Veelgestelde vragen over vertrouwde start

Artikel
10/24/2024

Let op

Dit artikel verwijst naar CentOS, een Linux-distributie die de end-of-life-status (EOL) nadert. Houd rekening met uw gebruik en plan dienovereenkomstig. Zie de Richtlijnen voor CentOS EOL voor meer informatie.

Veelgestelde vragen over azure Trusted Launch-functiegebruiksvoorbeelden, ondersteuning voor andere Azure-functies en oplossingen voor veelvoorkomende fouten.

Gebruiksgevallen

In deze sectie vindt u antwoorden op vragen over use cases voor Vertrouwd starten.

Waarom moet ik Vertrouwde start gebruiken? Wat beveiligt Trusted Launch tegen?

Trusted Launch beschermt tegen opstartkits, rootkits en malware op kernelniveau. Deze geavanceerde typen malware worden uitgevoerd in de kernelmodus en blijven verborgen voor gebruikers. Voorbeeld:

Firmware-rootkits: deze kits overschrijven de firmware van het BIOS van de virtuele machine (VM), zodat de rootkit kan starten vóór het besturingssysteem (OS).
Opstartkits: Deze kits vervangen het opstartlaadprogramma van het besturingssysteem, zodat de VM de opstartkit vóór het besturingssysteem laadt.
Kernel-rootkits: Deze kits vervangen een deel van de besturingssysteemkernel, zodat de rootkit automatisch kan worden gestart wanneer het besturingssysteem wordt geladen.
Rootkits van stuurprogramma's: deze kits doen zich voor als een van de vertrouwde stuurprogramma's die het besturingssysteem gebruikt om te communiceren met de onderdelen van de VIRTUELE machine.

Wat zijn de verschillen tussen Beveiligd opstarten en gemeten opstarten?

In een secure boot-keten controleert elke stap in het opstartproces een cryptografische handtekening van de volgende stappen. Het BIOS controleert bijvoorbeeld een handtekening op het laadprogramma en het laadprogramma controleert handtekeningen op alle kernelobjecten die worden geladen, enzovoort. Als een van de objecten is aangetast, komt de handtekening niet overeen en wordt de VIRTUELE machine niet opgestart. Zie voor meer informatie beveiligd opstarten.

Hoe vergelijkt Trusted Launch zich met de afgeschermde Hyper-V-VM?

Hyper-V Afgeschermde VM is momenteel alleen beschikbaar op Hyper-V. Hyper-V Afgeschermde VM wordt doorgaans geïmplementeerd met beveiligde infrastructuur. Een beveiligde infrastructuur bestaat uit een Host Guardian-service (HGS), een of meer beveiligde hosts en een set afgeschermde VM's. Afgeschermde Hyper-V-VM's worden gebruikt in fabrics waar de gegevens en status van de VIRTUELE machine moeten worden beschermd tegen verschillende actoren. Deze actoren zijn zowel infrastructuurbeheerders als niet-vertrouwde software die mogelijk wordt uitgevoerd op de Hyper-V-hosts.

Vertrouwde start kan daarentegen worden geïmplementeerd als een zelfstandige VM of als virtuele-machineschaalsets in Azure zonder andere implementatie en beheer van HGS. Alle functies van Trusted Launch kunnen worden ingeschakeld met een eenvoudige wijziging in de implementatiecode of een selectievakje in Azure Portal.

Wat is VM-gaststatus (VMGS)?

VM-gaststatus (VMGS) is specifiek voor VM's met vertrouwde start. Het is een blob die wordt beheerd door Azure en bevat de geïntegreerde UEFI(Extensible Firmware Interface) Secure Boot Signature-databases en andere beveiligingsgegevens. De levenscyclus van de VMGS-blob is gekoppeld aan die van de besturingssysteemschijf.

Kan ik Vertrouwde start uitschakelen voor een nieuwe VM-implementatie?

Vertrouwde start-VM's bieden u basisbeveiliging voor rekenkracht. U wordt aangeraden deze niet uit te schakelen voor implementaties van nieuwe VM's of virtuele-machineschaalsets, behalve als uw implementaties afhankelijk zijn van:

U kunt de securityType parameter met de Standard waarde gebruiken om Vertrouwde start uit te schakelen in nieuwe VM- of virtuele-machineschaalsetimplementaties met behulp van Azure PowerShell (v10.3.0+) en de Azure CLI (v2.53.0+).

Notitie

Het wordt afgeraden Beveiligd opstarten uit te schakelen, tenzij u aangepaste niet-ondertekende kernel of stuurprogramma's gebruikt.

Als u Beveiligd opstarten wilt uitschakelen, schakelt u onder de configuratie van de VIRTUELE machine de optie Beveiligd opstarten inschakelen uit.

CLI
Powershell

az vm create -n MyVm -g MyResourceGroup --image Ubuntu2204 `
    --security-type 'Standard'

$adminUsername = <USER NAME>
$adminPassword = <PASSWORD> | ConvertTo-SecureString -AsPlainText -Force
$vmCred = New-Object System.Management.Automation.PSCredential($adminUsername, $adminPassword)
New-AzVM -Name MyVm -Credential $vmCred -SecurityType Standard

Ondersteunde functies en implementaties

In deze sectie worden ondersteunde functies en implementaties van Trusted Launch besproken.

Wordt Azure Compute Gallery ondersteund door Trusted Launch?

Met Vertrouwde start kunnen nu installatiekopieën worden gemaakt en gedeeld via de Azure Compute Gallery (voorheen Shared Image Gallery). De bron van de installatiekopieën kan het volgende zijn:

Een bestaande Azure-VM die gegeneraliseerd of gespecialiseerd is.
Een bestaande beheerde schijf of een momentopname.
Een VHD of een versie van een installatiekopieën uit een andere galerie.

Zie Vertrouwde start-VM's implementeren voor meer informatie over het implementeren van een VERTROUWDE start-VM met behulp van de Azure Compute Gallery.

Wordt Azure Backup ondersteund door Trusted Launch?

Trusted Launch ondersteunt nu Azure Backup. Zie ondersteuningsmatrix voor Back-up van Azure-VM's voor meer informatie.

Blijft Azure Backup werken nadat ik Vertrouwde start heb ingeschakeld?

Back-ups die zijn geconfigureerd met het verbeterde beleid , blijven back-ups van VM's maken nadat u Vertrouwde start hebt ingeschakeld.

Worden tijdelijke besturingssysteemschijven ondersteund door Trusted Launch?

Trusted Launch ondersteunt tijdelijke besturingssysteemschijven. Zie Trusted Launch voor tijdelijke besturingssysteemschijven voor meer informatie.

Notitie

Wanneer u kortstondige schijven gebruikt voor vm's met vertrouwde start, worden sleutels en geheimen die zijn gegenereerd of verzegeld door de virtuele Trusted Platform Module (vTPM) na het maken van de virtuele machine mogelijk niet behouden voor bewerkingen zoals opnieuw opstarten en platformgebeurtenissen, zoals serviceherstel.

Zijn er ook beveiligingsfuncties beschikbaar met vertrouwde lancering die van toepassing zijn op gegevensschijven?

Vertrouwde lancering biedt basisbeveiliging voor het besturingssysteem dat wordt gehost in een virtuele machine door de opstartintegriteit ervan te bevestigen. Beveiligingsfuncties voor vertrouwde lanceringen zijn alleen van toepassing op het uitvoeren van besturingssysteem- en besturingssysteemschijven. Ze zijn niet van toepassing op gegevensschijven of binaire bestanden van het besturingssysteem die zijn opgeslagen in gegevensschijven. Zie Overzicht van vertrouwd starten voor meer informatie

Kan een virtuele machine worden hersteld met behulp van back-ups die zijn gemaakt voordat Vertrouwde start is ingeschakeld?

Back-ups die zijn gemaakt voordat u een bestaande generatie 2-VM bijwerken naar Vertrouwd starten , kunnen worden gebruikt om de hele VIRTUELE machine of afzonderlijke gegevensschijven te herstellen. Ze kunnen niet alleen worden gebruikt om de besturingssysteemschijf te herstellen of te vervangen.

Hoe vind ik VM-grootten die ondersteuning bieden voor vertrouwd starten?

Zie de lijst met VM-grootten van de tweede generatie die ondersteuning bieden voor Vertrouwde lancering.

Gebruik de volgende opdrachten om te controleren of een VM-grootte van de tweede generatie geen ondersteuning biedt voor Vertrouwd starten.

CLI
Powershell

subscription="<yourSubID>"
region="westus"
vmSize="Standard_NC12s_v3"

az vm list-skus --resource-type virtualMachines  --location $region --query "[?name=='$vmSize'].capabilities" --subscription $subscription

$region = "southeastasia"
$vmSize = "Standard_M64"
(Get-AzComputeResourceSku | where {$_.Locations.Contains($region) -and ($_.Name -eq $vmSize) })[0].Capabilities

Het antwoord is vergelijkbaar met het volgende formulier. Uitvoer die aangeeft TrustedLaunchDisabled True dat de VM-grootte van de tweede generatie geen ondersteuning biedt voor vertrouwd starten. Als het een VM-grootte van de tweede generatie is en TrustedLaunchDisabled geen deel uitmaakt van de uitvoer, wordt Vertrouwd starten ondersteund voor die VM-grootte.

Name                                         Value
----                                         -----
MaxResourceVolumeMB                          8192000
OSVhdSizeMB                                  1047552
vCPUs                                        64
MemoryPreservingMaintenanceSupported         False
HyperVGenerations                            V1,V2
MemoryGB                                     1000
MaxDataDiskCount                             64
CpuArchitectureType                          x64
MaxWriteAcceleratorDisksAllowed              8
LowPriorityCapable                           True
PremiumIO                                    True
VMDeploymentTypes                            IaaS
vCPUsAvailable                               64
ACUs                                         160
vCPUsPerCore                                 2
CombinedTempDiskAndCachedIOPS                80000
CombinedTempDiskAndCachedReadBytesPerSecond  838860800
CombinedTempDiskAndCachedWriteBytesPerSecond 838860800
CachedDiskBytes                              1318554959872
UncachedDiskIOPS                             40000
UncachedDiskBytesPerSecond                   1048576000
EphemeralOSDiskSupported                     True
EncryptionAtHostSupported                    True
CapacityReservationSupported                 False
TrustedLaunchDisabled                        True
AcceleratedNetworkingEnabled                 True
RdmaEnabled                                  False
MaxNetworkInterfaces                         8

Hoe kan ik valideren dat mijn installatiekopieën van het besturingssysteem ondersteuning bieden voor Vertrouwd starten?

Bekijk de lijst met ondersteunde besturingssysteemversies met Vertrouwde start.

Installatiekopieën van Marketplace-besturingssysteem

Gebruik de volgende opdrachten om te controleren of een Installatiekopieën van een Azure Marketplace-besturingssysteem ondersteuning biedt voor vertrouwd starten.

CLI
Powershell

az vm image show --urn "MicrosoftWindowsServer:WindowsServer:2022-datacenter-azure-edition:latest"

Het antwoord is vergelijkbaar met het volgende formulier. Als hyperVGeneration dit het resultaat is v2 en SecurityType bevat TrustedLaunch , ondersteunt de installatiekopieën van het besturingssysteem van de tweede generatie vertrouwde start.

{
  "architecture": "x64",
  "automaticOsUpgradeProperties": {
    "automaticOsUpgradeSupported": false
  },
  "dataDiskImages": [],
  "disallowed": {
    "vmDiskType": "Unmanaged"
  },
  "extendedLocation": null,
  "features": [
    {
      "name": "SecurityType",
      "value": "TrustedLaunchAndConfidentialVmSupported"
    },
    {
      "name": "IsAcceleratedNetworkSupported",
      "value": "True"
    },
    {
      "name": "DiskControllerTypes",
      "value": "SCSI, NVMe"
    },
    {
      "name": "IsHibernateSupported",
      "value": "True"
    }
  ],
  "hyperVGeneration": "V2",
  "id": "/Subscriptions/00000000-0000-0000-0000-00000000000/Providers/Microsoft.Compute/Locations/westus/Publishers/MicrosoftWindowsServer/ArtifactTypes/VMImage/Offers/WindowsServer/Skus/2022-datacenter-azure-edition/Versions/20348.1906.230803",
  "imageDeprecationStatus": {
    "alternativeOption": null,
    "imageState": "Active",
    "scheduledDeprecationTime": null
  },
  "location": "westus",
  "name": "20348.1906.230803",
  "osDiskImage": {
    "operatingSystem": "Windows",
    "sizeInGb": 127
  },
  "plan": null,
  "tags": null
}

Get-AzVMImage -Skus 22_04-lts-gen2 -PublisherName Canonical -Offer 0001-com-ubuntu-server-jammy -Location westus3 -Version latest

U kunt de uitvoer van de opdracht gebruiken met virtuele machines - API ophalen. Het antwoord is vergelijkbaar met het volgende formulier. Als hyperVGeneration dit het resultaat is v2 en SecurityType bevat TrustedLaunch , ondersteunt de installatiekopieën van het besturingssysteem van de tweede generatie vertrouwde start.

{
    "properties": {
        "hyperVGeneration": "V2",
        "architecture": "x64",
        "replicaType": "Managed",
        "replicaCount": 10,
        "disallowed": {
            "vmDiskType": "Unmanaged"
        },
        "automaticOSUpgradeProperties": {
            "automaticOSUpgradeSupported": false
        },
        "imageDeprecationStatus": {
            "imageState": "Active"
        },
        "features": [
            {
                "name": "SecurityType",
                "value": "TrustedLaunchSupported"
            },
            {
                "name": "IsAcceleratedNetworkSupported",
                "value": "True"
            },
            {
                "name": "DiskControllerTypes",
                "value": "SCSI, NVMe"
            },
            {
                "name": "IsHibernateSupported",
                "value": "True"
            }
        ],
        "osDiskImage": {
            "operatingSystem": "Linux",
            "sizeInGb": 30
        },
        "dataDiskImages": []
    },
    "location": "WestUS3",
    "name": "22.04.202309080",
    "id": "/Subscriptions/00000000-0000-0000-0000-000000000000/Providers/Microsoft.Compute/Locations/WestUS3/Publishers/Canonical/ArtifactTypes/VMImage/Offers/0001-com-ubuntu-server-jammy/Skus/22_04-lts-gen2/Versions/22.04.202309080"
}

Installatiekopieën van het besturingssysteem van de Azure Compute Gallery

Gebruik de volgende opdrachten om te controleren of een installatiekopieën van het besturingssysteem van de Azure Compute Gallery ondersteuning biedt voor Vertrouwd starten.

CLI
Powershell

az sig image-definition show `
    --gallery-image-definition myImageDefinition `
    --gallery-name myImageGallery `
    --resource-group myImageGalleryRg

{
  "architecture": "x64",
  "features": [
    {
      "name": "SecurityType",
      "value": "TrustedLaunchSupported"
    }
  ],
  "hyperVGeneration": "V2",
  "id": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myImageGalleryRg/providers/Microsoft.Compute/galleries/myImageGallery/images/myImageDefinition",
  "identifier": {
    "offer": "myImageDefinition",
    "publisher": "myImageDefinition",
    "sku": "myImageDefinition"
  },
  "location": "westus3",
  "name": "myImageDefinition",
  "osState": "Generalized",
  "osType": "Windows",
  "provisioningState": "Succeeded",
  "recommended": {
    "memory": {
      "max": 32,
      "min": 1
    },
    "vCPUs": {
      "max": 16,
      "min": 1
    }
  },
  "resourceGroup": "myImageGalleryRg",
  "tags": {},
  "type": "Microsoft.Compute/galleries/images"
}

Get-AzGalleryImageDefinition -ResourceGroupName myImageGalleryRg `
    -GalleryName myImageGallery -GalleryImageDefinitionName myImageDefinition

ResourceGroupName : myImageGalleryRg
OsType            : Windows
OsState           : Generalized
HyperVGeneration  : V2
Identifier        :
  Publisher       : myImageDefinition
  Offer           : myImageDefinition
  Sku             : myImageDefinition
Recommended       :
  VCPUs           :
    Min           : 1
    Max           : 16
  Memory          :
    Min           : 1
    Max           : 32
ProvisioningState : Succeeded
Id                : /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myImageGalleryRg/providers/Microsoft.Compute/galleries/myImageGallery/images/myImageDefinition
Name              : myImageDefinition
Type              : Microsoft.Compute/galleries/images
Location          : westus3
Tags              : {}
Features[0]       :
  Name            : SecurityType
  Value           : TrustedLaunchSupported
Architecture      : x64

Hoe werken externe communicatiestuurprogramma's met vertrouwde start-VM's?

Als u COM-poorten toevoegt, moet u Beveiligd opstarten uitschakelen. COM-poorten zijn standaard uitgeschakeld in VM's met vertrouwde start.

Problemen oplossen

In deze sectie vindt u antwoorden op vragen over specifieke statussen, opstarttypen en veelvoorkomende opstartproblemen.

Wat moet ik doen wanneer mijn vertrouwde start-VM implementatiefouten heeft?

In deze sectie vindt u aanvullende informatie over mislukte implementaties van vertrouwde start, zodat u de juiste actie kunt ondernemen om deze te voorkomen.

Virtual machine <vm name> failed to create from the selected snapshot because the virtual Trusted Platform Module (vTPM) state is locked.
To proceed with the VM creation, please select a different snapshot without a locked vTPM state.
For more assistance, please refer to “Troubleshooting locked vTPM state” in FAQ page at https://aka.ms/TrustedLaunch-FAQ.

Deze implementatiefout treedt op wanneer het opgegeven momentopname- of herstelpunt om de volgende redenen niet toegankelijk of onbruikbaar is:

Beschadigde gaststatus van virtuele machine (VMGS)
vTPM met een vergrendelde status
Een of meer kritieke vTPM-indexen hebben een ongeldige status.

Het bovenstaande kan gebeuren als een gebruiker of workload die wordt uitgevoerd op de virtuele machine de vergrendeling op vTPM instelt of kritieke vTPM-indexen wijzigt die de vTPM in een ongeldige status laten staan.

Opnieuw proberen met hetzelfde momentopname/herstelpunt leidt tot dezelfde fout.

De oplossing:

Op de bron-VM met vertrouwde start waarop de momentopname of het herstelpunt is gegenereerd, moeten de vTPM-fouten worden gecorrigeerd.
1. Als de vTPM-status is gewijzigd door een workload op de virtuele machine, moet u hetzelfde gebruiken om de foutstatussen te controleren en de vTPM naar een niet-foutstatus te brengen.
2. Als TPM-hulpprogramma's zijn gebruikt om de vTPM-status te wijzigen, moet u dezelfde hulpprogramma's gebruiken om de foutstatussen te controleren en de vTPM in een niet-foutstatus te brengen.

Zodra de momentopname of het herstelpunt vrij is van deze fouten, kunt u deze gebruiken om een nieuwe vertrouwde start-VM te maken.

Waarom wordt de vertrouwde start-VM niet correct opgestart?

Als niet-ondertekende onderdelen worden gedetecteerd vanuit de UEFI (gastfirmware), opstartlaadprogramma's, het besturingssysteem of opstartstuurprogramma's, wordt een vertrouwde start-VM niet opgestart. De instelling Beveiligd opstarten in de vertrouwde opstart-VM kan niet worden opgestart als er niet-ondertekende of niet-vertrouwde opstartonderdelen zijn opgetreden tijdens het opstartproces en rapporteert deze als een fout bij beveiligd opstarten.

Schermopname van de trusted launch-pijplijn van Beveiligd opstarten naar stuurprogramma's van derden.

Notitie

Vm's die rechtstreeks vanuit een Azure Marketplace-installatiekopie worden gemaakt, mogen geen beveiligd opstarten-fouten tegenkomen. Installatiekopieën van azure Compute Gallery met een oorspronkelijke installatiekopiebron van Azure Marketplace en momentopnamen die zijn gemaakt op basis van vertrouwde start-VM's, mogen deze fouten ook niet tegenkomen.

Hoe kan ik een scenario zonder opstarten verifiëren in Azure Portal?

Wanneer een VIRTUELE machine niet meer beschikbaar is bij een beveiligd opstarten, betekent 'no-boot' dat de VM een besturingssysteemonderdeel heeft dat is ondertekend door een vertrouwde instantie, waardoor het opstarten van een vertrouwde vm wordt geblokkeerd. Bij vm-implementatie ziet u mogelijk informatie uit de resourcestatus in Azure Portal met de mededeling dat er een validatiefout is in Beveiligd opstarten.

Als u toegang wilt krijgen tot de resourcestatus vanaf de vm-configuratiepagina, gaat u naar Resource Health in het Help-deelvenster .

Als u hebt gecontroleerd of het niet opstarten is veroorzaakt door een fout bij beveiligd opstarten:

De installatiekopie die u gebruikt, is een oudere versie met een of meer niet-vertrouwde opstartonderdelen en bevindt zich op een afschaffingspad. Als u een verouderde installatiekopieën wilt verhelpen, werkt u bij naar een ondersteunde nieuwere versie van de installatiekopieën.
De installatiekopie die u gebruikt, is mogelijk buiten een marketplace-bron gebouwd of de opstartonderdelen zijn gewijzigd en bevatten niet-ondertekende of niet-vertrouwde opstartonderdelen. Als u wilt controleren of uw installatiekopie niet-ondertekende of niet-vertrouwde opstartonderdelen heeft, raadpleegt u de volgende sectie: 'Secure Boot failures'.
Als de voorgaande twee scenario's niet van toepassing zijn, is de VM mogelijk geïnfecteerd met malware (bootkit/rootkit). Overweeg om de VIRTUELE machine te verwijderen en een nieuwe VIRTUELE machine opnieuw te maken vanuit dezelfde broninstallatiekopieën terwijl u alle software evalueert die wordt geïnstalleerd.

Waarom geeft mijn vertrouwde start-VM 50 MB minder geheugen weer?

Met Vertrouwde start wordt een uitvoeringsomgeving gemaakt die bekend staat als 'de paravisor' en wordt deze uitgevoerd in de virtuele machine. Normaal gesproken wordt ongeveer 50 MB geheugen gebruikt door de paravisor en wordt deze weergegeven als 'gereserveerd' binnen het gastbesturingssysteem.

Mislukte beveiligde opstartbewerkingen controleren

Deze sectie helpt u bij het controleren van fouten bij beveiligd opstarten.

Virtuele Linux-machines

Als u wilt controleren welke opstartonderdelen verantwoordelijk zijn voor beveiligingsfouten binnen een Virtuele Linux-machine in Azure, kunt u het hulpprogramma SBInfo van het Linux-beveiligingspakket gebruiken.

Schakel Beveiligd opstarten uit.
Maak verbinding met de vertrouwde start-VM van Azure Linux.
Installeer het hulpprogramma SBInfo voor de distributie die uw VIRTUELE machine uitvoert. Het bevindt zich in het Linux-beveiligingspakket.

Deze opdrachten zijn van toepassing op Ubuntu-, Debian- en andere Op Debian gebaseerde distributies.

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ trusty main" | sudo tee -a /etc/apt/sources.list.d/azure.list

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ xenial main" | sudo tee -a /etc/apt/sources.list.d/azure.list

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ bionic main" | sudo tee -a /etc/apt/sources.list.d/azure.list

wget https://packages.microsoft.com/keys/microsoft.asc

wget https://packages.microsoft.com/keys/msopentech.asc

sudo apt-key add microsoft.asc && sudo apt-key add msopentech.asc

sudo apt update && sudo apt install azure-security

Deze opdrachten zijn van toepassing op RHEL-, CentOS- en andere Red Hat-distributies.

echo "[packages-microsoft-com-azurecore]" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "name=packages-microsoft-com-azurecore" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "baseurl=https://packages.microsoft.com/yumrepos/azurecore/" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "enabled=1" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "gpgcheck=0" | sudo tee -a /etc/yum.repos.d/azurecore.repo

sudo yum install azure-security

Deze opdrachten zijn van toepassing op SLES, openSUSE en andere distributies op basis van SUSE.

sudo zypper ar -t rpm-md -n "packages-microsoft-com-azurecore" --no-gpgcheck https://packages.microsoft.com/yumrepos/azurecore/ azurecore

sudo zypper install azure-security

Nadat u het Linux-beveiligingspakket voor uw distributie hebt geïnstalleerd, voert u de sbinfo opdracht uit om te controleren welke opstartonderdelen verantwoordelijk zijn voor beveiligd opstarten door alle niet-ondertekende modules, kernels en bootloaders weer te geven.

sudo sbinfo -u -m -k -b

Voor meer informatie over het diagnostische hulpprogramma SBInfo kunt u uitvoeren sudo sbinfo -help.

Waarom krijg ik een fout bij het bewaken van opstartintegriteit?

Vertrouwde lancering voor Azure-VM's wordt gecontroleerd op geavanceerde bedreigingen. Als dergelijke bedreigingen worden gedetecteerd, wordt er een waarschuwing geactiveerd. Waarschuwingen zijn alleen beschikbaar als verbeterde beveiligingsfuncties in Microsoft Defender voor Cloud zijn ingeschakeld.

Microsoft Defender voor Cloud voert regelmatig attestation uit. Als de attestation mislukt, wordt er een waarschuwing met gemiddelde ernst geactiveerd. Attestation voor vertrouwde start kan om de volgende redenen mislukken:

De geteste informatie, die een logboek van de Trusted Computing Base (TCB) bevat, wijkt af van een vertrouwde basislijn (bijvoorbeeld wanneer Beveiligd opstarten is ingeschakeld). Elke afwijking geeft aan dat niet-vertrouwde modules zijn geladen en dat het besturingssysteem mogelijk is aangetast.
De attestation-offerte kan niet worden geverifieerd om afkomstig te zijn van de vTPM van de geteste VM. De verificatiefout geeft aan dat malware aanwezig is en mogelijk verkeer naar de TPM onderschept.
De attestation-extensie op de VIRTUELE machine reageert niet. Een niet-reagerende extensie geeft een denial-of-service-aanval aan door malware of een besturingssysteembeheerder.

Certificaten

Deze sectie bevat informatie over certificaten.

Hoe kan ik een vertrouwenshoofdmap met vertrouwde start-VM's tot stand brengen?

Het openbare TPM AK-certificaat biedt inzicht in informatie over de volledige certificaatketen (basis- en tussencertificaten) om u te helpen bij het valideren van de vertrouwensrelatie in het certificaat en de basisketen. Om ervoor te zorgen dat u voortdurend de hoogste beveiligingspostuur voor Vertrouwde lancering hebt, biedt het informatie over exemplaareigenschappen, zodat u terug kunt gaan naar de volledige keten.

Download de instructies

Pakketcertificaten, samengesteld uit .p7b (volledige certificeringsinstantie) en .cer (tussenliggende CA), onthullen de ondertekening en certificeringsinstantie. Kopieer de relevante inhoud en gebruik certificaathulpprogramma's om details van certificaten te controleren en te beoordelen.

Selecteer deze optie om het .crt te downloaden dat volgt voor de Azure Virtual TPM Root Certificate Authority 2023

Azure Virtual TPM Root Certificate Authority 2023

Selecteren om de .p7b-inhoud weer te geven

Global Virtual TPM CA - 01:

Selecteer deze optie om de .cert-inhoud voor het basiscertificaat weer te geven

Azure Virtual TPM Root Certificate Authority 2023

Selecteren om de tussenliggende CA-inhoud weer te geven

Tussenliggende certificeringsinstantie voor TPM-certificaat:

"Global Virtual TPM CA - XX" (intermediate CA) [.cer], 
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

Intermediate Certificate Authority

Thumbprint # db1f3959dcce7091f87c43446be1f4ab2d3415b7
Serial Number # 3300000002c0d17b4b8f979c35000000000002
Valid Until # November 3rd, 2025

Welke vertrouwde certificaten van Microsoft zijn ingebouwd in Azure-VM's?

Voor Windows-VM's is het Windows CA-certificaat ingebouwd in UEFI-firmware. Voor Linux-VM's is het Microsoft UEFI CA-certificaat ingebouwd in UEFI-firmware. Alleen voor Virtuele Linux-machines in Azure wordt een extra Certificaat voor Linux Kmod PCA toegevoegd in UEFI-firmware voor alle Linux-distributies. Linux Kmod PCA wordt gebruikt om kernelmodules van Microsoft te ondertekenen.

Linux Kmod PCA-certificaat wordt toegevoegd om de klantervaring soepeler te maken bij het gebruik van Microsoft-oplossingen zoals Azure Site Recovery (ASR) waarmee een kernelmodule wordt geïnstalleerd. De ASR-kernelmodule wordt geladen zonder actie van de klant om een sleutel op te geven als ASR-kernelmodule is ondertekend met behulp van het vertrouwde certificaat 'Linux Kmod PCA' van Azure Services.

Download de instructies

Pakketcertificaten, samengesteld uit .p7b en .cer de ondertekening en certificeringsinstantie onthullen. Kopieer de relevante inhoud en gebruik certificaathulpprogramma's om details van certificaten te controleren en te beoordelen.

Selecteer deze optie om het .crt te downloaden dat volgt voor de Microsoft Windows-CA

Microsoft Windows CA

Selecteer deze optie om het .crt te downloaden dat volgt voor de Microsoft UEFI-CA

Microsoft UEFI CA

Selecteren om de .p7b-inhoud weer te geven

Azure Services Linux kmod PCA-certificaat:

Delen via

Veelgestelde vragen over vertrouwde start

Gebruiksgevallen

Waarom moet ik Vertrouwde start gebruiken? Wat beveiligt Trusted Launch tegen?

Wat zijn de verschillen tussen Beveiligd opstarten en gemeten opstarten?

Hoe vergelijkt Trusted Launch zich met de afgeschermde Hyper-V-VM?

Wat is VM-gaststatus (VMGS)?

Kan ik Vertrouwde start uitschakelen voor een nieuwe VM-implementatie?

Ondersteunde functies en implementaties

Wordt Azure Compute Gallery ondersteund door Trusted Launch?

Wordt Azure Backup ondersteund door Trusted Launch?

Blijft Azure Backup werken nadat ik Vertrouwde start heb ingeschakeld?

Worden tijdelijke besturingssysteemschijven ondersteund door Trusted Launch?

Zijn er ook beveiligingsfuncties beschikbaar met vertrouwde lancering die van toepassing zijn op gegevensschijven?

Kan een virtuele machine worden hersteld met behulp van back-ups die zijn gemaakt voordat Vertrouwde start is ingeschakeld?

Hoe vind ik VM-grootten die ondersteuning bieden voor vertrouwd starten?

Hoe kan ik valideren dat mijn installatiekopieën van het besturingssysteem ondersteuning bieden voor Vertrouwd starten?

Installatiekopieën van Marketplace-besturingssysteem

Installatiekopieën van het besturingssysteem van de Azure Compute Gallery

Hoe werken externe communicatiestuurprogramma's met vertrouwde start-VM's?

Problemen oplossen

Wat moet ik doen wanneer mijn vertrouwde start-VM implementatiefouten heeft?

Waarom wordt de vertrouwde start-VM niet correct opgestart?

Hoe kan ik een scenario zonder opstarten verifiëren in Azure Portal?

Waarom geeft mijn vertrouwde start-VM 50 MB minder geheugen weer?

Mislukte beveiligde opstartbewerkingen controleren

Virtuele Linux-machines

Waarom krijg ik een fout bij het bewaken van opstartintegriteit?

Certificaten

Hoe kan ik een vertrouwenshoofdmap met vertrouwde start-VM's tot stand brengen?

Download de instructies

Welke vertrouwde certificaten van Microsoft zijn ingebouwd in Azure-VM's?

Download de instructies

Feedback

Aanvullende resources