セキュアブートとvTPM
セキュアブートは、システムの起動を担当するUnified Extensible Firmware Interface (UEFI) の機能です。これにより、起動プロセス中に信頼できるソフトウェアのみがロードされることが保証されます。
トラステッドプラットフォームモジュール (TPM) は、暗号化キーやその他の機密データを安全に保存するためのハードウェアチップです。仮想トラステッドプラットフォームモジュール (vTPM) は、TPM と同じ機能を実行しますが、暗号化コプロセッサ機能をソフトウェアで実行します。TPM はセキュリティを強化できますが、セキュアブートの要件ではありません。
サポートされているクラウドサービスの詳細については、以下を参照してください。
Google Cloud Platform でのセキュアブートとvTPM
Google Cloud Platform (GCP) でシールドされた仮想マシンをプロビジョニングできます。シールドされた VM の検証可能な整合性は、次の機能を使用することで実現されます。
-
セキュアブート
-
vTPM対応メジャーブート
-
整合性監視
シールドされたVMでカタログを作成するためのPowerShellの使用方法について詳しくは、「Using PowerShell to create a catalog with shielded VM」を参照してください。
注：
マスターイメージにWindows 11をインストールする場合、マスターイメージ作成プロセス中にvTPMを有効にする必要があります。また、カタログ作成にマシンプロファイルを使用する場合、マシンプロファイルソース（VMまたはインスタンステンプレート）でvTPMを有効にする必要があります。単一テナントノードでのWindows 11 VMの作成について詳しくは、「Create Windows 11 VMs on the sole-tenant node」を参照してください。
Microsoft AzureにおけるセキュアブートとvTPM
Azure 環境では、Trusted Launch が有効なマシンカタログを作成できます。Azure は、第 2 世代 VM のセキュリティを向上させるシームレスな方法として Trusted Launch を提供します。Trusted Launch は、高度で永続的な攻撃手法から保護します。Trusted Launch を有効にするには、マシンプロファイルベースのカタログ構成を使用します。Trusted Launch の根幹には、VM のセキュアブートがあります。Trusted Launch は、クラウドによるリモートアテステーションを実行するために vTPM も使用します。これは、プラットフォームのヘルスチェックと、信頼に基づく決定を行うために使用されます。セキュアブートと vTPM は個別に有効にできます。Trusted Launch を使用したマシンカタログの作成の詳細については、「Trusted Launch を使用したマシンカタログ」を参照してください。
VMware における vTPM
MCS は、vTPM を使用したマシンカタログの作成をサポートしています。マスターイメージに Windows 11 がインストールされている場合、マスターイメージで vTPM を有効にすることが必須です。マシンプロファイルベースの構成が使用され、vTPM が有効になっている場合、カタログ内の VM は VM テンプレートから同じ vTPM コンテンツを継承します。マシンプロファイルが使用されておらず、マスターイメージで vTPM が有効になっている場合、カタログ内の VM は空の vTPM を持ちます。詳細については、「マシンプロファイルを使用してマシンカタログを作成する」を参照してください。