セキュアブートとvTPM
セキュアブートは、システムの起動を担当するUnified Extensible Firmware Interface (UEFI) の機能です。これにより、起動プロセス中に信頼できるソフトウェアのみがロードされることが保証されます。
Trusted Platform Module (TPM) は、暗号鍵やその他の機密データを安全に保存するハードウェアチップです。Virtual Trusted Platform Module (vTPM) はTPM と同じ機能を実行しますが、ソフトウェアで暗号コプロセッサ機能を実行します。TPM はセキュリティを強化できますが、セキュアブートの要件ではありません。
サポートされているハイパーバイザーの詳細については、以下を参照してください。
-
ヴイエムウェアでの vTPM(/ja-jp/citrix-virtual-apps-desktops/2511/install-configure/security-policies/secure-boot.html#vtpm-in-vmware)
AWS のセキュアブートとNitroTPM
AWS 環境では、NitroTPM および/またはUEFI セキュアブートが有効になっているマスターイメージ (AMI) を選択できます。そのため、カタログ内のプロビジョニングされたVM もNitroTPM および/またはUEFI セキュアブートが有効になっています。この実装により、VM は保護され、信頼できるものになります。NitroTPM およびUEFI セキュアブートの詳細については、Amazon ドキュメント を参照してください。NitroTPM およびUEFI セキュアブートが有効なカタログの作成については、VM インスタンスのNitroTPM およびUEFI セキュアブートを有効にする を参照してください。
Google Cloud Platform のセキュアブートとvTPM
Google Cloud Platform (GCP) でシールドされた仮想マシンをプロビジョニングできます。シールドされたVM の検証可能な整合性は、次の機能を使用して実現されます。
-
セキュアブート
-
vTPM対応メジャーブート
-
整合性監視
シールドされたVMでカタログを作成するためのPowerShellの使用方法について詳しくは、「Using PowerShell to create a catalog with shielded VM」を参照してください。
注:
マスターイメージにWindows 11をインストールする場合は、マスターイメージ作成プロセス中にvTPMを有効にする必要があります。また、カタログ作成にマシンプロファイルを使用する場合は、マシンプロファイルソース（VMまたはインスタンステンプレート）でvTPMを有効にする必要があります。単一テナントノードでWindows 11 VMを作成する方法については、「単一テナントノードでWindows 11 VMを作成する」を参照してください。
Microsoft AzureにおけるセキュアブートとvTPM
Azure環境では、Trusted Launchが有効なマシンカタログを作成できます。Azureは、第2世代VMのセキュリティを向上させるシームレスな方法としてTrusted Launchを提供します。Trusted Launchは、高度で永続的な攻撃手法から保護します。Trusted Launchを有効にするには、マシンプロファイルベースのカタログ構成を使用します。Trusted Launchの根幹にあるのは、VMのSecure Bootです。Trusted Launchは、クラウドによるリモートアテステーションを実行するためにvTPMも使用します。これは、プラットフォームの健全性チェックと、信頼に基づいた意思決定のために使用されます。Secure BootとvTPMは個別に有効にできます。 Trusted Launchでマシンカタログを作成する方法の詳細については、「Trusted Launchを使用したマシンカタログ」を参照してください。
Nutanix Prism CentralにおけるセキュアブートとvTPM
MCS は、Nutanix Prism Central を使用して、vTPM、UEFI、および Secure Boot を備えたマシンカタログの作成をサポートしています。vTPM および UEFI Secure Boot が有効なマスターイメージ (テンプレート) を選択できます。
Nutanix Prism Centralでは、UEFI Secure BootはvTPMを必要としません。ただし、vTPMをVMにリンクするには、Secure Bootが有効かどうかにかかわらず、VMがUEFIブートされている必要があります。
さらに、vTPM、UEFI、および Secure Boot が有効な VM は、Nutanix Prism Central からインポートでき、Citrix Virtual Apps and Desktops によって電源管理できます。
NutanixはvTPMとUEFIセキュアブートをサポートしています。以下を参照してください。
VMware における vTPM
MCS は vTPM を使用したマシンカタログの作成をサポートしています。マスターイメージに Windows 11 がインストールされている場合、マスターイメージで vTPM を有効にすることが必須です。マシンプロファイルベースの構成が使用され、vTPM が有効になっている場合、カタログ内の VM は VM テンプレートから同じ vTPM コンテンツを継承します。マシンプロファイルが使用されておらず、マスターイメージで vTPM が有効になっている場合、カタログ内の VM は空の vTPM を持ちます。詳細については、「マシンプロファイルを使用したマシンカタログの作成」を参照してください。
XenServer® のセキュアブートと vTPM
XenServer は、サポートされている一部の VM オペレーティングシステムで UEFI セキュアブートを提供します。セキュアブートは、署名されていない、署名が正しくない、または変更されたバイナリが起動中に実行されるのを防ぎます。セキュアブートを強制する UEFI 対応 VM では、すべてのドライバーが署名されている必要があります。詳細については、「ゲスト UEFI とセキュアブート」を参照してください。
XenServer 8 では、UEFI セキュアブートに vTPM は必要ありません。ただし、vTPM を VM にリンクするには、その VM がセキュアブートが有効かどうかにかかわらず、UEFI で起動されている必要があります。Windows 11 VM にはリンクされた vTPM が必要であり、提供されたテンプレートから Windows 11 VM が作成されるときに自動的に作成されます。その他のオペレーティングシステムの場合、vTPM はオプションです。詳細については、「vTPM」を参照してください。