Aktivieren des vertrauenswürdigen Starts für vorhandene Azure-Gen2-VMs

Aktivieren Sie den vertrauenswürdigen Start auf einer vorhandenen Azure-VM der 2. Generation mit dem Microsoft Azure-Portal.

1. Melden Sie sich beim Azure-Portal an.

2. Vergewissern Sie sich, dass die VM-Generation V2 ist, und wählen Sie "Beenden " für den virtuellen Computer aus.

   

3. Wählen Sie auf der Seite "Übersicht" in den VM-Eigenschaften unter "Sicherheitstyp" die Option "Standard" aus. Die Konfigurationsseite für den virtuellen Computer wird geöffnet.

   

4. Wählen Sie auf der Seite "Konfiguration " unter dem Abschnitt "Sicherheitstyp " die Dropdownliste " Sicherheitstyp " aus.

   

5. Wählen Sie unter der Dropdownliste die Option "Vertrauenswürdiger Start" aus. Aktivieren Sie Kontrollkästchen, um den sicheren Start und vTPM zu aktivieren. Nachdem Sie die Änderungen vorgenommen haben, wählen Sie "Speichern" aus.

   Note

   • VMs der 2. Generation, die mit Azure Compute Gallery (ACG), verwalteten Image oder einem Betriebssystemdatenträger erstellt werden, können nicht mithilfe des Portals auf den vertrauenswürdigen Start aktualisiert werden. Stellen Sie sicher, dass die Betriebssystemversion für den vertrauenswürdigen Start unterstützt wird. Verwenden Sie PowerShell, die Azure CLI oder eine Azure Resource Manager-Vorlage (ARM-Vorlage), um das Upgrade auszuführen.

   

6. Schließen Sie die Seite "Konfiguration ", nachdem das Update erfolgreich abgeschlossen wurde. Bestätigen Sie auf der Seite "Übersicht" in den VM-Eigenschaften die Sicherheitstypeinstellungen .

   

7. Starten Sie den aktualisierten virtuellen Computer für den vertrauenswürdigen Start. Stellen Sie sicher, dass Sie sich bei der VM anmelden können, indem Sie entweder das Remotedesktopprotokoll (RDP) für Windows-VMs oder das Secure Shell-Protokoll (SSH) für Linux-VMs verwenden.

Führen Sie die Schritte aus, um den vertrauenswürdigen Start auf einer vorhandenen VM der 2. Generation von Azure mithilfe der Azure CLI zu aktivieren.

Stellen Sie sicher, dass Sie die neueste Azure CLI installieren und bei einem Azure-Konto mit az-Anmeldung angemeldet sind.

1. Melden Sie sich beim VM Azure-Abonnement an.

   az login
   
   az account set --subscription 00000000-0000-0000-0000-000000000000
   

2. Heben Sie die Zuordnung der VM auf.

   az vm deallocate \
      --resource-group myResourceGroup --name myVm
   

3. Aktivieren Sie den vertrauenswürdigen Start, indem Sie --security-type auf TrustedLaunch festlegen.

   az vm update \
       --resource-group myResourceGroup --name myVm \
       --security-type TrustedLaunch \
       --enable-secure-boot true --enable-vtpm true
   

4. Überprüfen Sie die Ausgabe des vorherigen Befehls. Stellen Sie sicher, dass die securityProfile-Konfiguration mit der Befehlsausgabe zurückgegeben wird.

   {
     "securityProfile": {
       "securityType": "TrustedLaunch",
       "uefiSettings": {
         "secureBootEnabled": true,
         "vTpmEnabled": true
       }
     }
   }
   

5. Starten Sie den virtuellen Computer.

   az vm start \
       --resource-group myResourceGroup --name myVm
   

6. Starten Sie den aktualisierten virtuellen Computer für den vertrauenswürdigen Start. Stellen Sie sicher, dass Sie sich mit RDP (für Windows-VMs) oder SSH (für Linux-VMs) bei der VM anmelden können.

Führen Sie die Schritte aus, um den vertrauenswürdigen Start auf einer vorhandenen VM der 2. Generation von Azure mithilfe von Azure PowerShell zu aktivieren.

Stellen Sie sicher, dass Sie die neueste Azure PowerShell installieren und bei einem Azure-Konto mit Connect-AzAccount angemeldet sind.

1. Melden Sie sich beim VM Azure-Abonnement an.

   Connect-AzAccount -SubscriptionId 00000000-0000-0000-0000-000000000000
   

2. Heben Sie die Zuordnung der VM auf.

   Stop-AzVM -ResourceGroupName myResourceGroup -Name myVm
   

3. Aktivieren Sie den vertrauenswürdigen Start, indem Sie -SecurityType auf TrustedLaunch festlegen.

   Get-AzVM -ResourceGroupName myResourceGroup -VMName myVm `
       | Update-AzVM -SecurityType TrustedLaunch `
           -EnableSecureBoot $true -EnableVtpm $true
   

4. Überprüfen Sie securityProfile in der aktualisierten VM-Konfiguration.

   # Following command output should be `TrustedLaunch`
   
   (Get-AzVM -ResourceGroupName myResourceGroup -VMName myVm `
       | Select-Object -Property SecurityProfile `
           -ExpandProperty SecurityProfile).SecurityProfile.SecurityType
   
   # Following command output should return `SecureBoot` and `vTPM` settings
   (Get-AzVM -ResourceGroupName myResourceGroup -VMName myVm `
       | Select-Object -Property SecurityProfile `
           -ExpandProperty SecurityProfile).SecurityProfile.Uefisettings
   
   

5. Starten Sie den virtuellen Computer.

   Start-AzVM -ResourceGroupName myResourceGroup -Name myVm
   

6. Starten Sie den aktualisierten virtuellen Computer für den vertrauenswürdigen Start. Stellen Sie sicher, dass Sie sich mit RDP (für Windows-VMs) oder SSH (für Linux-VMs) bei der VM anmelden können.

Führen Sie die Schritte aus, um den vertrauenswürdigen Start auf einer vorhandenen VM der 2. Generation von Azure mithilfe einer ARM-Vorlage zu aktivieren.

Eine Azure Resource Manager-Vorlage ist eine JSON-Datei (JavaScript Object Notation), die die Infrastruktur und die Konfiguration für Ihr Projekt definiert. Die Vorlage verwendet eine deklarative Syntax. Sie beschreiben Ihre geplante Bereitstellung, ohne die Abfolge der Programmierbefehle zum Erstellen der Bereitstellung zu schreiben.

1. Überprüfen Sie die Vorlage.

   {
       "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
       "contentVersion": "1.0.0.0",
       "parameters": {
           "vmsToUpgrade": {
               "type": "object",
               "metadata": {
                   "description": "Specifies the list of Azure virtual machines to be upgraded to Trusted launch."
               }
           },
           "vTpmEnabled": {
               "type": "bool",
               "defaultValue": true,
               "metadata": {
                   "description": "Specifies whether vTPM should be enabled on the virtual machine."
               }
           }
       },
       "resources": [
           {
               "type": "Microsoft.Compute/virtualMachines",
               "apiVersion": "2022-11-01",
               "name": "[parameters('vmsToUpgrade').virtualMachines[copyIndex()].vmName]",
               "location": "[parameters('vmsToUpgrade').virtualMachines[copyIndex()].location]",
               "properties": {
                   "securityProfile": {
                       "uefiSettings": {
                           "secureBootEnabled": "[parameters('vmsToUpgrade').virtualMachines[copyIndex()].secureBootEnabled]",
                           "vTpmEnabled": "[parameters('vTpmEnabled')]"
                       },
                       "securityType": "TrustedLaunch"
                   }
               },
               "copy": {
                   "name": "vmCopy",
                   "count": "[length(parameters('vmsToUpgrade').virtualMachines)]"
               }
           }
       ]
   }
   

2. Bearbeiten Sie die JSON-Datei parameters mit virtuellen Computern, um mit dem TrustedLaunch-Sicherheitstyp aktualisiert zu werden.

   {
       "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
       "contentVersion": "1.0.0.0",
       "parameters": {
           "vmsToUpgrade": {
               "value": {
                   "virtualMachines": [
                       {
                           "vmName": "myVm01",
                           "location": "westus3",
                           "secureBootEnabled": true
                       },
                       {
                           "vmName": "myVm02",
                           "location": "westus3",
                           "secureBootEnabled": true
                       }
                   ]
               }
           }
       }
   }
   

   Definition der Parameterdatei

   Property	Beschreibung der Eigenschaft	Beispiel für Vorlagenwert
   vmName	Name der Azure-VM der 2. Generation.	myVm
   location	Standort der Azure-VM der 2. Generation.	westus3
   secureBootEnabled	Aktivieren des sicheren Starts mit dem Sicherheitstyp „Vertrauenswürdiger Start“.	true

3. Heben Sie die Zuordnung aller Azure-VMs der 2. Generation auf, die aktualisiert werden sollen.

   Stop-AzVM -ResourceGroupName myResourceGroup -Name myVm01
   

4. Führen Sie die ARM-Vorlagenbereitstellung aus.

   $resourceGroupName = "myResourceGroup"
   $parameterFile = "folderPathToFile\parameters.json"
   $templateFile = "folderPathToFile\template.json"
   
   New-AzResourceGroupDeployment `
       -ResourceGroupName $resourceGroupName `
       -TemplateFile $templateFile -TemplateParameterFile $parameterFile
   

   

   

5. Starten Sie den aktualisierten virtuellen Computer für den vertrauenswürdigen Start. Stellen Sie sicher, dass Sie sich mit RDP (für Windows-VMs) oder SSH (für Linux-VMs) bei der VM anmelden können.

Das Rollback des vertrauenswürdigen Starts auf Gen2 (Nicht vertrauenswürdiger Start) wird derzeit im Azure-Portal nicht unterstützt.

Wenn Sie Änderungen vom vertrauenswürdigen Start auf die vorherige bekannte gute Konfiguration zurücksetzen möchten, legen Sie securityProfile diese auf "Standard" fest, wie in der Beispielvorlage zum Ausführen des Upgrades für den vertrauenswürdigen Start gezeigt.

"securityProfile": {
    "securityType": "Standard",
    "uefiSettings": "[null()]"
}

Führen Sie die Schritte aus, um den vertrauenswürdigen Start auf einer vorhandenen VM der Azure Generation 2 mithilfe der Azure CLI zu deaktivieren.

Stellen Sie sicher, dass Sie die neueste Azure CLI installieren und bei einem Azure-Konto mit az-Anmeldung angemeldet sind.

1. Melden Sie sich beim VM Azure-Abonnement an.

   az login
   
   az account set --subscription 00000000-0000-0000-0000-000000000000
   

2. Heben Sie die Zuordnung der VM auf.

   az vm deallocate \
      --resource-group myResourceGroup --name myVm
   

3. Aktivieren Sie den vertrauenswürdigen Start, indem Sie --security-type auf Standard festlegen.

   az vm update \
       --resource-group myResourceGroup --name myVm \
       --security-type Standard
   

4. Überprüfen Sie die Ausgabe des vorherigen Befehls. Stellen Sie sicher, dass die securityProfile-Konfiguration mit der Befehlsausgabe zurückgegeben wird.

   {
     "securityProfile": {
       "securityType": null,
       "uefiSettings": null
     }
   }
   

5. Starten Sie den virtuellen Computer.

   az vm start \
       --resource-group myResourceGroup --name myVm
   

Wenn Sie ein Rollback der Änderungen vom vertrauenswürdigen Start auf die vorherige bekannte gute Konfiguration durchführen möchten, legen Sie -SecurityType wie dargestellt auf Standard fest.

1. Melden Sie sich beim VM Azure-Abonnement an.

   Connect-AzAccount -SubscriptionId 00000000-0000-0000-0000-000000000000
   

2. Heben Sie die Zuordnung der VM auf.

   Stop-AzVM -ResourceGroupName myResourceGroup -Name myVm
   

3. Aktivieren Sie den vertrauenswürdigen Start, indem Sie -SecurityType auf TrustedLaunch festlegen.

   Get-AzVM -ResourceGroupName myResourceGroup -VMName myVm `
       | Update-AzVM -SecurityType Standard
   

4. Überprüfen Sie securityProfile in der aktualisierten VM-Konfiguration.

   # Following command output should be `null`
   
   (Get-AzVM -ResourceGroupName myVm -VMName myResourceGroup `
       | Select-Object -Property SecurityProfile `
           -ExpandProperty SecurityProfile).SecurityProfile.SecurityType
   

5. Starten Sie den virtuellen Computer.

   Start-AzVM -ResourceGroupName myResourceGroup -Name myVm