artikel wird beschrieben, wie Sie den vertrauenswürdigen Start für virtuelle Azure Arc-Computer (VMs) auf Azure Local, Version 23H2, bereitstellen.

Voraussetzungen

Stellen Sie sicher, dass Sie Zugriff auf ein lokales Azure, Version 23H2-System haben, das bei Azure bereitgestellt und registriert ist. Weitere Informationen finden Sie unter Bereitstellen mithilfe der Azure-Portal.

Erstellen einer vertrauenswürdigen Arc-VM

Sie können einen virtuellen vertrauenswürdigen Startcomputer mit Azure-Portal oder mithilfe von Azure-Befehlszeilenschnittstelle (CLI) erstellen. Verwenden Sie die folgenden Registerkarten, um eine Methode auszuwählen.

Azure portal

Führen Sie zum Erstellen einer vertrauenswürdigen Arc-VM auf Azure Local die Schritte im Erstellen von virtuellen Arc-Computern auf Azure Local mithilfe von Azure-Portal mit den folgenden Änderungen aus:

1. Wählen Sie beim Erstellen der VM virtuelle Computer für den vertrauenswürdigen Start für den Sicherheitstyp aus.

   

2. Wählen Sie ein VM-Gastbetriebssystemimage aus der Liste der unterstützten Images aus:

   

3. Nachdem ein virtueller Computer erstellt wurde, wechseln Sie zur Seite "VM-Eigenschaften", und überprüfen Sie, ob der angezeigte Sicherheitstyp "Vertrauenswürdig" gestartet wird.

   

Azure-Befehlszeilenschnittstelle

Führen Sie zum Erstellen einer vertrauenswürdigen Arc-VM auf Azure Local die Schritte im Erstellen von virtuellen Arc-Computern auf Azure Local mithilfe der Azure CLI mit den folgenden Änderungen aus:

1. Erstellen Sie ein VM-Image mithilfe eines unterstützten VM-Gastbetriebssystemimages , indem Sie vom Azure Marketplace aus vertrauenswürdig gestartet werden. Weitere Informationen finden Sie unter Create Azure Local VM image using Azure Marketplace.

2. Erstellen Sie einen virtuellen Computer mit CLI wie folgt:

   $vmName="<Name of the VM>" 
   $subscription="<Subscription ID associated with your Azure Local system>" 
   $resourceGroup="<Resource group name for your Azure Local system>" 
   $location="<Location for your Azure Local system>" 
   $customLocationID=(az customlocation show --resource-group $resource_group --name "<custom location name for your Azure Local system>" --query id -o tsv) 
   $guestName="<Name of the guest>" 
   $userName="<Username for VM>" 
   $password="<Password for VM>" 
   $galleryImageName="<Name of VM guest image>" 
   $vNic="<Name of virtual network interface>" 
   
   az stack-hci-vm create --name $vmName --subscription $subscription --resource-group $resourceGroup --custom-location=$customLocationID --location $location --size="Default" --computer-name $guestName --admin-username $userName --admin-password $password --image $galleryImageName --nics $vNic --enable-secure-boot true --enable-vtpm true --security-type "TrustedLaunch"
   

   Beispielausgabe:

   {
     "extendedLocation": {
       "name": "/subscriptions/myhci-sub/resourceGroups/myhci-rg/Microsoft.ExtendedLocation/customLocations/myhci-cl",
       "type": "CustomLocation"
     },
     "id": "/subscriptions/myhci-sub/resourceGroups/myhci-rg/providers/Microsoft.HybridCompute/machines/tvm1/providers/Microsoft.AzureStackHCI/virtualMachineInstances/default",
     "name": "default",
     "properties": {
       "hardwareProfile": {
         "dynamicMemoryConfig": {
           "maximumMemoryMb": null,
           "minimumMemoryMb": null,
           "targetMemoryBuffer": null
         },
         "memoryMb": 4096,
         "processors": 4,
         "vmSize": "Custom"
       },
       "instanceView": {
         "vmAgent": {
           "statuses": []
         }
       },
       "networkProfile": {
         "networkInterfaces": [
           {
             "id": "ram-nic"
           }
         ]
       },
       "osProfile": {
         "adminPassword": null,
         "adminUsername": "admin",
         "computerName": "myhci-tvm",
         "linuxConfiguration": {
           "disablePasswordAuthentication": null,
           "provisionVmAgent": false,
           "provisionVmConfigAgent": false,
           "ssh": {
             "publicKeys": null
           }
         },
         "windowsConfiguration": {
           "enableAutomaticUpdates": null,
           "provisionVmAgent": false,
           "provisionVmConfigAgent": false,
           "ssh": {
             "publicKeys": null
           },
           "timeZone": null
         }
       },
       "provisioningState": "Succeeded",
       "securityProfile": {
         "enableTpm": true,
         "securityType": "TrustedLaunch",
         "uefiSettings": {
           "secureBootEnabled": true
         }
       },
       "status": {
         "powerState": "Running"
       },
       "storageProfile": {
         "dataDisks": [],
         "imageReference": {
           "id": "/subscriptions/myhci-sub/resourceGroups/myhci-rg/providers/Microsoft.AzureStackHCI/marketplacegalleryimages/Win11EntMulti21H2",
           "resourceGroup": "myhci-rg"
         },
         "osDisk": {
           "id": null,
           "osType": "Windows"
         },
         "storagepathId": null
       },
       "vmId": "myhci-tvm-1234567890"
     },
     "resourceGroup": "myhci-rg",
     "systemData": {
       "createdAt": "2023-10-24T19:15:47.152610+00:00",
       "createdBy": "registration@contoso.com",
       "createdByType": "User",
       "lastModifiedAt": "2023-10-24T19:41:05.196469+00:00",
       "lastModifiedBy": "319f651f-7ddb-4fc6-9857-7aef9250bd05",
       "lastModifiedByType": "Application"
     },
     "tags": null,
     "type": "microsoft.azurestackhci/virtualmachineinstances"
   }
   

3. Überprüfen Sie nach der Erstellung des virtuellen Computers den Sicherheitstyp des virtuellen Computers als vertrauenswürdiger Start.

4. Führen Sie das folgende Cmdlet aus, um den Besitzerknoten der VM zu finden:

   Get-ClusterGroup $vmName
   

5. Führen Sie das folgende Cmdlet auf dem Besitzerknoten der VM aus:

   (Get-VM $vmName).GuestStateIsolationType
   

6. Stellen Sie sicher, dass ein Wert von TrustedLaunch zurückgegeben wird.

Beispiel

Dieses Beispiel zeigt einen vertrauenswürdigen Start arc VM, auf dem Windows 11-Gast ausgeführt wird, mit aktivierter BitLocker-Verschlüsselung. Hier die Schritte zum Ausführen des Szenarios:

1. Erstellen Sie einen vertrauenswürdigen Start arc VM, auf dem ein unterstütztes Windows 11-Gastbetriebssystem ausgeführt wird.

2. Aktivieren Sie die BitLocker-Verschlüsselung für das Betriebssystemvolume auf dem Win 11-Gast.

   Melden Sie sich beim Windows 11-Gast an, und aktivieren Sie die BitLocker-Verschlüsselung (für das Betriebssystemvolume): Geben Sie im Suchfeld auf der Taskleiste "BitLocker verwalten" ein, und wählen Sie sie aus der Liste der Ergebnisse aus. Wählen Sie "BitLocker aktivieren" aus, und folgen Sie dann den Anweisungen zum Verschlüsseln des Betriebssystemvolumes (C:). BitLocker verwendet vTPM als Schlüsselschutz für das Betriebssystemvolume.

3. Migrieren Sie den virtuellen Computer zu einem anderen Knoten im Cluster. Führen Sie den folgenden PowerShell-Befehl aus:

   Move-ClusterVirtualMachineRole -Name $vmName -Node <destination node name> -MigrationType Shutdown
   

4. Vergewissern Sie sich, dass der Besitzerknoten der VM der angegebene Zielknoten ist:

   Get-ClusterGroup $vmName
   

5. Überprüfen Sie nach Abschluss der VM-Migration, ob der virtuelle Computer verfügbar ist und BitLocker aktiviert ist.

6. Überprüfen Sie, ob Sie sich beim Windows 11-Gast auf dem virtuellen Computer anmelden können und ob die BitLocker-Verschlüsselung für das Betriebssystemvolume aktiviert bleibt. Wenn Sie dies tun können, bestätigt dies, dass der vTPM-Zustand während der VM-Migration beibehalten wurde.

   Wenn der vTPM-Zustand während der VM-Migration nicht beibehalten wurde, hätte der VM-Start während des Gaststarts zur BitLocker-Wiederherstellung geführt. Das heißt, Sie würden aufgefordert, das BitLocker-Wiederherstellungskennwort einzugeben, wenn Sie versucht haben, sich beim Windows 11-Gast anzumelden. Dies liegt daran, dass sich die Startmessungen (die im vTPM gespeichert sind) der migrierten VM auf dem Zielknoten von der des ursprünglichen virtuellen Computers unterscheiden.

7. Erzwingen Sie das Failover des virtuellen Computers auf einen anderen Knoten im Cluster.

   1. Bestätigen Sie den Besitzerknoten der VM mit diesem Befehl:

      Get-ClusterGroup $vmName
      

   2. Verwenden Sie Failovercluster-Manager, um den Clusterdienst auf dem Besitzerknoten wie folgt zu beenden: Wählen Sie den Besitzerknoten aus, wie im Failovercluster-Manager angezeigt.  Wählen Sie im rechten Bereich "Aktionen " die Option "Weitere Aktionen " und dann " Clusterdienst beenden" aus.

   3. Wenn Sie den Clusterdienst auf dem Besitzerknoten beenden, wird der virtuelle Computer automatisch zu einem anderen verfügbaren Knoten im Cluster migriert. Starten Sie den Clusterdienst danach neu.

8. Überprüfen Sie nach Abschluss des Failovers, ob der virtuelle Computer verfügbar ist und BitLocker nach dem Failover aktiviert ist.

9. Vergewissern Sie sich, dass der Besitzerknoten der VM der angegebene Zielknoten ist:

   Get-ClusterGroup $vmName
   

Nächste Schritte

• Verwalten Des vertrauenswürdigen Starts des Gaststatusschutzschlüssels arc VM.