Partilhar via


Configuração de segurança da máquina virtual

O CycleCloud 8.5 suporta a criação de VMs com um tipo de segurança de Inicialização Confiável ou Confidencial.

Observação

O uso desses recursos pode trazer algumas limitações. Essas limitações incluem não suportar backup, discos gerenciados e discos efêmeros do sistema operacional. Além disso, esses recursos exigem imagens e tamanhos de VM específicos. Para obter mais informações, consulte a documentação nos links anteriores.

Você pode modificar esses recursos no formulário de cluster ou defini-los diretamente no modelo de cluster.

O principal atributo que habilita esse recurso é SecurityType, que pode ser TrustedLaunch ou ConfidentialVM. Para fazer com que todas as VMs no cluster usem a Inicialização Confiável por padrão, adicione o seguinte código ao seu modelo:

[[node defaults]]
# Start VMs with TrustedLaunch 
SecurityType = TrustedLaunch

A segurança padrão é o padrão, então você não precisa especificá-la. Se fornecer um valor para SecurityType e importar o cluster, poderá comentar ou remover essa linha e importar novamente o cluster para remover o valor. Se definir um valor em defaults e quiser usar a segurança padrão para um nó específico, sobreponha o valor utilizando undefined() (use := para ativar a análise rigorosa do valor).

[[node standard-node]]
# Clear an inherited value
SecurityType := undefined()

Ao utilizar o Trusted Launch ou VMs Confidenciais, ativa outros recursos de segurança que, por padrão, ambos são definidos como verdadeiros:

  • EnableSecureBoot=true: Usa a Inicialização Segura, que ajuda a proteger suas VMs contra kits de inicialização, rootkits e malware no nível do kernel.

  • EnableVTPM=true: Usa o Virtual Trusted Platform Module (vTPM), que é compatível com TPM 2.0 e valida a integridade de inicialização da VM, além de armazenar chaves e segredos com segurança.

Observação

Esses atributos não têm efeito com o tipo de segurança padrão padrão.

Além disso, as VMs confidenciais permitem um novo esquema de criptografia de disco. Esse esquema protege todas as partições críticas do disco e torna o conteúdo do disco protegido acessível apenas à VM. Semelhante à criptografia do lado do servidor, o padrão é Platform-Managed Chaves , mas você pode usar Customer-Managed Chaves . O uso de chaves de Customer-Managed para criptografia confidencial requer um conjunto de criptografia de disco cujo tipo de criptografia é ConfidentialVmEncryptedWithCustomerKey. Consulte Criptografia de disco para saber mais.