セキュアブートとvTPM
セキュアブートは、システムの起動を担当するUnified Extensible Firmware Interface (UEFI) の機能です。起動プロセス中に信頼できるソフトウェアのみがロードされることを保証します。
トラステッドプラットフォームモジュール (TPM) は、暗号化キーやその他の機密データを安全に保存するためのハードウェアチップです。仮想トラステッドプラットフォームモジュール (vTPM) は、TPM と同じ機能を実行しますが、暗号化コプロセッサ機能をソフトウェアで実行します。TPM はセキュリティを強化できますが、セキュアブートの要件ではありません。
サポートされているクラウドサービスの詳細については、以下を参照してください。
Google Cloud PlatformでのセキュアブートとvTPM
Google Cloud Platform (GCP) でシールドされた仮想マシンをプロビジョニングできます。シールドされたVMの検証可能な整合性は、次の機能を使用して実現されます。
-
セキュアブート
-
vTPM対応メジャーブート
-
整合性監視
PowerShellを使用してシールドされたVMでカタログを作成する方法の詳細については、PowerShellを使用してシールドされたVMでカタログを作成するを参照してください。
Microsoft AzureでのセキュアブートとvTPM
Azure環境では、Trusted Launchが有効なマシンカタログを作成できます。Azureは、第2世代VMのセキュリティを向上させるシームレスな方法としてTrusted Launchを提供します。Trusted Launchは、高度で永続的な攻撃手法から保護します。Trusted Launchを有効にするには、マシンプロファイルベースのカタログ構成を使用します。Trusted Launchの根幹には、VMのセキュアブートがあります。Trusted Launchは、クラウドによるリモートアテステーションを実行するためにvTPMも使用します。これは、プラットフォームのヘルスチェックと信頼に基づく意思決定に使用されます。セキュアブートとvTPMは個別に有効にできます。Trusted Launchでマシンカタログを作成する方法の詳細については、Trusted Launchでのマシンカタログを参照してください。
VMware における vTPM
MCS は vTPM を使用したマシンカタログの作成をサポートしています。マスターイメージに Windows 11 がインストールされている場合、マスターイメージで vTPM を有効にすることが要件となります。マシンプロファイルベースの構成が使用され、vTPM が有効になっている場合、カタログ内の VM は VM テンプレートから同じ vTPM コンテンツを継承します。マシンプロファイルが使用されておらず、マスターイメージで vTPM が有効になっている場合、カタログ内の VM は空の vTPM を持ちます。詳細については、「マシンプロファイルを使用したマシンカタログの作成」を参照してください。