Inicialização confiável para o Serviço Kubernetes do Azure (AKS)

• A Azure CLI versão 2.66.0 ou posterior. Execute az --version para localizar a versão e execute az upgrade para atualizar a versão. Se precisar de instalar ou atualizar, veja Install Azure CLI (Instalar o Azure CLI).

1. Crie um cluster AKS usando o comando az aks create . Antes de executar o comando, revise os seguintes parâmetros:

   • --name: Insira um nome exclusivo para o cluster AKS, como myAKSCluster.
   • --resource-group: Insira o nome de um grupo de recursos existente para hospedar o recurso de cluster AKS.
   • --enable-secure-boot: Permite que a Inicialização Segura autentique uma imagem assinada por um editor confiável.
   • --enable-vtpm: habilita o vTPM e executa o atestado medindo toda a cadeia de inicialização da sua VM.

   Nota

   A Inicialização Segura requer carregadores de inicialização assinados, kernels do sistema operativo e controladores. Se, depois de habilitar a Inicialização Segura, seus nós não iniciarem, você poderá verificar quais componentes de inicialização são responsáveis por falhas na Inicialização Segura em uma Máquina Virtual Linux do Azure. Consulte verificar falhas de Inicialização Segura.

   O exemplo a seguir cria um cluster chamado myAKSCluster com um nó no myResourceGroup e habilita a Inicialização Segura e o vTPM:

   az aks create \
       --name myAKSCluster \
       --resource-group myResourceGroup \
       --node-count 1 \
       --enable-secure-boot \
       --enable-vtpm \
       --generate-ssh-keys
   

2. Execute o seguinte comando para obter credenciais de acesso para o cluster Kubernetes. Use o comando az aks get-credentials e substitua os valores do nome do cluster e do nome do grupo de recursos.

   az aks get-credentials --resource-group myResourceGroup --name myAKSCluster
   

1. Crie um modelo com parâmetros de inicialização confiável. Antes de criar o modelo, revise os seguintes parâmetros:

   • enableSecureBoot: Permite que a Inicialização Segura autentique uma imagem assinada por um editor confiável.
   • enableVTPM: habilita o vTPM e executa o atestado medindo toda a cadeia de inicialização da sua VM.

   No modelo, forneça valores para enableVTPM e enableSecureBoot. O mesmo esquema usado para a implantação da Microsoft.ContainerService/managedClusters/agentPools CLI existe na definição em "properties", conforme mostrado no exemplo a seguir:

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": "true",
           "enableSecureBoot": "true",
       }
   }
   

2. Implante seu modelo com vTPM e inicialização segura habilitados em seu cluster. Consulte Implantar um cluster AKS usando um modelo ARM para obter instruções detalhadas.

1. Adicione um pool de nós com a Inicialização Confiável habilitada usando o az aks nodepool add comando. Antes de executar o comando, revise os seguintes parâmetros:

   • --cluster-name: Insira o nome do cluster AKS.
   • --resource-group: Insira o nome de um grupo de recursos existente para hospedar o recurso de cluster AKS.
   • --name: insira um nome exclusivo para o pool de nós. O nome de um pool de nós só pode conter caracteres alfanuméricos minúsculos e deve começar com uma letra minúscula. Para pools de nós Linux, o comprimento deve estar entre 1 e 11 caracteres.
   • --node-count: O número de nós no pool de agentes do Kubernetes. O valor padrão é 3.
   • --enable-secure-boot: Permite que a Inicialização Segura autentique imagens assinadas por um editor confiável.
   • --enable-vtpm: habilita o vTPM e executa o atestado medindo toda a cadeia de inicialização da sua VM.

   Nota

   A Inicialização Segura requer carregadores de inicialização assinados, kernels do sistema operativo e controladores. Se, depois de habilitar a Inicialização Segura, seus nós não iniciarem, você poderá verificar quais componentes de inicialização são responsáveis por falhas na Inicialização Segura em uma Máquina Virtual Linux do Azure. Consulte verificar falhas de Inicialização Segura.

   O exemplo a seguir implanta um pool de nós com vTPM e Inicialização Segura habilitados em um cluster chamado myAKSCluster com três nós:

   az aks nodepool add --resource-group myResourceGroup --cluster-name myAKSCluster --name mynodepool --node-count 3 --enable-vtpm --enable-secure-boot
   

2. Verifique se o pool de nós está usando uma imagem de inicialização confiável.

   Os nós de inicialização confiáveis têm a seguinte saída:

   • Versão da imagem do nó contendo "TL", como "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" deverá ser "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. Crie um modelo com parâmetros de inicialização confiável. Antes de criar o modelo, revise os seguintes parâmetros:

   • enableSecureBoot: Permite que a Inicialização Segura autentique uma imagem assinada por um editor confiável.
   • enableVTPM: habilita o vTPM e executa o atestado medindo toda a cadeia de inicialização da sua VM.

   No modelo, forneça valores para enableVTPM e enableSecureBoot. O mesmo esquema usado para a implantação da Microsoft.ContainerService/managedClusters/agentPools CLI existe na definição em "properties", conforme mostrado no exemplo a seguir:

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": "true",
           "enableSecureBoot": "true",
       }
   }
   

2. Implante seu modelo com vTPM e inicialização segura habilitados em seu cluster. Consulte Implantar um cluster AKS usando um modelo ARM para obter instruções detalhadas.

1. Verifique se o pool de nós está usando uma imagem de inicialização confiável.

   Os nós de inicialização confiáveis têm a seguinte saída:

   • Versão da imagem do nó contendo "TL", como "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" deverá ser "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

   Se o pool de nós não tiver uma imagem de inicialização confiável no momento, você não poderá atualizar o pool de nós para habilitar a inicialização segura ou o vTPM.

2. Atualize um pool de nós com a Inicialização Confiável habilitada usando o az aks nodepool update comando. Antes de executar o comando, revise os seguintes parâmetros:

   • --resource-group: Digite o nome de um grupo de recursos existente que hospeda seu cluster AKS existente.
   • --cluster-name: Insira um nome exclusivo para o cluster AKS, como myAKSCluster.
   • --name: Introduza o nome do seu pool de nós, como mynodepool.
   • --enable-secure-boot: Permite que a Inicialização Segura autentique que a imagem foi assinada por um editor confiável.
   • --enable-vtpm: habilita o vTPM e executa o atestado medindo toda a cadeia de inicialização da sua VM.

   Nota

   A Inicialização Segura requer carregadores de inicialização assinados, kernels do sistema operativo e controladores. Se, depois de habilitar a Inicialização Segura, seus nós não iniciarem, você poderá verificar quais componentes de inicialização são responsáveis por falhas na Inicialização Segura em uma Máquina Virtual Linux do Azure. Consulte verificar falhas de Inicialização Segura.

   O exemplo a seguir atualiza o pool de nós mynodepool no myAKSCluster no myResourceGroup e habilita o vTPM. Nesse cenário, a inicialização segura foi habilitada durante a criação do pool de nós:

   az aks nodepool update --cluster-name myCluster --resource-group myResourceGroup --name mynodepool --enable-vtpm 
   

   O exemplo a seguir atualiza o pool de nós mynodepool no myAKSCluster no myResourceGroup e habilita a inicialização segura. Nesse cenário, o vTPM foi habilitado durante a criação do pool de nós:

   az aks nodepool update --cluster-name myCluster --resource-group myResourceGroup --name mynodepool --enable-secure-boot
   

1. Verifique se o pool de nós está usando uma imagem de inicialização confiável.

   Os nós de inicialização confiáveis têm a seguinte saída:

   • Versão da imagem do nó contendo "TL", como "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" deverá ser "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

   Se o pool de nós não tiver uma imagem de inicialização confiável no momento, você não poderá atualizar o pool de nós para habilitar a inicialização segura ou o vTPM.

2. Crie um modelo com parâmetros de inicialização confiável. Antes de criar o modelo, revise os seguintes parâmetros:

   • enableSecureBoot: Permite que a Inicialização Segura autentique uma imagem assinada por um editor confiável.
   • enableVTPM: habilita o vTPM e executa o atestado medindo toda a cadeia de inicialização da sua VM.

   No modelo, forneça valores para enableVTPM e enableSecureBoot. O mesmo esquema usado para a implantação da Microsoft.ContainerService/managedClusters/agentPools CLI existe na definição em "properties", conforme mostrado no exemplo a seguir:

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": "true",
           "enableSecureBoot": "true",
       }
   }
   

3. Implante seu modelo com vTPM e inicialização segura habilitados em seu cluster. Consulte Implantar um cluster AKS usando um modelo ARM para obter instruções detalhadas.

Atualize um pool de nós para desabilitar a inicialização segura ou vTPM usando o az aks nodepool update comando. Antes de executar o comando, revise os seguintes parâmetros:

• --resource-group: Digite o nome de um grupo de recursos existente que hospeda seu cluster AKS existente.
• --cluster-name: Insira um nome exclusivo para o cluster AKS, como myAKSCluster.
• --name: Introduza o nome do seu pool de nós, como mynodepool.
• --enable-secure-boot: Permite que a Inicialização Segura autentique que a imagem foi assinada por um editor confiável.
• --enable-vtpm: habilita o vTPM e executa o atestado medindo toda a cadeia de inicialização da sua VM.

Para desabilitar o vTPM em um pool de nós existente:

az aks nodepool update --cluster-name myCluster --resource-group myResourceGroup --name mynodepool --disable-vtpm

Para desativar a inicialização segura em um pool de nós existente:

az aks nodepool update --cluster-name myCluster --resource-group myResourceGroup --name mynodepool --disable-secure-boot 

1. Crie um modelo com parâmetros de inicialização confiável. Antes de criar o modelo, revise os seguintes parâmetros:

   • enableSecureBoot: Permite que a Inicialização Segura autentique uma imagem assinada por um editor confiável.
   • enableVTPM: habilita o vTPM e executa o atestado medindo toda a cadeia de inicialização da sua VM.

   No modelo, forneça valores para enableVTPM e enableSecureBoot. O mesmo esquema usado para a implantação da Microsoft.ContainerService/managedClusters/agentPools CLI existe na definição em "properties", conforme mostrado no exemplo a seguir:

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": "false",
           "enableSecureBoot": "false",
       }
   }
   

2. Implante seu modelo com vTPM e inicialização segura desabilitada em seu cluster. Consulte Implantar um cluster AKS usando um modelo ARM para obter instruções detalhadas.