セキュアブートとvTPM
セキュアブートは、システムの起動を担当するUnified Extensible Firmware Interface (UEFI) の機能です。これにより、起動プロセス中に信頼できるソフトウェアのみがロードされることが保証されます。
Trusted Platform Module (TPM) は、暗号化キーやその他の機密データを安全に保存するためのハードウェアチップです。仮想Trusted Platform Module (vTPM) は、TPM と同じ機能を実行しますが、ソフトウェアで暗号化コプロセッサ機能を実行します。TPM はセキュリティを強化できますが、セキュアブートの要件ではありません。
サポートされているハイパーバイザーの詳細については、以下を参照してください。
AWS でのセキュアブートとNitroTPM
AWS 環境では、NitroTPM および/またはUEFI セキュアブートが有効なマスターイメージ (AMI) を選択できます。そのため、カタログ内のプロビジョニングされたVM もNitroTPM および/またはUEFI セキュアブートが有効になります。この実装により、VM が保護され、信頼できるものになります。NitroTPM およびUEFI セキュアブートの詳細については、Amazon ドキュメント を参照してください。NitroTPM およびUEFI セキュアブートが有効なカタログの作成については、VM インスタンスのNitroTPM およびUEFI セキュアブートを有効にする を参照してください。
Google Cloud Platform でのセキュアブートとvTPM
Google Cloud Platform (GCP) でシールドされた仮想マシンをプロビジョニングできます。シールドされたVM の検証可能な整合性は、次の機能を使用することで実現されます。
-
セキュアブート
-
vTPM対応メジャーブート
-
整合性監視
シールドされたVMでカタログを作成するためのPowerShellの使用方法について詳しくは、「Using PowerShell to create a catalog with shielded VM」を参照してください。
注：
マスターイメージにWindows 11をインストールする場合、マスターイメージ作成プロセス中にvTPMを有効にする必要があります。また、カタログ作成にマシンプロファイルを使用する場合、マシンプロファイルソース（VMまたはインスタンステンプレート）でvTPMを有効にする必要があります。単一テナントノードでのWindows 11 VMの作成について詳しくは、「Create Windows 11 VMs on the sole-tenant node」を参照してください。
Microsoft AzureにおけるセキュアブートとvTPM
Azure環境では、Trusted Launchが有効なマシンカタログを作成できます。Azureは、第2世代VMのセキュリティを向上させるシームレスな方法としてTrusted Launchを提供します。Trusted Launchは、高度で永続的な攻撃手法から保護します。Trusted Launchを有効にするには、マシンプロファイルベースのカタログ構成を使用します。Trusted Launchの根幹には、VMのセキュアブートがあります。Trusted Launchは、クラウドによるリモートアテステーションを実行するためにvTPMも使用します。これは、プラットフォームの健全性チェックと信頼に基づく決定を行うために使用されます。セキュアブートとvTPMは個別に有効にできます。 Trusted Launchでマシンカタログを作成する方法について詳しくは、「Machine catalogs with Trusted Launch」を参照してください。
Nutanix Prism CentralにおけるセキュアブートとvTPM
MCSは、Nutanix Prism CentralでvTPM、UEFI、およびセキュアブートを備えたマシンカタログの作成をサポートしています。vTPMとUEFIセキュアブートが有効なマスターイメージ（テンプレート）を選択できます。
Nutanix Prism Centralでは、UEFIセキュアブートはvTPMを必要としません。ただし、vTPMをVMにリンクするには、セキュアブートが有効かどうかにかかわらず、VMがUEFIで起動されている必要があります。
さらに、vTPM、UEFI、およびセキュアブートが有効なVMは、Nutanix Prism Centralからインポートでき、Citrix DaaSによって電源管理できます。
NutanixはvTPMとUEFIセキュアブートをサポートしています。以下を参照してください。
VMware における vTPM
MCS は、vTPM を使用したマシンカタログの作成をサポートしています。マスターイメージに Windows 11 がインストールされている場合、マスターイメージで vTPM を有効にすることが必須です。マシンプロファイルベースの構成が使用され、vTPM が有効になっている場合、カタログ内の VM は VM テンプレートから同じ vTPM コンテンツを継承します。マシンプロファイルが使用されておらず、マスターイメージで vTPM が有効になっている場合、カタログ内の VM は空の vTPM を持ちます。詳細については、「マシンプロファイルを使用してマシンカタログを作成する」を参照してください。
XenServer® のセキュアブートと vTPM
XenServer は、サポートされている一部の VM オペレーティングシステムで UEFI セキュアブートを提供します。セキュアブートは、署名されていない、誤って署名された、または変更されたバイナリが起動中に実行されるのを防ぎます。セキュアブートを強制する UEFI 対応 VM では、すべてのドライバーが署名されている必要があります。詳細については、「ゲスト UEFI とセキュアブート」を参照してください。
XenServer 8 では、UEFI セキュアブートに vTPM は必要ありません。ただし、vTPM を VM にリンクするには、その VM が UEFI で起動されている必要があります（セキュアブートが有効かどうかにかかわらず）。Windows 11 VM にはリンクされた vTPM が必要であり、提供されたテンプレートから Windows 11 VM が作成されるときに自動的に作成されます。他のオペレーティングシステムの場合、vTPM はオプションです。詳細については、「vTPM」を参照してください。
MCS は、vTPM を使用したマシンカタログの作成をサポートしています。マシンプロファイルベースの構成が使用され、vTPM が有効になっている場合、カタログ内の VM は VM テンプレートから同じ vTPM コンテンツを継承します。マシンプロファイルが使用されておらず、マスターイメージで vTPM が有効になっている場合、カタログ内の VM はマスターイメージと同じ vTPM コンテンツを継承します。
SCVMM におけるセキュアブートと vTPM
System Center Virtual Machine Manager (SCVMM) 環境では、vTPM および/またはセキュアブートが有効なマスターイメージとマシンプロファイルを選択できます。その結果、カタログは vTPM および/またはセキュアブートが有効な VM をプロビジョニングします。この実装により、VM は保護され、信頼性が維持されます。vTPM とセキュアブートが有効なカタログを作成するには、「マシンプロファイルを使用してカタログを作成する」を参照してください。