セキュアブートとvTPM
セキュアブートは、システムの起動を担当するUnified Extensible Firmware Interface (UEFI) の機能です。これにより、起動プロセス中に信頼できるソフトウェアのみがロードされることが保証されます。
トラステッドプラットフォームモジュール (TPM) は、暗号化キーやその他の機密データを安全に保存するためのハードウェアチップです。仮想トラステッドプラットフォームモジュール (vTPM) は、TPM と同じ機能を実行しますが、暗号化コプロセッサ機能をソフトウェアで実行します。TPM はセキュリティを強化できますが、セキュアブートの要件ではありません。
サポートされているハイパーバイザーの詳細については、以下を参照してください。
AWS でのセキュアブートとNitroTPM
AWS 環境では、NitroTPM および/または UEFI Secure Boot が有効なマスターイメージ (AMI) を選択できます。したがって、カタログ内のプロビジョニングされた VM も NitroTPM および/または UEFI Secure Boot が有効になります。この実装により、VM が保護され、信頼できるものになります。NitroTPM および UEFI Secure Boot の詳細については、Amazon ドキュメント を参照してください。NitroTPM および UEFI Secure Boot が有効なカタログを作成するには、VM インスタンスの NitroTPM および UEFI Secure Boot を有効にする を参照してください。
Google Cloud Platform でのセキュアブートとvTPM
Google Cloud Platform (GCP) でシールドされた仮想マシンをプロビジョニングできます。シールドされたVM の検証可能な整合性は、次の機能を使用することで実現されます。
-
セキュアブート
-
vTPM対応メジャーブート
-
整合性監視
シールドされたVMでカタログを作成するためのPowerShellの使用方法について詳しくは、「Using PowerShell to create a catalog with shielded VM」を参照してください。
注:
マスターイメージにWindows 11をインストールする場合、マスターイメージ作成プロセス中にvTPMを有効にする必要があります。また、カタログ作成にマシンプロファイルを使用する場合、マシンプロファイルソース（VMまたはインスタンステンプレート）でvTPMを有効にする必要があります。単一テナントノードでのWindows 11 VMの作成について詳しくは、「Create Windows 11 VMs on the sole-tenant node」を参照してください。
Microsoft AzureにおけるセキュアブートとvTPM
Azure 環境では、Trusted Launch が有効なマシンカタログを作成できます。Azure は、第 2 世代 VM のセキュリティを向上させるシームレスな方法として Trusted Launch を提供します。Trusted Launch は、高度で永続的な攻撃手法から保護します。Trusted Launch を有効にするには、マシンプロファイルベースのカタログ構成を使用します。Trusted Launch の根幹には、VM の Secure Boot があります。Trusted Launch は、クラウドによるリモートアテステーションを実行するために vTPM も使用します。これは、プラットフォームのヘルスチェックや信頼に基づく決定を行うために使用されます。Secure Boot と vTPM は個別に有効にできます。 Trusted Launch を使用したマシンカタログの作成の詳細については、Trusted Launch を使用したマシンカタログ を参照してください。
Nutanix Prism CentralにおけるセキュアブートとvTPM
MCS は、Nutanix Prism Central を使用して、vTPM、UEFI、および Secure Boot を備えたマシンカタログの作成をサポートしています。vTPM および UEFI Secure Boot が有効なマスターイメージ (テンプレート) を選択できます。
Nutanix Prism Centralでは、UEFIセキュアブートはvTPMを必要としません。ただし、vTPMをVMにリンクするには、セキュアブートが有効かどうかにかかわらず、VMがUEFIで起動されている必要があります。
さらに、vTPM、UEFI、および Secure Boot が有効な VM は、Nutanix Prism Central からインポートでき、Citrix Virtual Apps and Desktops によって電源管理できます。
NutanixはvTPMとUEFIセキュアブートをサポートしています。以下を参照してください。
VMware における vTPM
MCS は、vTPM を使用したマシンカタログの作成をサポートしています。マスターイメージに Windows 11 がインストールされている場合、マスターイメージで vTPM を有効にすることが要件となります。マシンプロファイルベースの構成が使用され、vTPM が有効になっている場合、カタログ内の VM は VM テンプレートから同じ vTPM コンテンツを継承します。マシンプロファイルが使用されておらず、マスターイメージで vTPM が有効になっている場合、カタログ内の VM は空の vTPM を持ちます。詳細については、マシンプロファイルを使用してマシンカタログを作成する を参照してください。
XenServer® のセキュアブートと vTPM
XenServer は、サポートされている一部の VM オペレーティングシステムで UEFI セキュアブートを提供します。セキュアブートは、署名されていない、誤って署名された、または変更されたバイナリが起動中に実行されるのを防ぎます。セキュアブートを強制する UEFI 対応 VM では、すべてのドライバーが署名されている必要があります。詳細については、「ゲスト UEFI とセキュアブート」を参照してください。
XenServer 8 では、UEFI セキュアブートに vTPM は必要ありません。ただし、vTPM を VM にリンクするには、その VM が UEFI で起動されている必要があります（セキュアブートが有効かどうかにかかわらず）。Windows 11 VM にはリンクされた vTPM が必要であり、提供されたテンプレートから Windows 11 VM が作成されるときに自動的に作成されます。他のオペレーティングシステムの場合、vTPM はオプションです。詳細については、「vTPM」を参照してください。
SCVMM におけるセキュアブートと vTPM
System Center Virtual Machine Manager (SCVMM) 環境では、vTPM および/またはセキュアブートが有効なマスターイメージとマシンプロファイルを選択できます。その結果、カタログは vTPM および/またはセキュアブートが有効な VM をプロビジョニングします。この実装により、VM は保護され、信頼性が維持されます。vTPM とセキュアブートが有効なカタログを作成するには、「マシンプロファイルを使用してカタログを作成する」を参照してください。