Início Confiável para o Serviço de Kubernetes do Azure (AKS)

• A CLI do Azure versão 2.66.0 ou posterior. Execute az --version para localizar a versão e az upgrade para atualizar a versão. Se você precisa instalar ou atualizar, consulte Instalar a CLI do Azure.

1. Crie um cluster do AKS usando o comando az aks create. Antes de executar o comando, revise os seguintes parâmetros:

   • --name: insira um nome exclusivo para o cluster do AKS, como myAKSCluster.
   • --resource-group: insira o nome de um grupo de recursos existente para hospedar o recurso de cluster do AKS.
   • --enable-secure-boot: permite que a inicialização segura autentique uma imagem assinada por um fornecedor confiável.
   • --enable-vtpm: habilita o vTPM e executa o atestado, medindo toda a cadeia de inicialização da VM.

   Observação

   A inicialização segura exige carregadores de inicialização, kernels do sistema operacional e drivers assinados. Se depois que você habilitar a inicialização segura, seus nós não forem iniciados, você poderá verificar quais componentes de inicialização são responsáveis por falhas da inicialização segura em uma Máquina Virtual do Azure Linux. Confira Verificar falhas da inicialização segura.

   O seguinte exemplo cria um cluster chamado myAKSCluster com um nó em myResourceGroup e habilita a inicialização segura e o vTPM:

   az aks create \
       --name myAKSCluster \
       --resource-group myResourceGroup \
       --node-count 1 \
       --enable-secure-boot \
       --enable-vtpm \
       --generate-ssh-keys
   

2. Execute o comando a seguir para obter credenciais de acesso para o cluster do Kubernetes. Use o comando az aks get-credentials e substitua os valores pelo nome do cluster e o nome do grupo de recursos.

   az aks get-credentials --resource-group myResourceGroup --name myAKSCluster
   

1. Crie um modelo com parâmetros de Início Confiável. Antes de criar o modelo, examine os seguintes parâmetros:

   • enableSecureBoot: permite que a Inicialização Segura autentique uma imagem assinada por um editor confiável.
   • enableVTPM: habilita o vTPM e executa o atestado medindo toda a cadeia de inicialização da VM.

   Em seu modelo, forneça valores para enableVTPM e enableSecureBoot. O mesmo esquema usado para implantação da CLI existe na definição Microsoft.ContainerService/managedClusters/agentPools abaixo de "properties", conforme mostrado no exemplo a seguir:

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": "true",
           "enableSecureBoot": "true",
       }
   }
   

2. Implante o seu modelo com o vTPM e a inicialização segura habilitados no cluster. Confira Implantar um cluster do AKS usando um modelo do ARM para obter instruções detalhadas.

1. Adicione um pool de nós com o Início ConfiIável habilitado usando o comando az aks nodepool add. Antes de executar o comando, revise os seguintes parâmetros:

   • --cluster-name: insira o nome do cluster do AKS.
   • --resource-group: insira o nome de um grupo de recursos existente para hospedar o recurso de cluster do AKS.
   • --name: insira um nome exclusivo para o pool de nós. O nome de um pool de nós só pode conter caracteres alfanuméricos minúsculos e deve começar com uma letra minúscula. Nos pools de nós do Linux, o comprimento deve estar entre 1 e 11 caracteres.
   • --node-count: o número de nós do pool de agentes do Kubernetes. O padrão é 3.
   • --enable-secure-boot: permite que a inicialização segura autentique a imagem assinada por um fornecedor confiável.
   • --enable-vtpm: habilita o vTPM e executa o atestado, medindo toda a cadeia de inicialização da VM.

   Observação

   A inicialização segura exige carregadores de inicialização, kernels do sistema operacional e drivers assinados. Se depois que você habilitar a inicialização segura, seus nós não forem iniciados, você poderá verificar quais componentes de inicialização são responsáveis por falhas da inicialização segura em uma Máquina Virtual do Azure Linux. Confira Verificar falhas da inicialização segura.

   O seguinte exemplo implanta um pool de nós com a inicialização segura e o vTPM habilitados em um cluster chamado myAKSCluster com três nós:

   az aks nodepool add --resource-group myResourceGroup --cluster-name myAKSCluster --name mynodepool --node-count 3 --enable-vtpm --enable-secure-boot
   

2. Verifique se o pool de nós está usando uma imagem de Início Confiável.

   Os nós de Início Confiável têm a seguinte saída:

   • Versão da imagem do nó que contém "TL", como "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" deve ser "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. Crie um modelo com parâmetros de Início Confiável. Antes de criar o modelo, examine os seguintes parâmetros:

   • enableSecureBoot: permite que a Inicialização Segura autentique uma imagem assinada por um editor confiável.
   • enableVTPM: habilita o vTPM e executa o atestado medindo toda a cadeia de inicialização da VM.

   Em seu modelo, forneça valores para enableVTPM e enableSecureBoot. O mesmo esquema usado para implantação da CLI existe na definição Microsoft.ContainerService/managedClusters/agentPools abaixo de "properties", conforme mostrado no exemplo a seguir:

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": "true",
           "enableSecureBoot": "true",
       }
   }
   

2. Implante o seu modelo com o vTPM e a inicialização segura habilitados no cluster. Confira Implantar um cluster do AKS usando um modelo do ARM para obter instruções detalhadas.

1. Verifique se o pool de nós está usando uma imagem de Início Confiável.

   Os nós de Início Confiável têm a seguinte saída:

   • Versão da imagem do nó que contém "TL", como "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" deve ser "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

   Se o pool de nós não tiver uma imagem de Início Confiável no momento, você não poderá atualizar o pool de nós para habilitar a inicialização segura ou o vTPM.

2. Atualize um pool de nós com o Início Confiável habilitado usando o comando az aks nodepool update. Antes de executar o comando, revise os seguintes parâmetros:

   • --resource-group: insira o nome de um grupo de recursos existente que hospeda o cluster do AKS existente.
   • --cluster-name: insira um nome exclusivo para o cluster do AKS, como myAKSCluster.
   • --name: insira o nome do pool de nós, como mynodepool.
   • --enable-secure-boot: permite que a inicialização segura autentique que a imagem foi assinada por um fornecedor confiável.
   • --enable-vtpm: habilita o vTPM e executa o atestado, medindo toda a cadeia de inicialização da VM.

   Observação

   A inicialização segura exige carregadores de inicialização, kernels do sistema operacional e drivers assinados. Se depois que você habilitar a inicialização segura, seus nós não forem iniciados, você poderá verificar quais componentes de inicialização são responsáveis por falhas da inicialização segura em uma Máquina Virtual do Azure Linux. Confira Verificar falhas da inicialização segura.

   O exemplo a seguir atualiza o mynodepool do pool de nós no myAKSCluster no myResourceGroup e habilita o vTPM. Nesse cenário, a inicialização segura foi habilitada durante a criação do pool de nós:

   az aks nodepool update --cluster-name myCluster --resource-group myResourceGroup --name mynodepool --enable-vtpm 
   

   O exemplo a seguir atualiza o mynodepool do pool de nós no myAKSCluster no myResourceGroup e habilita a inicialização segura. Nesse cenário, o vTPM foi habilitado durante a criação do pool de nós:

   az aks nodepool update --cluster-name myCluster --resource-group myResourceGroup --name mynodepool --enable-secure-boot
   

1. Verifique se o pool de nós está usando uma imagem de Início Confiável.

   Os nós de Início Confiável têm a seguinte saída:

   • Versão da imagem do nó que contém "TL", como "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" deve ser "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

   Se o pool de nós não tiver uma imagem de Início Confiável no momento, você não poderá atualizar o pool de nós para habilitar a inicialização segura ou o vTPM.

2. Crie um modelo com parâmetros de Início Confiável. Antes de criar o modelo, examine os seguintes parâmetros:

   • enableSecureBoot: permite que a Inicialização Segura autentique uma imagem assinada por um editor confiável.
   • enableVTPM: habilita o vTPM e executa o atestado medindo toda a cadeia de inicialização da VM.

   Em seu modelo, forneça valores para enableVTPM e enableSecureBoot. O mesmo esquema usado para implantação da CLI existe na definição Microsoft.ContainerService/managedClusters/agentPools abaixo de "properties", conforme mostrado no exemplo a seguir:

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": "true",
           "enableSecureBoot": "true",
       }
   }
   

3. Implante o seu modelo com o vTPM e a inicialização segura habilitados no cluster. Confira Implantar um cluster do AKS usando um modelo do ARM para obter instruções detalhadas.

Atualize um pool de nós para desabilitar a inicialização segura ou o vTPM usando o comando az aks nodepool update. Antes de executar o comando, revise os seguintes parâmetros:

• --resource-group: insira o nome de um grupo de recursos existente que hospeda o cluster do AKS existente.
• --cluster-name: insira um nome exclusivo para o cluster do AKS, como myAKSCluster.
• --name: insira o nome do pool de nós, como mynodepool.
• --enable-secure-boot: permite que a inicialização segura autentique que a imagem foi assinada por um fornecedor confiável.
• --enable-vtpm: habilita o vTPM e executa o atestado, medindo toda a cadeia de inicialização da VM.

Para desabilitar o vTPM em um pool de nós existente:

az aks nodepool update --cluster-name myCluster --resource-group myResourceGroup --name mynodepool --disable-vtpm

Para desabilitar a inicialização segura em um pool de nós existente:

az aks nodepool update --cluster-name myCluster --resource-group myResourceGroup --name mynodepool --disable-secure-boot 

1. Crie um modelo com parâmetros de Início Confiável. Antes de criar o modelo, examine os seguintes parâmetros:

   • enableSecureBoot: permite que a Inicialização Segura autentique uma imagem assinada por um editor confiável.
   • enableVTPM: habilita o vTPM e executa o atestado medindo toda a cadeia de inicialização da VM.

   Em seu modelo, forneça valores para enableVTPM e enableSecureBoot. O mesmo esquema usado para implantação da CLI existe na definição Microsoft.ContainerService/managedClusters/agentPools abaixo de "properties", conforme mostrado no exemplo a seguir:

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": "false",
           "enableSecureBoot": "false",
       }
   }
   

2. Implante o seu modelo com o vTPM e a inicialização segura desabilitada em seu cluster. Confira Implantar um cluster do AKS usando um modelo do ARM para obter instruções detalhadas.