Pengantar Peluncuran tepercaya untuk Azure Arc VM di Azure Local
Berlaku untuk: Azure Local 2311.2 dan yang lebih baru
Artikel ini memperkenalkan Peluncuran tepercaya untuk komputer virtual (VM) Azure Arc di Azure Local. Anda dapat membuat Trusted launch Arc VM menggunakan portal Azure atau dengan menggunakan Antarmuka Baris Perintah Azure (CLI).
Pendahuluan
Peluncuran tepercaya untuk VM Azure Arc memungkinkan boot aman, menginstal perangkat Modul Platform Tepercaya (vTPM) virtual, secara otomatis mentransfer status vTPM saat VM bermigrasi atau gagal ke komputer lain dalam sistem, dan mendukung kemampuan untuk membuktikan apakah VM dimulai dalam keadaan baik yang diketahui.
Peluncuran tepercaya adalah jenis keamanan yang dapat ditentukan saat membuat VM Arc di Azure Local. Untuk informasi selengkapnya, lihat Peluncuran tepercaya untuk Azure Arc VM di Azure Local.
Kemampuan dan manfaat
| Kemampuan | Keuntungan |
|---|---|
| Pengaktifan Aman | Membantu mengurangi risiko malware (rootkit) selama boot dengan memverifikasi bahwa komponen boot ditandatangani oleh penerbit tepercaya. |
| vTPM | Versi virtual dari perangkat TPM perangkat keras yang berfungsi sebagai vault khusus untuk kunci, sertifikat, dan rahasia. |
| Transfer keadaan vTPM | Mempertahankan vTPM saat VM bermigrasi atau failover dalam kluster. |
| Keamanan berbasis virtualisasi (VBS) | Tamu di VM dapat membuat wilayah memori yang terisolasi menggunakan dukungan VBS. |
Catatan
Verifikasi integritas boot VM tamu tidak dapat dilakukan.
Panduan
IgvmAgent adalah komponen yang diinstal pada semua komputer di sistem Azure Local. Ini memungkinkan dukungan untuk VM terisolasi seperti VM Arc peluncuran tepercaya misalnya.
Sebagai bagian dari pembuatan VM Arc Peluncuran Tepercaya, Hyper-V membuat file VM di lokasi default pada disk untuk menyimpan status VM. Secara default, akses ke file VM tersebut dibatasi hanya untuk administrator server host. Jika Anda menyimpan file VM tersebut di lokasi yang berbeda, Anda harus memastikan bahwa lokasi tersebut dibatasi aksesnya hanya untuk administrator server host.
Lalu lintas jaringan migrasi langsung VM tidak dienkripsi. Kami sangat menyarankan Anda mengaktifkan teknologi enkripsi lapisan jaringan seperti IPsec untuk melindungi lalu lintas jaringan migrasi langsung.
Gambar sistem operasi tamu
Semua citra Windows 11 (tidak termasuk SKU 24H2 Windows 11) dan citra Windows Server 2022 dari Azure Marketplace yang didukung oleh VM Azure Arc didukung. Lihat Membuat gambar Azure Local VM menggunakan gambar Marketplace Azure untuk daftar semua gambar Windows 11 yang didukung.
Catatan
Gambar tamu VM yang diperoleh di luar Marketplace Azure tidak didukung.
Pertimbangan pencadangan dan pemulihan bencana
Saat bekerja dengan Trusted Launch Arc VMs, pastikan untuk memahami pertimbangan dan batasan utama berikut yang terkait dengan backup dan pemulihan:
Perbedaan antara VM Arc peluncuran tepercaya dan VM Arc standar: Tidak seperti VM Azure Arc standar, VM Arc peluncuran tepercaya menggunakan kunci perlindungan status tamu VM untuk melindungi status tamu VM, termasuk status TPM virtual (vTPM), saat tidak aktif. Kunci perlindungan VM disimpan dalam brankas kunci lokal di sistem Azure Local tempat VM berada. VM Arc peluncuran tepercaya menyimpan status tamu VM dalam dua file: status tamu VM dan status runtime VM. Untuk mencadangkan dan memulihkan VM peluncuran Tepercaya, solusi cadangan harus mencadangkan dan memulihkan semua file VM, termasuk status tamu dan file status runtime, serta mencadangkan dan memulihkan kunci perlindungan VM.
Dukungan alat pencadangan dan pemulihan bencana: Saat ini, VM Arc dengan peluncuran tepercaya tidak mendukung alat pencadangan dan pemulihan bencana pihak ketiga atau yang dimiliki Microsoft, seperti Azure Backup, Azure Site Recovery, Veeam, dan Commvault. Jika timbul kebutuhan untuk memindahkan Arc TVM Peluncuran Tepercaya ke kluster alternatif, lihat proses manual Pencadangan Manual dan Pemulihan VM Arc Peluncuran Tepercaya untuk mengelola semua file yang diperlukan dan kunci perlindungan VM guna memastikan VM dapat dipulihkan dengan sukses.
Catatan
VM Arc peluncuran tepercaya yang dipulihkan pada sistem Azure Local alternatif tidak dapat dikelola dari sarana kontrol Azure.