Azure Kubernetes Service (AKS) の信頼された起動

• Azure CLI、バージョン 2.66.0 以降。 az --version を実行してバージョンを見つけ、az upgrade を実行してバージョンをアップグレードします。 インストールまたはアップグレードする必要がある場合は、Azure CLI のインストールに関するページを参照してください。

1. az aks create コマンドを使用して、AKS クラスターを作成します。 コマンドを実行する前に、次のパラメータを確認します。

   • --name: myAKSCluster など、AKS クラスターの一意の名前を入力します。
   • --resource-group: AKS クラスター リソースをホストする既存のリソース グループの名前を入力します。
   • --enable-secure-boot: セキュア ブートで、信頼された発行元によって署名されたイメージを認証できるようにします。
   • --enable-utcm: vTPM を有効にし、VM のブート チェーン全体を測定して構成証明を実行します。

   注

   セキュア ブートには、署名されたブート ローダー、OS カーネル、ドライバーが必要です。 セキュア ブートを有効にした後でノードが起動しない場合は、Azure Linux 仮想マシン内でセキュア ブートエラーの原因となっているブート コンポーネントを確認できます。 「セキュア ブートエラーの確認を参照してください」。

   次の例では、myResourceGroup 内の 1 つのノードを持つ myAKSCluster という名前のクラスターを作成し、セキュア ブートと vTPM を有効にします。

   az aks create \
       --name myAKSCluster \
       --resource-group myResourceGroup \
       --node-count 1 \
       --enable-secure-boot \
       --enable-vtpm \
       --generate-ssh-keys
   

2. 次のコマンドを実行して、Kubernetes クラスターのアクセス資格情報を取得します。 az aks バージョン変更資格情報 コマンドを使用してクラスター名とリソース グループ名の既定値を置き換えます。

   az aks get-credentials --resource-group myResourceGroup --name myAKSCluster
   

1. 信頼できる起動パラメーターを使用してテンプレートを作成します。 テンプレートを作成する前に、次のパラメーターを確認します。

   • enableSecureBoot: セキュア ブートで、信頼された発行元によって署名されたイメージを認証できるようにします。
   • enableVTPM: vTPM を有効にし、VM のブート チェーン全体を測定して構成証明を実行します。

   テンプレートで、 enableVTPM と enableSecureBootの値を指定します。 次の例に示すように、CLI デプロイに使用されるのと同じスキーマが、Microsoft.ContainerService/managedClusters/agentPools の "properties" 定義に存在します。

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": "true",
           "enableSecureBoot": "true",
       }
   }
   

2. クラスターで vTPM とセキュア ブートを有効にしてテンプレートをデプロイします。 詳細な手順については、 ARM テンプレートを使用した AKS クラスターのデプロイ に関するページを参照してください。

1. az aks nodepool add コマンドを使用して、トラステッド起動が有効になっているノード プールを追加します。 コマンドを実行する前に、次のパラメータを確認します。

   • --cluster-name: AKS クラスターの名前を入力します。
   • --resource-group: AKS クラスター リソースをホストする既存のリソース グループの名前を入力します。
   • --name: ノード プールの一意の名前を入力します。 ノード プールの名前には小文字の英数字のみを使用でき、小文字で始まる必要があります。 Linux のノード プールの長さは、1 から 11 文字の範囲内である必要があります。
   • --node-count: Kubernetes エージェント プール内のノードの数。 既定値は 3 です。
   • --enable-secure-boot: セキュア ブートで、信頼された発行元によって署名されたイメージを認証できるようにします。
   • --enable-utcm: vTPM を有効にし、VM のブート チェーン全体を測定して構成証明を実行します。

   注

   セキュア ブートには、署名されたブート ローダー、OS カーネル、ドライバーが必要です。 セキュア ブートを有効にした後でノードが起動しない場合は、Azure Linux 仮想マシン内でセキュア ブートエラーの原因となっているブート コンポーネントを確認できます。 「セキュア ブートエラーの確認を参照してください」。

   次の例では、3 つのノードを持つ myAKSCluster という名前のクラスターで、vTPM とセキュア ブートが有効になっているノード プールを配置します。

   az aks nodepool add --resource-group myResourceGroup --cluster-name myAKSCluster --name mynodepool --node-count 3 --enable-vtpm --enable-secure-boot
   

2. ノード プールが信頼された起動イメージを使用していることを確認します。

   信頼された起動ノードには、次の出力があります。

   • "TL"など、"AKSUbuntu-2204-gen2TLcontainerd"を含むノード イメージのバージョン。
   • "Security-type" は "Trusted Launch" になるはずです。

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. 信頼できる起動パラメーターを使用してテンプレートを作成します。 テンプレートを作成する前に、次のパラメーターを確認します。

   • enableSecureBoot: セキュア ブートで、信頼された発行元によって署名されたイメージを認証できるようにします。
   • enableVTPM: vTPM を有効にし、VM のブート チェーン全体を測定して構成証明を実行します。

   テンプレートで、 enableVTPM と enableSecureBootの値を指定します。 次の例に示すように、CLI デプロイに使用されるのと同じスキーマが、Microsoft.ContainerService/managedClusters/agentPools の "properties" 定義に存在します。

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": "true",
           "enableSecureBoot": "true",
       }
   }
   

2. クラスターで vTPM とセキュア ブートを有効にしてテンプレートをデプロイします。 詳細な手順については、 ARM テンプレートを使用した AKS クラスターのデプロイ に関するページを参照してください。

1. ノード プールが信頼された起動イメージを使用していることを確認します。

   信頼された起動ノードには、次の出力があります。

   • "TL"など、"AKSUbuntu-2204-gen2TLcontainerd"を含むノード イメージのバージョン。
   • "Security-type" は "Trusted Launch" になるはずです。

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

   ノード プールに現在信頼された起動イメージがない場合は、セキュア ブートまたは vTPM を有効にするためにノード プールを更新することはできません。

2. az aks nodepool update コマンドを使用して、トラステッド起動が有効になっているノード プールを更新します。 コマンドを実行する前に、次のパラメータを確認します。

   • --resource-group: 既存の AKS クラスターをホストしている既存のリソース グループの名前を入力します。
   • クラスター名: AKS クラスターの一意の名前 ("myAKSCluster" など) を入力します。
   • --name: mynodepoolなど、ノード プールの名前を入力します。
   • --enable-secure-boot: セキュア ブートで、イメージが信頼された発行元によって署名されていることを認証できるようにします。
   • --enable-utcm: vTPM を有効にし、VM のブート チェーン全体を測定して構成証明を実行します。

   注

   セキュア ブートには、署名されたブート ローダー、OS カーネル、ドライバーが必要です。 セキュア ブートを有効にした後でノードが起動しない場合は、Azure Linux 仮想マシン内でセキュア ブートエラーの原因となっているブート コンポーネントを確認できます。 「セキュア ブートエラーの確認を参照してください」。

   次の例では、myResourceGroup の myAKSCluster 上のノード プール mynodepool を更新し、vTPM を有効にします。 このシナリオでは、ノード プールの作成時にセキュア ブートが有効になりました。

   az aks nodepool update --cluster-name myCluster --resource-group myResourceGroup --name mynodepool --enable-vtpm 
   

   次の例では、myResourceGroup の myAKSCluster 上のノード プール mynodepool を更新し、セキュア ブートを有効にします。 このシナリオでは、ノード プールの作成時に vTPM が有効になりました。

   az aks nodepool update --cluster-name myCluster --resource-group myResourceGroup --name mynodepool --enable-secure-boot
   

1. ノード プールが信頼された起動イメージを使用していることを確認します。

   信頼された起動ノードには、次の出力があります。

   • "TL"など、"AKSUbuntu-2204-gen2TLcontainerd"を含むノード イメージのバージョン。
   • "Security-type" は "Trusted Launch" になるはずです。

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

   ノード プールに現在信頼された起動イメージがない場合は、セキュア ブートまたは vTPM を有効にするためにノード プールを更新することはできません。

2. 信頼できる起動パラメーターを使用してテンプレートを作成します。 テンプレートを作成する前に、次のパラメーターを確認します。

   • enableSecureBoot: セキュア ブートで、信頼された発行元によって署名されたイメージを認証できるようにします。
   • enableVTPM: vTPM を有効にし、VM のブート チェーン全体を測定して構成証明を実行します。

   テンプレートで、 enableVTPM と enableSecureBootの値を指定します。 次の例に示すように、CLI デプロイに使用されるのと同じスキーマが、Microsoft.ContainerService/managedClusters/agentPools の "properties" 定義に存在します。

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": "true",
           "enableSecureBoot": "true",
       }
   }
   

3. クラスターで vTPM とセキュア ブートを有効にしてテンプレートをデプロイします。 詳細な手順については、 ARM テンプレートを使用した AKS クラスターのデプロイ に関するページを参照してください。

az aks nodepool update コマンドを使用して、セキュア ブートまたは vTPM を無効にするようにノード プールを更新します。 コマンドを実行する前に、次のパラメータを確認します。

• --resource-group: 既存の AKS クラスターをホストしている既存のリソース グループの名前を入力します。
• クラスター名: AKS クラスターの一意の名前 ("myAKSCluster" など) を入力します。
• --name: mynodepoolなど、ノード プールの名前を入力します。
• --enable-secure-boot: セキュア ブートで、イメージが信頼された発行元によって署名されていることを認証できるようにします。
• --enable-utcm: vTPM を有効にし、VM のブート チェーン全体を測定して構成証明を実行します。

既存のノード プールで vTPM を無効にするには:

az aks nodepool update --cluster-name myCluster --resource-group myResourceGroup --name mynodepool --disable-vtpm

既存のノード プールでセキュア ブートを無効にするには:

az aks nodepool update --cluster-name myCluster --resource-group myResourceGroup --name mynodepool --disable-secure-boot 

1. 信頼できる起動パラメーターを使用してテンプレートを作成します。 テンプレートを作成する前に、次のパラメーターを確認します。

   • enableSecureBoot: セキュア ブートで、信頼された発行元によって署名されたイメージを認証できるようにします。
   • enableVTPM: vTPM を有効にし、VM のブート チェーン全体を測定して構成証明を実行します。

   テンプレートで、 enableVTPM と enableSecureBootの値を指定します。 次の例に示すように、CLI デプロイに使用されるのと同じスキーマが、Microsoft.ContainerService/managedClusters/agentPools の "properties" 定義に存在します。

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": "false",
           "enableSecureBoot": "false",
       }
   }
   

2. クラスターで vTPM とセキュア ブートが無効になっているテンプレートをデプロイします。 詳細な手順については、 ARM テンプレートを使用した AKS クラスターのデプロイ に関するページを参照してください。