在 Azure 本機版本 23H2 上部署 Azure Arc VM 的信任啟動

適用於：Azure 本機版本 23H2

本文說明如何在 Azure 本機版本 23H2 上部署 Azure Arc 虛擬機 （VM） 的信任啟動。

必要條件

請確定您可以存取已部署並向 Azure 註冊的 Azure 本機版本 23H2 系統。 如需詳細資訊，請參閱使用 Azure 入口網站 進行部署。

建立受信任的啟動Arc VM

您可以使用 Azure 入口網站 或使用 Azure 命令列介面 （CLI） 建立受信任的啟動 VM。 使用下列索引標籤來選取方法。

Azure 入口網站

若要在 Azure 本機上建立受信任的啟動 Arc VM，請遵循使用 Azure 入口網站 在 Azure 本機上建立 Arc 虛擬機中的步驟，並進行下列變更：

1. 建立 VM 時，請選取 [信任啟動虛擬機 ] 以取得安全性類型。

   

2. 從支援的映像清單中選取 VM 客體 OS 映射：

   

3. 建立 VM 之後，請移至 [VM 屬性] 頁面，並確認顯示的安全性類型為 [信任啟動]。

   

Azure CLI

若要在 Azure 本機上建立受信任的啟動 Arc VM，請遵循使用 Azure CLI 在 Azure 本機上建立 Arc 虛擬機中的步驟，並進行下列變更：

1. 信任從 Azure Marketplace 啟動，使用 支援的 VM 客體 OS 映射建立 VM 映射 。 如需詳細資訊，請參閱 使用 Azure Marketplace 建立 Azure 本機 VM 映射。

2. 使用 CLI 建立 VM，如下所示：

   $vmName="<Name of the VM>" 
   $subscription="<Subscription ID associated with your Azure Local system>" 
   $resourceGroup="<Resource group name for your Azure Local system>" 
   $location="<Location for your Azure Local system>" 
   $customLocationID=(az customlocation show --resource-group $resource_group --name "<custom location name for your Azure Local system>" --query id -o tsv) 
   $guestName="<Name of the guest>" 
   $userName="<Username for VM>" 
   $password="<Password for VM>" 
   $galleryImageName="<Name of VM guest image>" 
   $vNic="<Name of virtual network interface>" 
   
   az stack-hci-vm create --name $vmName --subscription $subscription --resource-group $resourceGroup --custom-location=$customLocationID --location $location --size="Default" --computer-name $guestName --admin-username $userName --admin-password $password --image $galleryImageName --nics $vNic --enable-secure-boot true --enable-vtpm true --security-type "TrustedLaunch"
   

   範例輸出：

   {
     "extendedLocation": {
       "name": "/subscriptions/myhci-sub/resourceGroups/myhci-rg/Microsoft.ExtendedLocation/customLocations/myhci-cl",
       "type": "CustomLocation"
     },
     "id": "/subscriptions/myhci-sub/resourceGroups/myhci-rg/providers/Microsoft.HybridCompute/machines/tvm1/providers/Microsoft.AzureStackHCI/virtualMachineInstances/default",
     "name": "default",
     "properties": {
       "hardwareProfile": {
         "dynamicMemoryConfig": {
           "maximumMemoryMb": null,
           "minimumMemoryMb": null,
           "targetMemoryBuffer": null
         },
         "memoryMb": 4096,
         "processors": 4,
         "vmSize": "Custom"
       },
       "instanceView": {
         "vmAgent": {
           "statuses": []
         }
       },
       "networkProfile": {
         "networkInterfaces": [
           {
             "id": "ram-nic"
           }
         ]
       },
       "osProfile": {
         "adminPassword": null,
         "adminUsername": "admin",
         "computerName": "myhci-tvm",
         "linuxConfiguration": {
           "disablePasswordAuthentication": null,
           "provisionVmAgent": false,
           "provisionVmConfigAgent": false,
           "ssh": {
             "publicKeys": null
           }
         },
         "windowsConfiguration": {
           "enableAutomaticUpdates": null,
           "provisionVmAgent": false,
           "provisionVmConfigAgent": false,
           "ssh": {
             "publicKeys": null
           },
           "timeZone": null
         }
       },
       "provisioningState": "Succeeded",
       "securityProfile": {
         "enableTpm": true,
         "securityType": "TrustedLaunch",
         "uefiSettings": {
           "secureBootEnabled": true
         }
       },
       "status": {
         "powerState": "Running"
       },
       "storageProfile": {
         "dataDisks": [],
         "imageReference": {
           "id": "/subscriptions/myhci-sub/resourceGroups/myhci-rg/providers/Microsoft.AzureStackHCI/marketplacegalleryimages/Win11EntMulti21H2",
           "resourceGroup": "myhci-rg"
         },
         "osDisk": {
           "id": null,
           "osType": "Windows"
         },
         "storagepathId": null
       },
       "vmId": "myhci-tvm-1234567890"
     },
     "resourceGroup": "myhci-rg",
     "systemData": {
       "createdAt": "2023-10-24T19:15:47.152610+00:00",
       "createdBy": "registration@contoso.com",
       "createdByType": "User",
       "lastModifiedAt": "2023-10-24T19:41:05.196469+00:00",
       "lastModifiedBy": "319f651f-7ddb-4fc6-9857-7aef9250bd05",
       "lastModifiedByType": "Application"
     },
     "tags": null,
     "type": "microsoft.azurestackhci/virtualmachineinstances"
   }
   

3. 建立 VM 之後，請確認 VM 的安全性類型為 [受信任的啟動]。

4. 執行下列 Cmdlet 以尋找 VM 的擁有者節點：

   Get-ClusterGroup $vmName
   

5. 在 VM 的擁有者節點上執行下列 Cmdlet：

   (Get-VM $vmName).GuestStateIsolationType
   

6. 確定傳回 TrustedLaunch 的值。

範例

此範例顯示執行 Windows 11 客體且已啟用 BitLocker 加密的受信任啟動 Arc VM。 以下是練習案例的步驟：

1. 建立執行支援的 Windows 11 客體作業系統的受信任啟動 Arc VM。

2. 針對 Win 11 客體上的 OS 磁碟區啟用 BitLocker 加密。

   登入 Windows 11 客體並啟用 BitLocker 加密（適用於 OS 磁碟區）：在工作欄的搜尋方塊中，輸入 [管理 BitLocker]，然後從結果清單中選取它。 選取 [開啟 BitLocker] ，然後遵循指示來加密 OS 磁碟區 （C：）。 BitLocker 會使用 vTPM 作為 OS 磁碟區的密鑰保護裝置。

3. 將 VM 遷移至叢集中的另一個節點。 執行下列 PowerShell 命令：

   Move-ClusterVirtualMachineRole -Name $vmName -Node <destination node name> -MigrationType Shutdown
   

4. 確認 VM 的擁有者節點是指定的目的地節點：

   Get-ClusterGroup $vmName
   

5. VM 移轉完成之後，請確認 VM 是否可用且已啟用 BitLocker。

6. 確認您是否可以在 VM 中登入 Windows 11 客體，以及 OS 磁碟區的 BitLocker 加密是否仍然啟用。 如果可以這麼做，這會確認在 VM 移轉期間保留 vTPM 狀態。

   如果在 VM 移轉期間未保留 vTPM 狀態，VM 啟動會導致客體開機期間進行 BitLocker 復原。 也就是說，當您嘗試登入 Windows 11 客體時，系統會提示您輸入 BitLocker 修復密碼。 這是因為目的地節點上已移轉 VM 的開機量測（儲存在 vTPM 中），與原始 VM 不同。

7. 強制 VM 故障轉移至叢集中的另一個節點。

   1. 使用此指令確認 VM 的擁有者節點：

      Get-ClusterGroup $vmName
      

   2. 使用故障轉移叢集管理員停止擁有者節點上的叢集服務，如下所示：選取故障轉移叢集管理員中顯示的擁有者節點。  在 [ 動作] 右窗格中，選取 [更多動作 ]，然後選取 [ 停止叢集服務]。

   3. 停止擁有者節點上的叢集服務會導致 VM 自動移轉至叢集中的另一個可用節點。 之後重新啟動叢集服務。

8. 故障轉移完成後，請確認 VM 是否可用，並在故障轉移之後啟用 BitLocker。

9. 確認 VM 的擁有者節點是指定的目的地節點：

   Get-ClusterGroup $vmName
   

下一步

• 管理受信任的啟動Arc VM客體狀態保護金鑰。