Tanya Jawab Umum Peluncuran Tepercaya

Artikel
10/24/2024

Perhatian

Artikel ini mereferensikan CentOS, distribusi Linux yang mendekati status akhir masa pakai (EOL). Pertimbangkan penggunaan dan rencana yang sesuai. Untuk informasi selengkapnya, lihat panduan EOL CentOS.

Tanya jawab umum (FAQ) tentang kasus penggunaan fitur Peluncuran Tepercaya Azure, dukungan untuk fitur Azure lainnya, dan perbaikan untuk kesalahan umum.

Kasus penggunaan

Bagian ini menjawab pertanyaan tentang kasus penggunaan untuk Peluncuran Tepercaya.

Mengapa saya harus menggunakan Peluncuran Tepercaya? Apa yang dijaga oleh Peluncuran Tepercaya?

Peluncuran Tepercaya melindungi dari kit boot, rootkit, dan malware tingkat kernel. Jenis malware canggih ini berjalan dalam mode kernel dan tetap tersembunyi dari pengguna. Contohnya:

Rootkit firmware: Kit ini menimpa firmware bios komputer virtual (VM), sehingga rootkit dapat dimulai sebelum sistem operasi (OS).
Kit boot: Kit ini menggantikan bootloader OS sehingga VM memuat boot kit sebelum OS.
Rootkit kernel: Kit ini menggantikan sebagian kernel OS, sehingga rootkit dapat dimulai secara otomatis saat OS dimuat.
Rootkit driver: Kit ini berpura-pura menjadi salah satu driver tepercaya yang digunakan OS untuk berkomunikasi dengan komponen VM.

Apa perbedaan antara Boot Aman dan boot terukur?

Dalam rantai Boot Aman, setiap langkah dalam proses boot memeriksa tanda tangan kriptografi dari langkah-langkah berikutnya. Misalnya, BIOS memeriksa tanda tangan pada loader, dan loader memeriksa tanda tangan pada semua objek kernel yang dimuatnya, dan sebagainya. Jika salah satu objek disusupi, tanda tangan tidak cocok dan VM tidak melakukan boot. Untuk informasi selengkapnya, lihat Boot Aman.

Bagaimana Peluncuran Tepercaya dibandingkan dengan Hyper-V Shielded VM?

Hyper-V Shielded VM saat ini hanya tersedia di Hyper-V. Hyper-V Shielded VM biasanya disebarkan dengan Guarded Fabric. Guarded Fabric terdiri dari Host Guardian Service (HGS), satu atau beberapa host yang dijaga, dan sekumpulan Shielded VM. Hyper-V Shielded VM digunakan dalam fabric di mana data dan status VM harus dilindungi dari berbagai aktor. Aktor ini adalah administrator fabric dan perangkat lunak tidak tepercaya yang mungkin berjalan pada host Hyper-V.

Peluncuran Tepercaya, di sisi lain, dapat disebarkan sebagai VM mandiri atau sebagai set skala komputer virtual di Azure tanpa penyebaran dan manajemen HGS lainnya. Semua fitur Peluncuran Tepercaya dapat diaktifkan dengan perubahan sederhana dalam kode penyebaran atau kotak centang pada portal Azure.

Apa itu VM Guest State (VMGS)?

Status Tamu VM (VMGS) khusus untuk VM Peluncuran Tepercaya. Ini adalah blob yang dikelola oleh Azure dan berisi database tanda tangan Boot Aman antarmuka firmware terpadu (UEFI) dan informasi keamanan lainnya. Siklus hidup blob VMGS terkait dengan disk OS.

Dapatkah saya menonaktifkan Peluncuran Tepercaya untuk penyebaran VM baru?

VM Peluncuran Tepercaya memberi Anda keamanan komputasi dasar. Kami menyarankan agar Anda tidak menonaktifkannya untuk penyebaran VM atau set skala komputer virtual baru kecuali jika penyebaran Anda memiliki dependensi pada:

Anda dapat menggunakan securityType parameter dengan Standard nilai untuk menonaktifkan Peluncuran Tepercaya di VM baru atau penyebaran set skala komputer virtual dengan menggunakan Azure PowerShell (v10.3.0+) dan Azure CLI (v2.53.0+).

Catatan

Kami tidak menyarankan untuk menonaktifkan Boot Aman kecuali Anda menggunakan kernel atau driver kustom yang tidak ditandatangani.

Jika Anda perlu menonaktifkan Boot Aman, di bawah konfigurasi VM, hapus opsi Aktifkan Boot Aman.

CLI
PowerShell

az vm create -n MyVm -g MyResourceGroup --image Ubuntu2204 `
    --security-type 'Standard'

$adminUsername = <USER NAME>
$adminPassword = <PASSWORD> | ConvertTo-SecureString -AsPlainText -Force
$vmCred = New-Object System.Management.Automation.PSCredential($adminUsername, $adminPassword)
New-AzVM -Name MyVm -Credential $vmCred -SecurityType Standard

Fitur dan penyebaran yang didukung

Bagian ini membahas fitur dan penyebaran yang didukung Peluncuran Tepercaya.

Apakah Azure Compute Gallery didukung oleh Peluncuran Tepercaya?

Peluncuran Tepercaya sekarang memungkinkan gambar dibuat dan dibagikan melalui Azure Compute Gallery (sebelumnya Shared Image Gallery). Sumber gambar dapat berupa:

Azure VM yang sudah ada yang digeneralisasi atau khusus.
Disk terkelola atau rekam jepret yang ada.
VHD atau versi gambar dari galeri lain.

Untuk informasi selengkapnya tentang menyebarkan VM Peluncuran Tepercaya dengan menggunakan Azure Compute Gallery, lihat Menyebarkan VM Peluncuran Tepercaya.

Apakah Azure Backup didukung oleh Peluncuran Tepercaya?

Peluncuran Tepercaya sekarang mendukung Azure Backup. Untuk informasi selengkapnya, lihat Matriks dukungan untuk pencadangan Azure VM.

Apakah Azure Backup akan terus berfungsi setelah saya mengaktifkan Peluncuran Tepercaya?

Pencadangan yang dikonfigurasi dengan kebijakan Ditingkatkan terus mengambil cadangan VM setelah Anda mengaktifkan Peluncuran Tepercaya.

Apakah disk OS ephemeral didukung oleh Peluncuran Tepercaya?

Peluncuran Tepercaya mendukung disk OS ephemeral. Untuk informasi selengkapnya, lihat Peluncuran Tepercaya untuk disk OS ephemeral.

Catatan

Saat Anda menggunakan disk sementara untuk VM Peluncuran Tepercaya, kunci dan rahasia yang dihasilkan atau disegel oleh Modul Platform Tepercaya virtual (vTPM) setelah pembuatan VM mungkin tidak bertahan di seluruh operasi seperti pencitraan ulang dan peristiwa platform seperti penyembuhan layanan.

Apakah fitur keamanan tersedia dengan peluncuran Tepercaya juga berlaku untuk disk data?

Peluncuran tepercaya memberikan keamanan dasar untuk sistem Operasi yang dihosting di komputer virtual dengan membuktikan integritas boot-nya. Fitur keamanan peluncuran tepercaya hanya berlaku untuk menjalankan disk OS dan OS, tidak berlaku untuk disk data atau biner OS yang disimpan dalam disk data. Untuk detail selengkapnya, lihat Gambaran umum peluncuran tepercaya

Dapatkah VM dipulihkan dengan menggunakan cadangan yang diambil sebelum Peluncuran Tepercaya diaktifkan?

Cadangan yang diambil sebelum Anda meningkatkan VM Generasi 2 yang ada ke Peluncuran Tepercaya dapat digunakan untuk memulihkan seluruh VM atau disk data individual. Mereka tidak dapat digunakan untuk memulihkan atau mengganti disk OS saja.

Bagaimana cara menemukan ukuran VM yang mendukung Peluncuran Tepercaya?

Lihat daftar ukuran VM Generasi 2 yang mendukung Peluncuran Tepercaya.

Gunakan perintah berikut untuk memeriksa apakah ukuran VM Generasi 2 tidak mendukung Peluncuran Tepercaya.

CLI
PowerShell

subscription="<yourSubID>"
region="westus"
vmSize="Standard_NC12s_v3"

az vm list-skus --resource-type virtualMachines  --location $region --query "[?name=='$vmSize'].capabilities" --subscription $subscription

$region = "southeastasia"
$vmSize = "Standard_M64"
(Get-AzComputeResourceSku | where {$_.Locations.Contains($region) -and ($_.Name -eq $vmSize) })[0].Capabilities

Responsnya mirip dengan formulir berikut. Output yang mencakup TrustedLaunchDisabled True menunjukkan bahwa ukuran VM Generasi 2 tidak mendukung Peluncuran Tepercaya. Jika ukuran VM Generasi 2 dan TrustedLaunchDisabled bukan bagian dari output, Peluncuran Tepercaya didukung untuk ukuran VM tersebut.

Name                                         Value
----                                         -----
MaxResourceVolumeMB                          8192000
OSVhdSizeMB                                  1047552
vCPUs                                        64
MemoryPreservingMaintenanceSupported         False
HyperVGenerations                            V1,V2
MemoryGB                                     1000
MaxDataDiskCount                             64
CpuArchitectureType                          x64
MaxWriteAcceleratorDisksAllowed              8
LowPriorityCapable                           True
PremiumIO                                    True
VMDeploymentTypes                            IaaS
vCPUsAvailable                               64
ACUs                                         160
vCPUsPerCore                                 2
CombinedTempDiskAndCachedIOPS                80000
CombinedTempDiskAndCachedReadBytesPerSecond  838860800
CombinedTempDiskAndCachedWriteBytesPerSecond 838860800
CachedDiskBytes                              1318554959872
UncachedDiskIOPS                             40000
UncachedDiskBytesPerSecond                   1048576000
EphemeralOSDiskSupported                     True
EncryptionAtHostSupported                    True
CapacityReservationSupported                 False
TrustedLaunchDisabled                        True
AcceleratedNetworkingEnabled                 True
RdmaEnabled                                  False
MaxNetworkInterfaces                         8

Bagaimana cara memvalidasi bahwa gambar OS saya mendukung Peluncuran Tepercaya?

Lihat daftar versi OS yang didukung dengan Peluncuran Tepercaya.

Gambar OS Marketplace

Gunakan perintah berikut untuk memeriksa apakah gambar OS Marketplace Azure mendukung Peluncuran Tepercaya.

CLI
PowerShell

az vm image show --urn "MicrosoftWindowsServer:WindowsServer:2022-datacenter-azure-edition:latest"

Responsnya mirip dengan formulir berikut. Jika hyperVGeneration adalah v2 dan SecurityType berisi TrustedLaunch dalam output, gambar OS Generasi 2 mendukung Peluncuran Tepercaya.

{
  "architecture": "x64",
  "automaticOsUpgradeProperties": {
    "automaticOsUpgradeSupported": false
  },
  "dataDiskImages": [],
  "disallowed": {
    "vmDiskType": "Unmanaged"
  },
  "extendedLocation": null,
  "features": [
    {
      "name": "SecurityType",
      "value": "TrustedLaunchAndConfidentialVmSupported"
    },
    {
      "name": "IsAcceleratedNetworkSupported",
      "value": "True"
    },
    {
      "name": "DiskControllerTypes",
      "value": "SCSI, NVMe"
    },
    {
      "name": "IsHibernateSupported",
      "value": "True"
    }
  ],
  "hyperVGeneration": "V2",
  "id": "/Subscriptions/00000000-0000-0000-0000-00000000000/Providers/Microsoft.Compute/Locations/westus/Publishers/MicrosoftWindowsServer/ArtifactTypes/VMImage/Offers/WindowsServer/Skus/2022-datacenter-azure-edition/Versions/20348.1906.230803",
  "imageDeprecationStatus": {
    "alternativeOption": null,
    "imageState": "Active",
    "scheduledDeprecationTime": null
  },
  "location": "westus",
  "name": "20348.1906.230803",
  "osDiskImage": {
    "operatingSystem": "Windows",
    "sizeInGb": 127
  },
  "plan": null,
  "tags": null
}

Get-AzVMImage -Skus 22_04-lts-gen2 -PublisherName Canonical -Offer 0001-com-ubuntu-server-jammy -Location westus3 -Version latest

Anda dapat menggunakan output perintah dengan Komputer virtual - Dapatkan API. Responsnya mirip dengan formulir berikut. Jika hyperVGeneration adalah v2 dan SecurityType berisi TrustedLaunch dalam output, gambar OS Generasi 2 mendukung Peluncuran Tepercaya.

{
    "properties": {
        "hyperVGeneration": "V2",
        "architecture": "x64",
        "replicaType": "Managed",
        "replicaCount": 10,
        "disallowed": {
            "vmDiskType": "Unmanaged"
        },
        "automaticOSUpgradeProperties": {
            "automaticOSUpgradeSupported": false
        },
        "imageDeprecationStatus": {
            "imageState": "Active"
        },
        "features": [
            {
                "name": "SecurityType",
                "value": "TrustedLaunchSupported"
            },
            {
                "name": "IsAcceleratedNetworkSupported",
                "value": "True"
            },
            {
                "name": "DiskControllerTypes",
                "value": "SCSI, NVMe"
            },
            {
                "name": "IsHibernateSupported",
                "value": "True"
            }
        ],
        "osDiskImage": {
            "operatingSystem": "Linux",
            "sizeInGb": 30
        },
        "dataDiskImages": []
    },
    "location": "WestUS3",
    "name": "22.04.202309080",
    "id": "/Subscriptions/00000000-0000-0000-0000-000000000000/Providers/Microsoft.Compute/Locations/WestUS3/Publishers/Canonical/ArtifactTypes/VMImage/Offers/0001-com-ubuntu-server-jammy/Skus/22_04-lts-gen2/Versions/22.04.202309080"
}

Gambar OS Azure Compute Gallery

Gunakan perintah berikut untuk memeriksa apakah gambar OS Azure Compute Gallery mendukung Peluncuran Tepercaya.

CLI
PowerShell

az sig image-definition show `
    --gallery-image-definition myImageDefinition `
    --gallery-name myImageGallery `
    --resource-group myImageGalleryRg

Responsnya mirip dengan formulir berikut. Jika hyperVGeneration adalah v2 dan SecurityType berisi TrustedLaunch dalam output, gambar OS Generasi 2 mendukung Peluncuran Tepercaya.

{
  "architecture": "x64",
  "features": [
    {
      "name": "SecurityType",
      "value": "TrustedLaunchSupported"
    }
  ],
  "hyperVGeneration": "V2",
  "id": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myImageGalleryRg/providers/Microsoft.Compute/galleries/myImageGallery/images/myImageDefinition",
  "identifier": {
    "offer": "myImageDefinition",
    "publisher": "myImageDefinition",
    "sku": "myImageDefinition"
  },
  "location": "westus3",
  "name": "myImageDefinition",
  "osState": "Generalized",
  "osType": "Windows",
  "provisioningState": "Succeeded",
  "recommended": {
    "memory": {
      "max": 32,
      "min": 1
    },
    "vCPUs": {
      "max": 16,
      "min": 1
    }
  },
  "resourceGroup": "myImageGalleryRg",
  "tags": {},
  "type": "Microsoft.Compute/galleries/images"
}

Get-AzGalleryImageDefinition -ResourceGroupName myImageGalleryRg `
    -GalleryName myImageGallery -GalleryImageDefinitionName myImageDefinition

Responsnya mirip dengan formulir berikut. Jika hyperVGeneration adalah v2 dan SecurityType berisi TrustedLaunch dalam output, gambar OS Generasi 2 mendukung Peluncuran Tepercaya.

ResourceGroupName : myImageGalleryRg
OsType            : Windows
OsState           : Generalized
HyperVGeneration  : V2
Identifier        :
  Publisher       : myImageDefinition
  Offer           : myImageDefinition
  Sku             : myImageDefinition
Recommended       :
  VCPUs           :
    Min           : 1
    Max           : 16
  Memory          :
    Min           : 1
    Max           : 32
ProvisioningState : Succeeded
Id                : /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myImageGalleryRg/providers/Microsoft.Compute/galleries/myImageGallery/images/myImageDefinition
Name              : myImageDefinition
Type              : Microsoft.Compute/galleries/images
Location          : westus3
Tags              : {}
Features[0]       :
  Name            : SecurityType
  Value           : TrustedLaunchSupported
Architecture      : x64

Bagaimana cara kerja driver komunikasi eksternal dengan VM Peluncuran Tepercaya?

Menambahkan port COM mengharuskan Anda menonaktifkan Boot Aman. Port COM dinonaktifkan secara default di VM Peluncuran Tepercaya.

Memecahkan masalah

Bagian ini menjawab pertanyaan tentang status tertentu, jenis boot, dan masalah boot umum.

Apa yang harus saya lakukan ketika VM Peluncuran Tepercaya saya mengalami kegagalan penyebaran?

Bagian ini menyediakan detail tambahan tentang kegagalan penyebaran Peluncuran Tepercaya bagi Anda untuk mengambil tindakan yang tepat untuk mencegahnya.

Virtual machine <vm name> failed to create from the selected snapshot because the virtual Trusted Platform Module (vTPM) state is locked.
To proceed with the VM creation, please select a different snapshot without a locked vTPM state.
For more assistance, please refer to “Troubleshooting locked vTPM state” in FAQ page at https://aka.ms/TrustedLaunch-FAQ.

Kesalahan penyebaran ini terjadi ketika rekam jepret atau titik pemulihan yang disediakan tidak dapat diakses atau tidak dapat digunakan karena alasan berikut:

Status tamu komputer virtual (VMGS) rusak
vTPM dalam status terkunci
Satu atau beberapa indeks vTPM penting berada dalam status tidak valid.

Hal di atas dapat terjadi jika pengguna atau beban kerja yang berjalan pada komputer virtual mengatur kunci pada vTPM atau memodifikasi indeks vTPM penting yang meninggalkan vTPM dalam status tidak valid.

Mencoba kembali dengan titik rekam jepret/pemulihan yang sama akan mengakibatkan kegagalan yang sama.

Untuk mengatasi hal ini:

Pada sumber VM Peluncuran Tepercaya tempat rekam jepret atau titik pemulihan dihasilkan, kesalahan vTPM harus diperbaik.
1. Jika status vTPM dimodifikasi oleh beban kerja pada komputer virtual, Anda perlu menggunakan hal yang sama untuk memeriksa status kesalahan dan membawa vTPM ke status non-kesalahan.
2. Jika alat TPM digunakan untuk memodifikasi status vTPM, maka Anda harus menggunakan alat yang sama untuk memeriksa status kesalahan dan membawa vTPM ke status non-kesalahan.

Setelah rekam jepret atau titik pemulihan bebas dari kesalahan ini, Anda dapat menggunakan ini untuk membuat VM Peluncuran Tepercaya baru.

Mengapa VM Peluncuran Tepercaya tidak melakukan booting dengan benar?

Jika komponen yang tidak ditandatangani terdeteksi dari UEFI (firmware tamu), bootloader, OS, atau driver boot, VM Peluncuran Tepercaya tidak akan boot. Pengaturan Boot Aman di VM Peluncuran Tepercaya gagal di-boot jika komponen boot yang tidak ditandatangani atau tidak tepercaya ditemui selama proses boot dan laporan sebagai kegagalan Boot Aman.

Cuplikan layar yang memperlihatkan alur Peluncuran Tepercaya dari Boot Aman ke driver pihak ketiga.

Catatan

VM Peluncuran Tepercaya yang dibuat langsung dari gambar Marketplace Azure tidak boleh mengalami kegagalan Boot Aman. Gambar Azure Compute Gallery dengan sumber gambar asli Marketplace Azure dan rekam jepret yang dibuat dari VM Peluncuran Tepercaya juga tidak boleh mengalami kesalahan ini.

Bagaimana cara memverifikasi skenario tanpa boot di portal Azure?

Ketika VM menjadi tidak tersedia dari kegagalan Boot Aman, "no-boot" berarti bahwa VM memiliki komponen OS yang ditandatangani oleh otoritas tepercaya, yang memblokir booting VM Peluncuran Tepercaya. Pada penyebaran VM, Anda mungkin melihat informasi dari kesehatan sumber daya dalam portal Azure yang menyatakan bahwa ada kesalahan validasi di Boot Aman.

Untuk mengakses kesehatan sumber daya dari halaman konfigurasi VM, buka Kesehatan Sumber Daya di bawah panel Bantuan .

Jika Anda memverifikasi bahwa tidak ada boot yang disebabkan oleh kegagalan Boot Aman:

Gambar yang Anda gunakan adalah versi lama yang mungkin memiliki satu atau beberapa komponen boot yang tidak tepercaya dan berada di jalur penghentian. Untuk memulihkan gambar yang kedaluarsa, perbarui ke versi gambar yang lebih baru yang didukung.
Gambar yang Anda gunakan mungkin telah dibangun di luar sumber marketplace atau komponen boot telah dimodifikasi dan berisi komponen boot yang tidak ditandatangani atau tidak tepercaya. Untuk memverifikasi apakah gambar Anda memiliki komponen boot yang tidak ditandatangani atau tidak tepercaya, lihat bagian berikut, "Verifikasi kegagalan Boot Aman."
Jika dua skenario sebelumnya tidak berlaku, VM berpotensi terinfeksi malware (bootkit/rootkit). Pertimbangkan untuk menghapus VM dan membuat ulang VM baru dari gambar sumber yang sama saat Anda mengevaluasi semua perangkat lunak yang diinstal.

Mengapa VM Peluncuran Tepercaya saya menunjukkan memori 50MB lebih sedikit?

Dengan Peluncuran Tepercaya, lingkungan eksekusi yang umumnya dikenal sebagai "paravisor" dibuat dan berjalan di dalam VM. Biasanya, sekitar 50MB memori digunakan oleh paravisor dan akan ditampilkan sebagai "dicadangkan" dalam Sistem Operasi tamu.

Memverifikasi kegagalan Boot Aman

Bagian ini membantu Anda memverifikasi kegagalan Boot Aman.

Komputer virtual Linux

Untuk memverifikasi komponen boot mana yang bertanggung jawab atas kegagalan Boot Aman dalam VM Linux Azure, Anda dapat menggunakan alat SBInfo dari Paket Keamanan Linux.

Nonaktifkan Boot Aman.
Sambungkan ke VM Peluncuran Tepercaya Azure Linux Anda.
Instal alat SBInfo untuk distribusi yang dijalankan VM Anda. Ini berada dalam Paket Keamanan Linux.

Perintah ini berlaku untuk distribusi berbasis Ubuntu, Debian, dan Debian lainnya.

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ trusty main" | sudo tee -a /etc/apt/sources.list.d/azure.list

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ xenial main" | sudo tee -a /etc/apt/sources.list.d/azure.list

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ bionic main" | sudo tee -a /etc/apt/sources.list.d/azure.list

wget https://packages.microsoft.com/keys/microsoft.asc

wget https://packages.microsoft.com/keys/msopentech.asc

sudo apt-key add microsoft.asc && sudo apt-key add msopentech.asc

sudo apt update && sudo apt install azure-security

Perintah ini berlaku untuk RHEL, CentOS, dan distribusi berbasis Red Hat lainnya.

echo "[packages-microsoft-com-azurecore]" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "name=packages-microsoft-com-azurecore" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "baseurl=https://packages.microsoft.com/yumrepos/azurecore/" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "enabled=1" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "gpgcheck=0" | sudo tee -a /etc/yum.repos.d/azurecore.repo

sudo yum install azure-security

Perintah ini berlaku untuk SLES, openSUSE, dan distribusi berbasis SUSE lainnya.

sudo zypper ar -t rpm-md -n "packages-microsoft-com-azurecore" --no-gpgcheck https://packages.microsoft.com/yumrepos/azurecore/ azurecore

sudo zypper install azure-security

Setelah Anda menginstal Paket Keamanan Linux untuk distribusi Anda, jalankan sbinfo perintah untuk memverifikasi komponen boot mana yang bertanggung jawab atas kegagalan Boot Aman dengan menampilkan semua modul, kernel, dan bootloader yang tidak ditandatangani.

sudo sbinfo -u -m -k -b

Untuk mempelajari lebih lanjut tentang alat diagnostik SBInfo, Anda dapat menjalankan sudo sbinfo -help.

Mengapa saya mendapatkan kesalahan pemantauan integritas boot?

Peluncuran Tepercaya untuk Azure VM dipantau untuk ancaman tingkat lanjut. Jika ancaman tersebut terdeteksi, pemberitahuan akan dipicu. Pemberitahuan hanya tersedia jika fitur keamanan yang ditingkatkan di Microsoft Defender untuk Cloud diaktifkan.

Microsoft Defender untuk Cloud secara berkala melakukan pengesahan. Jika pengesahan gagal, pemberitahuan tingkat keparahan sedang dipicu. Pengesahan Peluncuran Tepercaya dapat gagal karena alasan berikut:

Informasi yang dibuktikan, yang mencakup log Trusted Computing Base (TCB), menyimpang dari garis besar tepercaya (seperti saat Boot Aman diaktifkan). Penyimpangan apa pun menunjukkan bahwa modul yang tidak tepercaya dimuat dan OS mungkin disusupi.
Kutipan pengesahan tidak dapat diverifikasi untuk berasal dari vTPM VM yang dibuktikan. Kegagalan verifikasi menunjukkan adanya malware dan mungkin mencegat lalu lintas ke TPM.
Ekstensi pengesahan pada VM tidak merespons. Ekstensi yang tidak responsif menunjukkan serangan penolakan layanan oleh malware atau admin OS.

Sertifikat

Bagian ini menyediakan informasi tentang sertifikat.

Bagaimana cara membangun akar kepercayaan dengan VM Peluncuran Tepercaya?

Sertifikat publik TPM AK virtual memberi Anda visibilitas untuk informasi tentang rantai sertifikat lengkap (Sertifikat Akar dan Menengah) untuk membantu Anda memvalidasi kepercayaan pada sertifikat dan rantai akar. Untuk memastikan bahwa Anda terus memiliki postur keamanan tertinggi untuk Peluncuran Tepercaya, ia menyediakan informasi tentang properti instans sehingga Anda dapat melacak kembali ke rantai penuh.

Lihat instruksi pengunduhan

Sertifikat paket, terdiri dari .p7b (Otoritas Sertifikat Penuh) dan .cer (OS Menengah), mengungkapkan otoritas penandatanganan dan sertifikat. Salin konten yang relevan dan gunakan alat sertifikat untuk memeriksa dan menilai detail sertifikat.

Pilih untuk mengunduh .crt yang mengikuti untuk Otoritas Sertifikat Akar Azure Virtual TPM 2023

Otoritas Sertifikat Akar Azure Virtual TPM 2023

Pilih untuk melihat konten .p7b

Global Virtual TPM CA - 01:

Pilih untuk melihat konten .cert untuk Sertifikat Akar

Otoritas Sertifikat Akar Azure Virtual TPM 2023

Pilih untuk melihat konten CA perantara

Otoritas Sertifikat Menengah untuk sertifikasi TPM:

"Global Virtual TPM CA - XX" (intermediate CA) [.cer], 
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

Intermediate Certificate Authority

Thumbprint # db1f3959dcce7091f87c43446be1f4ab2d3415b7
Serial Number # 3300000002c0d17b4b8f979c35000000000002
Valid Until # November 3rd, 2025

Sertifikat tepercaya milik Microsoft apa yang disertakan dalam Azure VM?

Untuk VM Windows, sertifikat OS Windows dibangun dalam firmware UEFI. Untuk VM Linux, sertifikat CA Microsoft UEFI dibangun dalam firmware UEFI. Hanya untuk VM Linux Azure, sertifikat 'Azure Services Linux Kmod PCA' tambahan juga ditambahkan di firmware UEFI untuk semua distribusi Linux. Linux Kmod PCA digunakan untuk menandatangani modul kernel milik Microsoft.

Sertifikat PCA Linux Kmod ditambahkan untuk membuat pengalaman pelanggan lebih lancar saat menggunakan solusi Microsoft seperti Azure Site Recovery (ASR) yang menginstal modul kernel. Modul kernel ASR akan dimuat tanpa tindakan pelanggan untuk menyediakan kunci karena modul kernel ASR ditandatangani menggunakan sertifikat 'Azure Services Linux Kmod PCA' tepercaya.

Lihat instruksi pengunduhan

Sertifikat paket, terdiri dari .p7b dan .cer mengungkapkan otoritas penandatanganan dan sertifikat. Salin konten yang relevan dan gunakan alat sertifikat untuk memeriksa dan menilai detail sertifikat.

Pilih untuk mengunduh .crt yang mengikuti untuk Microsoft Windows CA

Microsoft Windows CA

Pilih untuk mengunduh .crt yang mengikuti untuk Microsoft UEFI CA

Microsoft UEFI CA

Pilih untuk melihat konten .p7b

Sertifikat PCA kmod Linux layanan Azure:

Bagikan melalui

Tanya Jawab Umum Peluncuran Tepercaya

Kasus penggunaan

Mengapa saya harus menggunakan Peluncuran Tepercaya? Apa yang dijaga oleh Peluncuran Tepercaya?

Apa perbedaan antara Boot Aman dan boot terukur?

Bagaimana Peluncuran Tepercaya dibandingkan dengan Hyper-V Shielded VM?

Apa itu VM Guest State (VMGS)?

Dapatkah saya menonaktifkan Peluncuran Tepercaya untuk penyebaran VM baru?

Fitur dan penyebaran yang didukung

Apakah Azure Compute Gallery didukung oleh Peluncuran Tepercaya?

Apakah Azure Backup didukung oleh Peluncuran Tepercaya?

Apakah Azure Backup akan terus berfungsi setelah saya mengaktifkan Peluncuran Tepercaya?

Apakah disk OS ephemeral didukung oleh Peluncuran Tepercaya?

Apakah fitur keamanan tersedia dengan peluncuran Tepercaya juga berlaku untuk disk data?

Dapatkah VM dipulihkan dengan menggunakan cadangan yang diambil sebelum Peluncuran Tepercaya diaktifkan?

Bagaimana cara menemukan ukuran VM yang mendukung Peluncuran Tepercaya?

Bagaimana cara memvalidasi bahwa gambar OS saya mendukung Peluncuran Tepercaya?

Gambar OS Marketplace

Gambar OS Azure Compute Gallery

Bagaimana cara kerja driver komunikasi eksternal dengan VM Peluncuran Tepercaya?

Memecahkan masalah

Apa yang harus saya lakukan ketika VM Peluncuran Tepercaya saya mengalami kegagalan penyebaran?

Mengapa VM Peluncuran Tepercaya tidak melakukan booting dengan benar?

Bagaimana cara memverifikasi skenario tanpa boot di portal Azure?

Mengapa VM Peluncuran Tepercaya saya menunjukkan memori 50MB lebih sedikit?

Memverifikasi kegagalan Boot Aman

Komputer virtual Linux

Mengapa saya mendapatkan kesalahan pemantauan integritas boot?

Sertifikat

Bagaimana cara membangun akar kepercayaan dengan VM Peluncuran Tepercaya?

Lihat instruksi pengunduhan

Sertifikat tepercaya milik Microsoft apa yang disertakan dalam Azure VM?

Lihat instruksi pengunduhan

Saran dan Komentar

Sumber Daya Tambahan: