Avvio protetto

L'avvio protetto è progettato per garantire che solo il software attendibile venga utilizzato per avviare il sistema. Il firmware dispone di un database di certificati attendibili e verifica che l'immagine che carica sia firmata da uno dei certificati attendibili. Se tale immagine carica ulteriori immagini, anche tale immagine deve essere verificata allo stesso modo. vTPM è un'istanza software virtualizzata di un modulo TPM fisico tradizionale. Il vTPM consente l'attestazione misurando l'intera catena di avvio della VM (UEFI, sistema operativo, sistema e driver).

Vedere quanto segue per maggiori informazioni sui servizi cloud supportati:

Negli ambienti AWS, è possibile selezionare un'immagine master (AMI) con NitroTPM e/o avvio protetto UEFI abilitato. Di conseguenza, anche le VM sottoposte a provisioning nel catalogo sono abilitate con NitroTPM e/o avvio protetto UEFI. Questa implementazione garantisce che le VM siano protette e attendibili. Per maggiori informazioni su NitroTPM e l'avvio protetto UEFI, consultare la documentazione Amazon. Per creare un catalogo abilitato con NitroTPM e avvio protetto UEFI, vedere Abilitare NitroTPM e l'avvio protetto UEFI per le istanze VM.

È possibile eseguire il provisioning di macchine virtuali schermate su GCP. Una macchina virtuale schermata è rafforzata utilizzando un set di controlli di sicurezza che forniscono un'integrità verificabile delle istanze di Compute Engine, utilizzando funzionalità di sicurezza della piattaforma avanzate come l'avvio protetto, un modulo TPM virtuale, il firmware UEFI e il monitoraggio dell'integrità.

Per ulteriori informazioni sull'utilizzo di PowerShell per creare un catalogo con VM schermata, vedere Utilizzo di PowerShell per creare un catalogo con VM schermata.

Negli ambienti Azure, è possibile creare cataloghi di macchine abilitati con Avvio attendibile. Azure offre l'avvio attendibile come un modo semplice per migliorare la sicurezza delle VM di generazione 2. L'avvio attendibile protegge da tecniche di attacco avanzate e persistenti. Alla base dell'avvio attendibile c'è l'avvio protetto per la VM. L'avvio attendibile utilizza anche il vTPM per eseguire l'attestazione remota da parte del cloud. Questo viene utilizzato per i controlli di integrità della piattaforma e per prendere decisioni basate sulla fiducia. È possibile abilitare individualmente l'avvio protetto e il vTPM. Per maggiori informazioni sulla creazione di un catalogo di macchine con Avvio attendibile, vedere Cataloghi di macchine con Avvio attendibile.

MCS supporta la creazione di un catalogo di macchine con un modello VMware con vTPM allegato come origine per l'input del profilo macchina. Se Windows 11 è installato sull'immagine master, è necessario che il vTPM sia abilitato per l'immagine master. Pertanto, il modello VMware, che è un'origine del profilo macchina, deve avere il vTPM allegato. Per maggiori informazioni, vedere Creare un catalogo di macchine utilizzando un profilo macchina.