Примечание.
Для доступа к этой странице требуется авторизация. Вы можете попробовать войти или изменить каталоги.
Для доступа к этой странице требуется авторизация. Вы можете попробовать изменить каталоги.
Область применения: гиперконвергентные развертывания Azure Local
В этой статье представлен Доверительный запуск для локальных виртуальных машин Azure, активированных с помощью Azure Arc. Вы можете создать Доверительный запуск для локальной виртуальной машины Azure, используя портал Azure или интерфейс командной строки Azure CLI.
Introduction
Доверенный запуск для локальных виртуальных машин Azure обеспечивает безопасную загрузку, устанавливает устройство виртуальной доверенной платформы (vTPM), автоматически передает состояние vTPM при миграции виртуальной машины или переключении на резервный узел в системе и поддерживает аттестацию относительно того, была ли виртуальная машина запущена в известном хорошем состоянии.
Доверенный запуск — это тип безопасности, который можно указать при создании Azure Local виртуальных машин. Дополнительные сведения см. в статье Доверенный запуск локальных виртуальных машин Azure, включенных Azure Arc.
Возможности и преимущества
| Capability | Benefit |
|---|---|
| Безопасная загрузка | Помогает снизить риск вредоносных программ (rootkits) во время загрузки, убедившись, что компоненты загрузки подписаны доверенными издателями. |
| vTPM | Виртуализированная версия аппаратного доверенного платформенного модуля, используемая как специализированное хранилище для ключей, сертификатов и секретов. |
| Передача состояния vTPM | Сохраняет vTPM при миграции или отказоустойчивости виртуальной машины в кластере. |
| Безопасность на основе виртуализации (VBS) | Гость в виртуальной машине может создавать изолированные области памяти с использованием поддержки VBS. |
| Проверка целостности загрузки | Проверяет, запущена ли виртуальная машина в известном хорошем состоянии (демонстрационная версия). См. гостевую аттестацию. |
Guidance
В рамках доверенного запуска для создания виртуальной машины Azure Local, Hyper-V создает файлы ВМ в расположении по умолчанию на диске для хранения ее состояния. По умолчанию доступ к этим файлам виртуальной машины ограничен только администраторами сервера узла. Если эти файлы виртуальных машин хранятся в другом месте, необходимо убедиться, что доступ к этому месту ограничен только администраторами серверов хостов.
Сетевой трафик динамической миграции виртуальной машины не шифруется. Настоятельно рекомендуется включить технологию шифрования сетевого слоя, такую как IPsec, для защиты сетевого трафика в процессе миграции.
Образы гостевой операционной системы
Поддерживаются все образы Windows из Azure Marketplace, поддерживаемые Azure Local виртуальными машинами. Кроме того, вы можете использовать собственный настраиваемый образ Windows. Дополнительные сведения см. в статье Создание локального образа виртуальной машины Azure с использованием образов Azure Marketplace для списка всех поддерживаемых образов Windows 11. Образы Linux также поддерживаются с помощью собственного пользовательского образа — начните с образа виртуальной машины Ubuntu, образа виртуальной машины CentOS, образа виртуальной машины Red Hat Enterprise и образа виртуальной машины SUSE Linux.
Note
Вы можете принести собственный настраиваемый образ и использовать его с доверенными виртуальными машинами запуска. Однако, поскольку эти образы не были подтверждены, удостоверение личности гостей будет отключено для пользовательских образов. Дополнительные сведения см. в разделе "Включение аттестации гостей".
Рекомендации по резервному копированию и аварийному восстановлению
При работе с доверенным запуском на локальных виртуальных машинах в Azure обязательно изучите следующие ключевые соображения и ограничения, связанные с резервным копированием и восстановлением виртуальных машин.
Резервное копирование виртуальных машин
Резервное копирование всех файлов виртуальной машины. Вы можете использовать любое решение резервного копирования или средство для резервного копирования всех файлов виртуальных машин, если они соответствуют стандартным Hyper-V подходам к резервному копированию.
Резервное копирование ключа защиты состояния гостевой виртуальной машины. В отличие от стандартных виртуальных машин Azure Local, в режиме доверенного запуска виртуальные машины Azure Local используют ключ защиты состояния гостевой виртуальной машины для ее защиты, включая состояние виртуального модуля доверенной платформы (vTPM), в состоянии покоя. Ключ защиты гостевого состояния виртуальной машины хранится в локальном хранилище ключей в экземпляре Azure Local, где находится виртуальная машина. Вы должны вручную создать резервную копию ключа защиты гостевого состояния виртуальной машины сразу после создания виртуальной машины с надежной загрузкой, как описано в разделе "Ручное резервное копирование и восстановление ключа защиты гостевого состояния виртуальной машины". Без ключа защиты гостевой среды невозможно запустить виртуальную машину.
Восстановление виртуальной машины
Восстановите все файлы виртуальных машин. Вы можете использовать любое решение резервного копирования или средство для восстановления всех файлов виртуальных машин, если решение резервного копирования или средство следует стандартным Hyper-V подходы к резервному копированию.
Восстановление ключа защиты гостевой виртуальной машины. Необходимо восстановить ключ защиты гостевого состояния виртуальной машины в локальном хранилище ключей экземпляра Azure Local, как описано в разделе Мануал резервного копирования и восстановления ключа защиты гостевого состояния виртуальной машины.
Восстановление в тот же экземпляр Azure Local
- В некоторых ситуациях виртуальная машина может быть восстановлена в том же Azure Local экземпляре, что и экземпляр Azure Local, где находится виртуальная машина до сбоя. При успешном восстановлении доверенной виртуальной машины для запуска до того же экземпляра Azure Local виртуальная машина может управляться с помощью контрольной плоскости Azure Local так же, как и ранее.
Восстановление в другой экземпляр Azure Local
- В некоторых ситуациях виртуальная машина может быть восстановлена в другом экземпляре Azure Local, отличном от экземпляра Azure Local, где виртуальная машина находилась до сбоя. Когда надежная виртуальная машина запуска успешно восстановлена в другом экземпляре Azure Local, виртуальная машина больше не может управляться с помощью уровня управления Azure Arc, но ее можно управлять с помощью локальных средств управления виртуальными машинами.
Репликация виртуальных машин
Azure Site Recovery, который может реплицировать виртуальные машины на экземпляр Azure Local в Azure, не поддерживается.
Поддерживаемые операции
См. Поддерживаемые операции для локальных виртуальных машин Azure, включенных Azure Arc для получения списка поддерживаемых и неподдерживаемых операций виртуальных машин.
Note
Клонирование виртуальных машин или копирование виртуальных машин в настоящее время не поддерживается, так как это может привести к повреждению, ошибкам управления или сбою запуска.