セキュアブートとvTPM
セキュアブートは、システムの起動を担当するUnified Extensible Firmware Interface (UEFI) の機能です。これにより、起動プロセス中に信頼できるソフトウェアのみがロードされることが保証されます。
Trusted Platform Module (TPM) は、暗号化キーやその他の機密データを安全に保存するためのハードウェアチップです。Virtual Trusted Platform Module (vTPM) は、TPM と同じ機能を実行しますが、暗号化コプロセッサ機能をソフトウェアで実行します。TPM はセキュリティを強化できますが、Secure Boot の要件ではありません。
サポートされているクラウドサービスの詳細については、以下を参照してください。
AWS でのセキュアブートとNitroTPM
AWS 環境では、NitroTPM および/または UEFI Secure Boot が有効になっているマスターイメージ (AMI) を選択できます。これにより、カタログ内のプロビジョニングされた VM も NitroTPM および/または UEFI Secure Boot が有効になります。この実装により、VM が保護され、信頼できることが保証されます。NitroTPM および UEFI Secure Boot の詳細については、Amazon ドキュメント を参照してください。NitroTPM および UEFI Secure Boot が有効なカタログを作成するには、VM インスタンスの NitroTPM および UEFI Secure Boot を有効にする を参照してください。
Google Cloud Platform でのセキュアブートとvTPM
Google Cloud Platform (GCP) でシールドされた仮想マシンをプロビジョニングできます。シールドされた VM の検証可能な整合性は、次の機能を使用することで実現されます。
-
セキュアブート
-
vTPM対応メジャーブート
-
整合性監視
シールドされたVMでカタログを作成するためにPowerShellを使用する方法の詳細については、「Using PowerShell to create a catalog with shielded VM」を参照してください。
注:
マスターイメージにWindows 11をインストールする場合、マスターイメージ作成プロセス中にvTPMを有効にする必要があります。また、カタログ作成にマシンプロファイルを使用する場合、マシンプロファイルソース（VMまたはインスタンステンプレート）でvTPMを有効にする必要があります。単一テナントノードでWindows 11 VMを作成する方法については、「Create Windows 11 VMs on the sole-tenant node」を参照してください。
Microsoft Azure での セキュアブートと vTPM
Azure環境では、Trusted Launchが有効なマシンカタログを作成できます。Azureは、第2世代VMのセキュリティを向上させるシームレスな方法としてTrusted Launchを提供します。Trusted Launchは、高度で永続的な攻撃手法から保護します。Trusted Launchを有効にするには、マシンプロファイルベースのカタログ構成を使用します。Trusted Launchの根幹には、VM用のSecure Bootがあります。Trusted Launchは、クラウドによるリモートアテステーションを実行するためにvTPMも使用します。これは、プラットフォームの健全性チェックと信頼に基づく意思決定に使用されます。Secure BootとvTPMは個別に有効にできます。Trusted Launchを使用してマシンカタログを作成する方法の詳細については、「Machine catalogs with Trusted launch」を参照してください。
VMwareでのvTPM
MCSはvTPMを使用したマシンカタログの作成をサポートしています。マスターイメージにWindows 11がインストールされている場合、マスターイメージでvTPMが有効になっている必要があります。マシンプロファイルベースの構成が使用され、vTPMが有効になっている場合、カタログ内のVMはVMテンプレートから同じvTPMコンテンツを継承します。マシンプロファイルが使用されておらず、マスターイメージでvTPMが有効になっている場合、カタログ内のVMは空のvTPMを持ちます。詳細については、「Create a machine catalog using a machine profile」を参照してください。
XenServer®でのSecure BootとvTPM
XenServer は、サポートされている一部の VM オペレーティングシステムで UEFI セキュアブートを提供します。セキュアブートは、署名されていない、誤って署名された、または変更されたバイナリが起動中に実行されるのを防ぎます。セキュアブートを強制する UEFI 対応 VM では、すべてのドライバーが署名されている必要があります。詳細については、「ゲスト UEFI とセキュアブート」を参照してください。
XenServer 8では、UEFI Secure BootにvTPMは必須ではありません。ただし、vTPMをVMにリンクするには、Secure Bootが有効であるかどうかにかかわらず、そのVMがUEFIで起動されている必要があります。Windows 11 VMにはリンクされたvTPMが必要であり、提供されたテンプレートからWindows 11 VMが作成されるときに自動的に作成されます。他のオペレーティングシステムの場合、vTPMはオプションです。詳細については、「vTPM」を参照してください。