方案 - 在 VMM 中部署受保护的主机和受防护的虚拟机
本文概述了如何在 System Center Virtual Machine Manager （VMM） 计算构造中部署 Hyper-V 受保护的主机和受防护的虚拟机。
受保护的构造为 VM 提供额外的保护，以防止恶意管理员和恶意软件篡改和盗窃。 作为云服务提供商或私有云管理员，可以部署通常由运行主机保护者服务（HGS）的服务器、一个或多个受保护的 Hyper-V 主机服务器以及在这些主机上运行的一个或多个受防护的 VM 组成。 详细了解受保护的构造。
为何需要保护 VM？
虚拟机包含 VM 所有者不希望构造管理员查看的敏感数据和配置。 但是，由于 VM 的所有数据都存储在文件中，因此恶意软件或恶意管理员可以轻松复制和检查数据。
Windows Server 中受防护的 VM 有助于防止此类攻击，方法是在启动 VM 之前严格证明 Hyper-V 主机的运行状况，确保 VM 只能在 VM 所有者授权的数据中心内启动，并使来宾 OS 能够使用新的虚拟 TPM 加密自己的数据。 创建安全敏感型 VM 时，VM 所有者可以从以下两种类型的保护中进行选择：
- 支持加密的：非常适合需要对静态和正在处理的数据进行加密的企业私有云场景，但是构造管理员仍受到信任。 VM 控制台和其他管理便利仍可供构造管理员使用。
- 受防护：最安全的部署选项，防护可防止构造管理员连接到 VM 控制台或修改 VM 配置的安全方面。 VM 所有者只能通过选择启用的远程管理工具访问 VM。 对于在公共或共享基础结构上运行敏感工作负荷的租户，建议这样做。
使用 VMM 管理受保护的构造
核心受保护的构造基础结构（由一个或多个受保护的 Hyper-V 主机、主机保护者服务和创建受防护的 VM 所需的项目）包含在 Windows Server 2016 及更高版本中，必须根据 受保护的构造文档进行配置。 设置后，可以选择使用 System Center Virtual Machine Manager 简化受保护的构造的管理。
核心受保护的构造基础结构（由一个或多个受保护的 Hyper-V 主机、主机保护者服务和创建受防护的 VM 所需的项目）包含在适用的 Windows Server 版本中，并且必须根据 受保护的构造文档进行配置。 设置后，可以选择使用 System Center Virtual Machine Manager 简化受保护的构造的管理。
VMM 可用于：
- 在 VMM 构造中预配和管理受保护的主机：可以向 VMM 构造添加和管理受保护的主机。 受保护的主机是 Hyper-V 服务器，它：
- 满足受保护的主机先决条件。
- 主机保护者服务授权构造运行受防护的 VM。 HGS 管理员确定主机成功证明并 受到保护的要求。
- 通过将其配置为使用与全局 VMM 设置中指定的 URL 相同的 HGS URL，在 VMM 中标记为受保护。
- 配置受防护的虚拟硬盘和 VM 模板：用于部署新受防护 VM 的签名模板磁盘（VHDX）可以存储在 VMM 库中，以便轻松部署。 然后，可以在 VM 模板中使用此 VHDX。
- 预配和管理受防护的 VM：VMM 支持受防护的 VM 的完整生命周期。 这包括：
- 从已签名的模板磁盘（VHDX）创建新的受防护 VM，还可以选择使用 VM 模板。
- 将现有 VM 转换为受防护的 VM。