Udostępnij za pośrednictwem

(Wersja zapoznawcza) Uaktualnianie istniejących maszyn wirtualnych usługi Azure Gen1 do zaufanego uruchamiania

  • Artykuł

Dotyczy: ✔️ maszyna wirtualna z systemem Linux maszyna wirtualna ✔️ z systemem Windows ✔️ Generacja 1

Usługa Azure Virtual Machines obsługuje uaktualnianie maszyn wirtualnych generacji 1 do generacji 2 przez uaktualnienie do zaufanego typu zabezpieczeń uruchamiania.

Zaufane uruchamianie to sposób włączania podstawowych zabezpieczeń obliczeniowych na maszynach wirtualnych generacji 2 platformy Azure i ochrony przed zaawansowanymi i trwałymi technikami ataków, takimi jak zestawy rozruchowe i zestawy rootkit. Umożliwia to połączenie technologii infrastruktury, takich jak bezpieczny rozruch, wirtualny moduł zaufanej platformy (vTPM) i monitorowanie integralności rozruchu na maszynie wirtualnej.

Ważne

Obsługa uaktualniania istniejących maszyn wirtualnych gen1 do zaufanego uruchamiania jest obecnie dostępna w wersji zapoznawczej. Uaktualnianie maszyn wirtualnych gen1 do generacji 2 bez włączania zaufanego uruchamiania nie jest obsługiwane.

Wymagania wstępne

Nieobsługiwane konfiguracje maszyn wirtualnych gen1

Uaktualnienie maszyny wirtualnej z wersji Gen1 do zaufanego uruchamiania nie jest obsługiwane, jeśli maszyna wirtualna Gen1 jest skonfigurowana przy użyciu następujących funkcji:

  • Obciążenia produkcyjne: funkcja w wersji zapoznawczej powinna być używana tylko do testowania, oceny i opinii. Obciążenia produkcyjne nie są zalecane.
  • System operacyjny: Windows Server 2016, Azure Linux, Debian i inne systemy operacyjne, które nie zostały wymienione w obszarze Zaufane uruchamianie obsługiwanej wersji systemu operacyjnego. Tylko w przypadku systemu Windows Server 2016 obejście polega na zaktualizowaniu systemu operacyjnego gościa do systemu Windows Server 2019 lub 2022.
  • Rozmiar maszyny wirtualnej: Maszyna wirtualna 1. generacji skonfigurowana z rozmiarem maszyny wirtualnej, która nie jest wymieniona w obszarze Zaufane rodziny obsługiwanych rozmiarów uruchamiania. Aby obejść ten problem, zaktualizuj rozmiar maszyny wirtualnej do rodziny zaufanych obsługiwanych rozmiarów maszyn wirtualnych.
  • Azure Backup: maszyna wirtualna 1. generacji skonfigurowana przy użyciu usługi Azure Backup przy użyciu zasad standardowych. Aby obejść ten problem, przeprowadź migrację kopii zapasowych maszyn wirtualnych Gen1 z warstwy Standardowa do zasad rozszerzonych.
  • Funkcja BitLocker lub równoważne szyfrowanie: wolumin systemu operacyjnego gościa maszyny wirtualnej z systemem windows Gen1 jest szyfrowany przy użyciu funkcji BitLocker lub równoważnej technologii szyfrowania. Aby obejść ten problem, wyłącz szyfrowanie woluminów systemu operacyjnego Windows przed uaktualnieniem i ponownie włącz je po pomyślnym ukończeniu uaktualnienia zaufanego uruchamiania.

Najlepsze rozwiązania

  • Utwórz punkty przywracania dla maszyn wirtualnych platformy Azure skojarzonych z obciążeniami produkcyjnymi przed włączeniem zaufanego typu zabezpieczeń uruchamiania. Możesz użyć punktów przywracania, aby ponownie utworzyć dyski i maszynę wirtualną z poprzednim dobrze znanym stanem.
  • Przed wykonaniem uaktualnienia zaufanego uruchamiania przejrzyj znane problemy .
  • Nie będzie można rozszerzyć woluminu systemowego systemu operacyjnego Windows po MBR to GPT conversion uaktualnieniu. Zaleca się rozszerzenie woluminu systemowego na przyszłość przed uaktualnieniem do zaufanego uruchomienia.
  • Wolumin dysku systemu operacyjnego Windows powinien być defragmentowany przy użyciu polecenia Defrag C: /U /V. Defragmentacja woluminu systemu operacyjnego zmniejsza ryzyko wystąpienia błędu konwersji MBR (głównego rekordu rozruchowego) do błędu konwersji GPT (tabeli partycji GUID), zwalniając koniec partycji. Zapoznaj się z tematem defragmentacja.

Aktualizowanie woluminu systemu operacyjnego gościa

Maszyny wirtualne generacji 2 wymagają woluminu systemu operacyjnego gościa z następującymi konfiguracjami:

  • Układ dysku GPT: wolumin systemu operacyjnego gościa maszyn wirtualnych 1. generacji jest w większości ustawiony MBR i wymaga aktualizacji do GPT
  • Partycja systemowa EFI: wolumin systemu operacyjnego gościa maszyn wirtualnych 1. generacji w większości nie obejmuje tej partycji.

Ukończ aktualizację woluminu systemu operacyjnego z wymaganą konfiguracją przed uaktualnieniem maszyny wirtualnej usługi Azure Gen1 do zaufanego uruchamiania.

Ważne

  • Skrypt orkiestracji oparty na programie PowerShell jest publikowany jako wskazówki , które organizuje wszystkie kroki uaktualniania, w tym MBR2GPT weryfikacji dla systemu operacyjnego Windows i Linux oraz konwersji dla systemu operacyjnego Windows. Dostęp do skryptu wskazówek wraz z wymaganą dokumentacją można uzyskać w repozytorium GitHub azure Gen1 to Gen2-Trusted launch VM Upgrade
  • Uaktualnij testową maszynę wirtualną Gen1 do zaufanego uruchamiania i ustal, czy jakiekolwiek zmiany są wymagane do spełnienia wymagań wstępnych przed uaktualnieniem maszyn wirtualnych Gen1 skojarzonych z obciążeniami produkcyjnymi do zaufanego uruchamiania.

Za pomocą wbudowanego narzędzia MBR2GPT.exe można włączyć GPT układ dysku I dodać EFI system partition wymagany do uaktualnienia gen2.

Uwaga

Nie będzie można rozszerzyć woluminu systemowego systemu operacyjnego Windows po MBR to GPT conversion. Zaleceniem jest rozszerzenie woluminu systemowego na przyszłość przed wykonaniem uaktualnienia.

Uwaga

System Windows Server 2016 nie obsługuje programu MBR2GPT.exe. Obejście polega na zaktualizowaniu systemu operacyjnego gościa do systemu Windows Server 2019 lub 2022, a następnie wykonania polecenia MBR to GPT conversion. Zapoznaj się z tematem Uaktualnianie w miejscu dla maszyn wirtualnych z systemem Windows Server na platformie Azure.

  1. Protokół RDP lub zdalnie nawiąż połączenie z maszyną wirtualną z systemem Windows Gen1 w celu przeprowadzenia konwersji.

  2. Uruchom polecenie MBR2GPT /validate /allowFullOS i upewnij się, że Disk layout validation ukończono pomyślnie. Nie należy kontynuować, jeśli wystąpi Disk layout validation błąd. Zapoznaj się z tematem Znane problemy, aby zapoznać się z listą typowych przyczyn i skojarzonego rozwiązania niepowodzenia. Aby uzyskać więcej informacji i rozwiązywania problemów, zobacz MBR2GPT rozwiązywanie problemów.

  3. Uruchom polecenie MBR2GPT /convert /allowFullOS , aby wykonać konwersję MBR na GPT. Przykładowe pomyślne dane wyjściowe:

    If conversion is successful the disk can only be booted in GPT mode.
These changes cannot be undone!

MBR2GPT: Attempting to convert disk 0
MBR2GPT: Retrieving layout of disk
MBR2GPT: Validating layout, disk sector size is: 512 bytes
MBR2GPT: Trying to shrink the OS partition
MBR2GPT: Creating the EFI system partition
MBR2GPT: Installing the new boot files
MBR2GPT: Performing the layout conversion
MBR2GPT: Migrating default boot entry
MBR2GPT: Adding recovery boot entry
MBR2GPT: Fixing drive letter mapping
MBR2GPT: Conversion completed successfully
MBR2GPT: Before the new system can boot properly you need to switch the firmware to boot to UEFI mode!

Uaktualnianie maszyny wirtualnej Gen1 do zaufanego uruchamiania

Uwaga

  • Po włączeniu zaufanego uruchamiania obecnie maszyny wirtualne nie mogą być przywracane do standardowego typu zabezpieczeń (konfiguracja uruchamiania nieodparta na zaufaniu).
  • Funkcja vTPM jest domyślnie włączona.
  • Zalecamy włączenie bezpiecznego rozruchu, jeśli nie używasz niestandardowego niepodpisanego jądra lub sterowników. Nie jest ona domyślnie włączona. Bezpieczny rozruch zachowuje integralność rozruchu i umożliwia podstawowe zabezpieczenia maszyn wirtualnych.

Upewnij się, że zainstalowano najnowszą wersję programu Azure PowerShell i zalogowaliśmy się do konta platformy Azure przy użyciu polecenia Connect-AzAccount.

Ważne

Skrypt orkiestracji oparty na programie PowerShell jest publikowany jako wskazówki, które organizuje wszystkie kroki uaktualniania, w tym konwersję MBR2GPT. Dostęp do skryptu wskazówek wraz z wymaganą dokumentacją można uzyskać w repozytorium GitHub azure Gen1 to Gen2-Trusted launch VM Upgrade

Postępuj zgodnie z instrukcjami, aby uaktualnić istniejącą maszynę wirtualną Gen1 do generacji 2 i włączyć zaufane uruchamianie przy użyciu programu Azure PowerShell.

  1. Zaloguj się do subskrypcji platformy Azure maszyny wirtualnej.

    Connect-AzAccount -SubscriptionId 00000000-0000-0000-0000-000000000000

  2. Cofanie przydziału maszyny wirtualnej.

    Stop-AzVM -ResourceGroupName myResourceGroup -Name myVm

  3. Włącz zaufane uruchamianie, ustawiając wartość -SecurityTypeTrustedLaunch.

    Get-AzVM -ResourceGroupName myResourceGroup -VMName myVm `
    | Update-AzVM -SecurityType TrustedLaunch `
        -EnableSecureBoot $true -EnableVtpm $true

  4. Zweryfikuj securityProfile zaktualizowaną konfigurację maszyny wirtualnej.

    # Following command output should be `TrustedLaunch`

(Get-AzVM -ResourceGroupName myResourceGroup -VMName myVm `
    | Select-Object -Property SecurityProfile `
        -ExpandProperty SecurityProfile).SecurityProfile.SecurityType

# Following command output should return `SecureBoot` and `vTPM` settings
(Get-AzVM -ResourceGroupName myResourceGroup -VMName myVm `
    | Select-Object -Property SecurityProfile `
        -ExpandProperty SecurityProfile).SecurityProfile.Uefisettings

  5. Uruchom maszynę wirtualną.

    Start-AzVM -ResourceGroupName myResourceGroup -Name myVm

  6. Uruchom uaktualnioną zaufaną maszynę wirtualną uruchamiania. Sprawdź, czy możesz zalogować się do maszyny wirtualnej przy użyciu protokołu RDP (dla maszyn wirtualnych z systemem Windows) lub SSH (dla maszyn wirtualnych z systemem Linux).

Znane problemy

Rozruch systemu Windows 11 kończy się niepowodzeniem po uaktualnieniu zaufanej maszyny wirtualnej z systemem Windows 10

Maszyna wirtualna z systemem Windows 10 Gen1 została pomyślnie uaktualniona do zaufanego uruchomienia, a następnie pomyślnie uaktualniono system Windows 11 w miejscu. Jednak rozruch systemu Windows 11 kończy się niepowodzeniem po zatrzymaniu maszyny wirtualnej platformy Azure i uruchomieniu z wyświetlonym błędem.

Rozwiązanie: ten problem został rozwiązany z kompilacją 24H2 w wersji 26100.2314.

Zrzut ekranu przedstawiający błąd rozruchu maszyny wirtualnej z systemem Windows platformy Azure.

[Windows] Konwersja MBR na GPT kończy się niepowodzeniem z powodu błędu Nie można odnaleźć miejsca dla partycji systemowej EFI

Ten błąd występuje z jednej z następujących przyczyn:

  • Na woluminie systemowym nie ma wolnego miejsca
  • Wolumin systemowy jest uszkodzony. Możesz sprawdzić poprawność, próbując zmniejszyć wolumin przez kilka mb/s w konsoli zarządzania dyskami. Użyj polecenia chkdsk C:/v/f , aby naprawić wolumin systemowy.
  • Virtual Disk usługa nie jest uruchomiona lub nie może nawiązać pomyślnej komunikacji. Typ uruchamiania usługi powinien mieć wartość Manual.
  • Optimize Drives usługa nie jest uruchomiona lub nie może nawiązać pomyślnej komunikacji. Typ uruchamiania usługi powinien mieć wartość Manual.
  • Dysk woluminu systemowego jest już skonfigurowany z czterema partycjami MBR (maksymalnie obsługiwany przez układ dysku MBR). Musisz usunąć jedną z partycji, aby zapewnić miejsce na partycję systemową EFI.
    1. Uruchom polecenie ReAgentc /info , aby zidentyfikować partycję aktywnie używaną przez usługę Recovery. Przykład: Windows RE location: \\?\GLOBALROOT\device\harddisk0\partition4\Recovery\WindowsRE
    2. Uruchom polecenie cmdlet Get-Partition -DiskNumber 0 programu PowerShell, aby zidentyfikować bieżące partycje, które są skonfigurowane.
    3. Uruchom polecenie cmdlet Remove-Partition -DiskNumber 0 -PartitionNumber X programu PowerShell, aby usunąć dodatkową partycję odzyskiwania, która nie jest aktywnie używana przez usługę Odzyskiwania, zgodnie z instrukcją w kroku 1.

[Windows] Nie można zaktualizować ReAgent.xml MBR do GPT

W przypadku niektórych wersji systemu operacyjnego Windows, takich jak Windows 10, MBR2GPT generuje błąd przekazywania MBR2GPT: Failed to update ReAgent.xml, please try to manually disable and enable WinRE.

Ostrzeżenie wskazuje, że MBR2GPT.exe nie można zaktualizować identyfikatora GUID partycji odzyskiwania w programie C:\Windows\System32\Recovery\ReAgent.xml. Ten problem nie powinien powodować problemu z funkcją systemu operacyjnego gościa ani dalszymi operacjami uaktualniania, takimi jak uaktualnienie systemu Windows 11, aby powiodło się, lub system Windows 11 działał prawidłowo po uaktualnieniu. ReAgent.xml Jest aktualizowany przy użyciu poprawnego identyfikatora GUID po uaktualnieniu systemu Windows 11, czyli jeśli nie podejmiesz żadnych działań między MBR2GPT konwersji i uaktualnienia systemu Windows 11, wartość identyfikatora GUID w ReAgent.xml systemie Jest synchronizowana z konfiguracją odzyskiwania systemu Windows.

Aby ręcznie naprawić ostrzeżenie, można wyłączyć i ponownie włączyć po MBR2GPT konwersji winRE lub po uaktualnieniu gen1 do zaufanego uruchomienia przed uaktualnieniem systemu Windows 11, wykonując wymienione kroki, te kroki wymuszają synchronizację identyfikatora GUID winRE w ReAgent.xml

  1. Ukończ wersję Gen1 —> zaufane uaktualnienie uruchamiania.
  2. Uruchom polecenie reagentc /disable
  3. Uruchom polecenie reagentc /enable
  4. Uruchom polecenie reagentc /info
  5. Otwórz C:\Windows\System32\Recovery\ReAgent.xml i zweryfikuj identyfikator GUID BCD w pliku xml jest zgodny z danymi wyjściowymi z kroku 4.

[Windows] Dysk D przypisany do uaktualnienia postu zarezerwowanego systemu

Tymczasowe przypisanie litery dysku magazynu "D" jest zmieniane na "E" z poprzednią literą przypisaną do systemu zarezerwowanego po uaktualnieniu maszyny wirtualnej Gen1. Wykonaj poniższe kroki ręcznie po uaktualnieniu, aby obejść problem:

Po uaktualnieniu sprawdź dyski na serwerze, jeśli partycja zarezerwowana systemu ma literę D, wykonaj następujące czynności:

  1. Skonfiguruj ponownie plik stronicowania z D: do C:
  2. Ponowne uruchamianie maszyny wirtualnej
  3. Usuń literę D: z partycji
  4. Uruchom ponownie maszynę wirtualną, aby wyświetlić dysk magazynu tymczasowego z literą D:

Dokumentacja obrazu maszyny wirtualnej nie zmienia się po uaktualnieniu zaufanego uruchamiania

Po uaktualnieniu maszyny wirtualnej usługi Azure Gen1 do zaufanego uruchamiania odwołanie do obrazu obrazu nadal odzwierciedla źródło jako obraz systemu operacyjnego Gen1. Odwołanie do obrazu nie zostało zaktualizowane, jest znanym ograniczeniem i zostanie rozwiązane w wersji ogólnodostępnej usługi Gen1 do obsługi uaktualnienia zaufanej maszyny wirtualnej do uruchamiania.

Często zadawane pytania

Co zrobić, jeśli istnieją maszyny wirtualne generacji 1, które nie spełniają wymagań wstępnych dotyczących zaufanego uruchamiania?

W przypadku maszyny wirtualnej generacji 1, która nie spełnia wymagań wstępnych dotyczących uaktualnienia do zaufanego uruchamiania, sprawdź, jak spełnić wymagania wstępne. Jeśli na przykład nie jest obsługiwany rozmiar maszyny wirtualnej, poszukaj równoważnego obsługiwanego rozmiaru zaufanego uruchamiania obsługującego zaufane uruchamianie.

Dlaczego uaktualnienie do wersji Generacja 2 (bez zaufanego uruchamiania) nie jest obsługiwane?

Zaufane uruchamianie umożliwia podstawowe zabezpieczenia obliczeniowe na maszynach wirtualnych generacji 2 platformy Azure bez dodatkowych kosztów. Ponadto zaufane maszyny wirtualne uruchamiania są zasadniczo na równi z maszynami wirtualnymi generacji 2. W związku z tym nie ma żadnych dodatkowych korzyści związanych z uaktualnianiem tylko do maszyny wirtualnej generacji 2 bez włączania zaufanego uruchamiania.

Powiązana zawartość