Доверенный запуск для службы Azure Kubernetes (AKS)

• Azure CLI версии 2.66.0 или более поздней. Запустите az --version, чтобы определить версию и запустите az upgrade для обновления версии. Если вам необходимо выполнить установку или обновление, см. статью Установка Azure CLI 2.0.

1. Теперь создайте кластер AKS с помощью команды az aks create. Перед выполнением команды просмотрите следующие параметры:

   • --name: введите уникальное имя кластера AKS, например myAKSCluster.
   • --resource-group: введите имя существующей группы ресурсов для размещения ресурса кластера AKS.
   • --enable-secure-boot: обеспечивает безопасную загрузку для проверки подлинности образа, подписанного доверенным издателем.
   • --enable-vtpm: включает vTPM и выполняет аттестацию, измеряя всю цепочку загрузки виртуальной машины.

   Примечание.

   Для безопасной загрузки требуются подписанные загрузчики, ядра ОС и драйверы. Если после включения безопасной загрузки узлы не запускаются, можно проверить, какие компоненты загрузки отвечают за сбои безопасной загрузки в виртуальной машине Azure Linux. См. проверка сбоев безопасной загрузки.

   В следующем примере создается кластер с именем myAKSCluster с одним узлом в myResourceGroup и включается secure Boot и vTPM:

   az aks create \
       --name myAKSCluster \
       --resource-group myResourceGroup \
       --node-count 1 \
       --enable-secure-boot \
       --enable-vtpm \
       --generate-ssh-keys
   

2. Выполните следующую команду, чтобы получить учетные данные для кластера Kubernetes. Используйте команду az aks get-credentials и замените значения для имени кластера и имени группы ресурсов.

   az aks get-credentials --resource-group myResourceGroup --name myAKSCluster
   

1. Создайте шаблон с параметрами доверенного запуска. Перед созданием шаблона ознакомьтесь со следующими параметрами:

   • enableSecureBoot: обеспечивает безопасную загрузку для проверки подлинности образа, подписанного доверенным издателем.
   • enableVTPM: включает vTPM и выполняет аттестацию, измеряя всю цепочку загрузки виртуальной машины.

   В шаблоне укажите значения для enableVTPM и enableSecureBoot. Та же схема, используемая для развертывания CLI, присутствует в Microsoft.ContainerService/managedClusters/agentPools разделе определения в "properties", как показано в следующем примере:

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": "true",
           "enableSecureBoot": "true",
       }
   }
   

2. Разверните шаблон с поддержкой VTPM и безопасной загрузкой в кластере. Подробные инструкции см. в статье "Развертывание кластера AKS с помощью шаблона ARM ".

1. Добавьте пул узлов с включенным Доверенным запуском с помощью команды az aks nodepool add. Перед выполнением команды просмотрите следующие параметры:

   • --cluster-name: введите имя кластера AKS.
   • --resource-group: введите имя существующей группы ресурсов для размещения ресурса кластера AKS.
   • --name: введите уникальное имя пула узлов. Имя пула узлов может содержать только строчные буквенно-цифровые символы и начинаться с строчной буквы. Для пулов узлов Linux длина должна составлять от 1 до 11 символов.
   • --node-count: количество узлов в пуле агентов Kubernetes. Значение по умолчанию — 3.
   • --enable-secure-boot: обеспечивает безопасную загрузку для проверки подлинности образа, подписанного доверенным издателем.
   • --enable-vtpm: включает vTPM и выполняет аттестацию, измеряя всю цепочку загрузки виртуальной машины.

   Примечание.

   Для безопасной загрузки требуются подписанные загрузчики, ядра ОС и драйверы. Если после включения безопасной загрузки узлы не запускаются, можно проверить, какие компоненты загрузки отвечают за сбои безопасной загрузки в виртуальной машине Azure Linux. См. проверка сбоев безопасной загрузки.

   В следующем примере развертывается пул узлов с поддержкой vTPM и безопасной загрузки в кластере с именем myAKSCluster с тремя узлами:

   az aks nodepool add --resource-group myResourceGroup --cluster-name myAKSCluster --name mynodepool --node-count 3 --enable-vtpm --enable-secure-boot
   

2. Убедитесь, что пул узлов использует образ доверенного запуска.

   Узлы доверенного запуска имеют следующие выходные данные:

   • Версия образа узла, содержащая "TL", например "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" должно быть "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. Создайте шаблон с параметрами доверенного запуска. Перед созданием шаблона ознакомьтесь со следующими параметрами:

   • enableSecureBoot: обеспечивает безопасную загрузку для проверки подлинности образа, подписанного доверенным издателем.
   • enableVTPM: включает vTPM и выполняет аттестацию, измеряя всю цепочку загрузки виртуальной машины.

   В шаблоне укажите значения для enableVTPM и enableSecureBoot. Та же схема, используемая для развертывания CLI, присутствует в Microsoft.ContainerService/managedClusters/agentPools разделе определения в "properties", как показано в следующем примере:

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": "true",
           "enableSecureBoot": "true",
       }
   }
   

2. Разверните шаблон с поддержкой VTPM и безопасной загрузкой в кластере. Подробные инструкции см. в статье "Развертывание кластера AKS с помощью шаблона ARM ".

1. Добавьте пул узлов с включенным доверенным запуском и FIPS с помощью az aks nodepool add команды. Перед выполнением команды просмотрите следующие параметры:

   • --cluster-name: введите имя кластера AKS.
   • --resource-group: введите имя существующей группы ресурсов для размещения ресурса кластера AKS.
   • --name: введите уникальное имя пула узлов. Имя пула узлов может содержать только строчные буквенно-цифровые символы и начинаться с строчной буквы. Для пулов узлов Linux длина должна составлять от 1 до 11 символов.
   • --node-count: количество узлов в пуле агентов Kubernetes. Значение по умолчанию — 3.
   • --enable-secure-boot: обеспечивает безопасную загрузку для проверки подлинности образа, подписанного доверенным издателем.
   • --enable-vtpm: включает vTPM и выполняет аттестацию, измеряя всю цепочку загрузки виртуальной машины.
   • --enable-fips-image: включает образ узла, совместимый с FIPS, для пула узлов.

   Примечание.

   Для безопасной загрузки требуются подписанные загрузчики, ядра ОС и драйверы. Если после включения безопасной загрузки узлы не запускаются, можно проверить, какие компоненты загрузки отвечают за сбои безопасной загрузки в виртуальной машине Azure Linux. См. проверка сбоев безопасной загрузки.

   В следующем примере развертывается пул узлов с VTPM, безопасной загрузкой и FIPS в кластере с именем myAKSCluster с тремя узлами:

   az aks nodepool add --resource-group myResourceGroup --cluster-name myAKSCluster --name mynodepool --node-count 3 --enable-vtpm --enable-secure-boot --enable-fips-image
   

2. Убедитесь, что пул узлов использует образ доверенного запуска.

   Узлы доверенного запуска имеют следующие выходные данные:

   • Версия образа узла, содержащая "TL" и "FIPS".
   • "Security-type" равно "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. Создайте шаблон с параметрами доверенного запуска и FIPS. Перед созданием шаблона ознакомьтесь со следующими параметрами:

   • enableSecureBoot: обеспечивает безопасную загрузку для проверки подлинности образа, подписанного доверенным издателем.
   • enableVTPM: включает vTPM и выполняет аттестацию, измеряя всю цепочку загрузки виртуальной машины.
   • enableFips: включает образ узла, совместимый с FIPS, для пула узлов.

   В шаблоне укажите значения для enableVTPM, enableSecureBootи enableFips. Та же схема, используемая для развертывания CLI, присутствует в Microsoft.ContainerService/managedClusters/agentPools разделе определения в "properties", как показано в следующем примере:

   "properties": {
       ...,
       "osSKU": "Ubuntu",
       "enableFips": true,
       "securityProfile": {
           "enableVTPM": "true",
           "enableSecureBoot": "true",
       }
   }
   

2. Разверните шаблон в вашем кластере с включёнными vTPM, безопасной загрузкой и FIPS. Подробные инструкции см. в статье "Развертывание кластера AKS с помощью шаблона ARM ".

1. Убедитесь, что пул узлов использует образ доверенного запуска.

   Узлы доверенного запуска имеют следующие выходные данные:

   • Версия образа узла, содержащая "TL", например "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" должно быть "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

   Если пул узлов в настоящее время не имеет образа доверенного запуска, вы не сможете обновить пул узлов, чтобы включить безопасную загрузку или vTPM.

2. Обновите пул узлов с включённой функцией Trusted Launch с помощью команды az aks nodepool update. Перед выполнением команды просмотрите следующие параметры:

   • --resource-group: введите имя существующей группы ресурсов, включающей существующий кластер AKS.
   • --cluster-name: введите уникальное имя кластера AKS, например myAKSCluster.
   • --name: введите имя пула узлов, например mynodepool.
   • --enable-secure-boot: обеспечивает безопасную загрузку для проверки подлинности того, что образ подписан доверенным издателем.
   • --enable-vtpm: включает vTPM и выполняет аттестацию, измеряя всю цепочку загрузки виртуальной машины.

   Примечание.

   Для безопасной загрузки требуются подписанные загрузчики, ядра ОС и драйверы. Если после включения безопасной загрузки узлы не запускаются, можно проверить, какие компоненты загрузки отвечают за сбои безопасной загрузки в виртуальной машине Azure Linux. См. проверка сбоев безопасной загрузки.

   Следующий пример обновляет пул узлов mynodepool в myAKSCluster в myResourceGroup и включает vTPM. В этом сценарии безопасная загрузка была включена во время создания пула узлов:

   az aks nodepool update --cluster-name myCluster --resource-group myResourceGroup --name mynodepool --enable-vtpm 
   

   В следующем примере обновляется пул узлов mynodepool в кластере myAKSCluster в группе ресурсов myResourceGroup и включается безопасная загрузка. В этом сценарии vTPM был включен во время создания пула узлов:

   az aks nodepool update --cluster-name myCluster --resource-group myResourceGroup --name mynodepool --enable-secure-boot
   

1. Убедитесь, что пул узлов использует образ доверенного запуска.

   Узлы доверенного запуска имеют следующие выходные данные:

   • Версия образа узла, содержащая "TL", например "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" должно быть "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

   Если пул узлов в настоящее время не имеет образа доверенного запуска, вы не сможете обновить пул узлов, чтобы включить безопасную загрузку или vTPM.

2. Создайте шаблон с параметрами доверенного запуска. Перед созданием шаблона ознакомьтесь со следующими параметрами:

   • enableSecureBoot: обеспечивает безопасную загрузку для проверки подлинности образа, подписанного доверенным издателем.
   • enableVTPM: включает vTPM и выполняет аттестацию, измеряя всю цепочку загрузки виртуальной машины.

   В шаблоне укажите значения для enableVTPM и enableSecureBoot. Та же схема, используемая для развертывания CLI, присутствует в Microsoft.ContainerService/managedClusters/agentPools разделе определения в "properties", как показано в следующем примере:

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": "true",
           "enableSecureBoot": "true",
       }
   }
   

3. Разверните шаблон с поддержкой VTPM и безопасной загрузкой в кластере. Подробные инструкции см. в статье "Развертывание кластера AKS с помощью шаблона ARM ".

Обновите пул узлов, чтобы отключить безопасную загрузку или vTPM с помощью az aks nodepool update команды. Перед выполнением команды просмотрите следующие параметры:

• --resource-group: введите имя существующей группы ресурсов, включающей существующий кластер AKS.
• --cluster-name: введите уникальное имя кластера AKS, например myAKSCluster.
• --name: введите имя пула узлов, например mynodepool.
• --enable-secure-boot: обеспечивает безопасную загрузку для проверки подлинности того, что образ подписан доверенным издателем.
• --enable-vtpm: включает vTPM и выполняет аттестацию, измеряя всю цепочку загрузки виртуальной машины.

Чтобы отключить vTPM в существующем пуле узлов:

az aks nodepool update --cluster-name myCluster --resource-group myResourceGroup --name mynodepool --disable-vtpm

Чтобы отключить Secure Boot в существующем пуле узлов:

az aks nodepool update --cluster-name myCluster --resource-group myResourceGroup --name mynodepool --disable-secure-boot 

1. Создайте шаблон с параметрами доверенного запуска. Перед созданием шаблона ознакомьтесь со следующими параметрами:

   • enableSecureBoot: обеспечивает безопасную загрузку для проверки подлинности образа, подписанного доверенным издателем.
   • enableVTPM: включает vTPM и выполняет аттестацию, измеряя всю цепочку загрузки виртуальной машины.

   В шаблоне укажите значения для enableVTPM и enableSecureBoot. Та же схема, используемая для развертывания CLI, присутствует в Microsoft.ContainerService/managedClusters/agentPools разделе определения в "properties", как показано в следующем примере:

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": "false",
           "enableSecureBoot": "false",
       }
   }
   

2. Разверните шаблон на вашем кластере с отключёнными vTPM и защищённой загрузкой. Подробные инструкции см. в статье "Развертывание кластера AKS с помощью шаблона ARM ".