Distribuire una macchina virtuale con avvio attendibile abilitato

1. Accedere al portale di Azure.

2. Cercare Macchine virtuali.

3. In Servizi selezionare Macchine virtuali.

4. Nella pagina Macchine virtuali selezionare Aggiungi e quindi macchina virtuale.

5. In Dettagli progetto verificare che sia selezionata la sottoscrizione corretta.

6. In Gruppo di risorse selezionare Crea nuovo. Immettere un nome per il gruppo di risorse o selezionare un gruppo di risorse esistente dall'elenco a discesa.

7. In Dettagli istanza immettere un nome per il nome della macchina virtuale e scegliere un'area che supporti Avvio attendibile.

8. In Tipo di sicurezza selezionare Macchine virtuali di avvio attendibile. Quando vengono visualizzate le opzioni Avvio protetto, vTPM e Monitoraggio dell'integrità, selezionare le opzioni appropriate per la distribuzione. Per altre informazioni, vedere Funzionalità di sicurezza abilitate per l'avvio attendibile.

   

9. In Immagine selezionare un'immagine da Immagini di seconda generazione consigliate compatibili con l'avvio attendibile. Per un elenco, vedere Avvio attendibile.

   Suggerimento

   Se non viene visualizzata la versione Gen2 dell'immagine desiderata nell'elenco a discesa, selezionare Visualizza tutte le immagini. Modificare quindi il filtro Tipo di sicurezza su Avvio attendibile.

10. Selezionare una dimensione di macchina virtuale che supporti l'avvio attendibile. Per altre informazioni, vedere l'elenco delle dimensioni supportate.

11. Immettere le informazioni sull'account amministratore e quindi le regole delle porte in ingresso.

12. Nella parte inferiore della pagina selezionare Rivedi e crea.

13. Nella pagina Crea una macchina virtuale è possibile visualizzare le informazioni sulla macchina virtuale che si sta per distribuire. Dopo la convalida viene visualizzato come superato, selezionare Crea.

La distribuzione della macchina virtuale richiede alcuni minuti.

Assicurarsi di eseguire la versione più recente dell'interfaccia della riga di comando di Azure.

1. Accedere ad Azure usando az login.

   az login 
   

2. Creare una macchina virtuale con avvio attendibile.

   az group create -n myresourceGroup -l eastus 
   
   az vm create \
      --resource-group myResourceGroup \
      --name myVM \
      --image Canonical:UbuntuServer:18_04-lts-gen2:latest \
      --admin-username azureuser \
      --generate-ssh-keys \
      --security-type TrustedLaunch \
      --enable-secure-boot true \ 
      --enable-vtpm true 
   

3. Per le macchine virtuali esistenti, è possibile abilitare o disabilitare le impostazioni di avvio protetto e vTPM. L'aggiornamento della macchina virtuale con impostazioni di avvio protetto e vTPM attiva il riavvio automatico.

   az vm update \
      --resource-group myResourceGroup \
      --name myVM \
      --enable-secure-boot true \
      --enable-vtpm true 
   

Per altre informazioni sull'installazione del monitoraggio dell'integrità di avvio tramite l'estensione Attestazione guest, vedere Integrità dell'avvio.

Per effettuare il provisioning di una macchina virtuale con avvio attendibile, è prima necessario abilitarla con il TrustedLaunch parametro usando il Set-AzVmSecurityProfile cmdlet . È quindi possibile usare il Set-AzVmUefi cmdlet per impostare la configurazione di vTPM e avvio protetto. Usare il frammento di codice seguente come guida introduttiva. Ricordarsi di sostituire i valori in questo esempio con i propri.

$rgName = "myResourceGroup"
$location = "West US"
$vmName = "myTrustedVM"
$vmSize = Standard_B2s
$publisher = "MicrosoftWindowsServer"
$offer = "WindowsServer"
$sku = "2019-datacenter-gensecond"
$version = latest
$cred = Get-Credential `
   -Message "Enter a username and password for the virtual machine."

$vm = New-AzVMConfig -VMName $vmName -VMSize $vmSize 

$vm = Set-AzVMOperatingSystem `
   -VM $vm -Windows `
   -ComputerName $vmName `
   -Credential $cred `
   -ProvisionVMAgent `
   -EnableAutoUpdate 

$vm = Add-AzVMNetworkInterface -VM $vm `
   -Id $NIC.Id 

$vm = Set-AzVMSourceImage -VM $vm `
   -PublisherName $publisher `
   -Offer $offer `
   -Skus $sku `
   -Version $version 

$vm = Set-AzVMOSDisk -VM $vm `
   -StorageAccountType "StandardSSD_LRS" `
   -CreateOption "FromImage" 

$vm = Set-AzVmSecurityProfile -VM $vm `
   -SecurityType "TrustedLaunch" 

$vm = Set-AzVmUefi -VM $vm `
   -EnableVtpm $true `
   -EnableSecureBoot $true 

New-AzVM -ResourceGroupName $rgName -Location $location -VM $vm 

È possibile distribuire macchine virtuali di avvio attendibile usando un modello di avvio rapido.

Linux

Finestre

1. Accedere al portale di Azure.
2. Cercare e selezionare Le versioni delle immagini della macchina virtuale nella barra di ricerca.
3. Nella pagina Versioni delle immagini della macchina virtuale selezionare Crea.
4. Nella pagina Crea versione dell'immagine della macchina virtuale, all’interno della scheda Informazioni di base:
   1. Selezionare l’abbonamento di Azure.
   2. Selezionare un gruppo di risorse esistente o crearne uno nuovo.
   3. Selezionare l'area di Azure.
   4. Immettere un numero di versione dell'immagine.
   5. Per Origine selezionare BLOB di archiviazione (VHD) o Immagine gestita o un'altra versione dell'immagine della macchina virtuale.
   6. Se è stato selezionato BLOB di archiviazione (VHD),, immettere un disco VHD del sistema operativo (senza lo stato guest della macchina virtuale). Assicurarsi di usare un disco rigido virtuale Gen2.
   7. Se è stata selezionata l'immagine gestita, selezionare un'immagine gestita esistente di una macchina virtuale Gen2.
   8. Se è stata selezionata la versione dell'immagine della macchina virtuale, selezionare una versione dell'immagine della raccolta esistente di una macchina virtuale Gen2.
   9. In Raccolta di calcolo di Azure di destinazione selezionare o creare una raccolta per condividere l'immagine.
   10. In Stato del sistema operativo selezionare Generalizzato o Specializzato a seconda del caso d'uso. Se si usa un'immagine gestita come origine, selezionare sempre Generalizzata. Se si usa un BLOB di archiviazione (VHD) e si vuole selezionare Generalizzata, seguire la procedura per generalizzare un VHD Linux o generalizzare un VHD Windows prima di continuare. Se si usa una versione dell'immagine di macchina virtuale esistente, selezionare Generalizzata o Specializzata in base a quanto usato nella definizione dell'immagine della macchina virtuale di origine.
   11. In Definizione immagine macchina virtuale di destinazione selezionare Crea nuovo.
   12. Nel riquadro Crea una definizione di immagine della macchina virtuale immettere un nome per la definizione. Assicurarsi che il tipo di sicurezza sia impostato su Trustedlaunch Supported. Immettere le informazioni sull'editore, sull'offerta e sullo SKU. Quindi, seleziona OK.
5. Nella scheda Replica immettere il numero di repliche e le aree di destinazione per la replica di immagini, se necessario.
6. Nella scheda Crittografia immettere le informazioni correlate alla crittografia SSE, se necessario.
7. Selezionare Rivedi e crea.
8. Dopo la convalida della configurazione, selezionare Crea per completare la creazione dell'immagine.
9. Dopo aver creato la versione dell'immagine, selezionare Crea macchina virtuale.
10. Nella pagina Crea una macchina virtuale, in Gruppo di risorse selezionare Crea nuovo. Immettere un nome per il gruppo di risorse o selezionare un gruppo di risorse esistente dall'elenco a discesa.
11. In Dettagli istanza immettere un nome per il nome della macchina virtuale e scegliere un'area che supporti Avvio attendibile.
12. In Tipo di sicurezza selezionare Macchine virtuali di avvio attendibile. Le caselle di controllo Avvio protetto e vTPM sono abilitate per impostazione predefinita.
13. Immettere le informazioni sull'account amministratore e quindi le regole delle porte in ingresso.
14. Nella pagina di convalida esaminare i dettagli della macchina virtuale.
15. Al termine della convalida, selezionare Crea per completare la creazione della macchina virtuale.

Assicurarsi di eseguire la versione più recente dell'interfaccia della riga di comando di Azure.

1. Accedere ad Azure usando az login.

   az login 
   

2. Creare una definizione di immagine con il TrustedLaunchSupported tipo di sicurezza.

   az sig image-definition create --resource-group MyResourceGroup --location eastus \ 
   --gallery-name MyGallery --gallery-image-definition MyImageDef \ 
   --publisher TrustedLaunchPublisher --offer TrustedLaunchOffer --sku TrustedLaunchSku \ 
   --os-type Linux --os-state Generalized \ 
   --hyper-v-generation V2 \ 
   --features SecurityType=TrustedLaunchSupported
   

3. Usare un disco rigido virtuale del sistema operativo per creare una versione dell'immagine. Assicurarsi che il disco rigido virtuale Linux sia stato generalizzato prima di caricarlo in un BLOB di account Archiviazione di Azure seguendo la procedura descritta in Preparare Linux per l'imaging in Azure.

   az sig image-version create --resource-group MyResourceGroup \
   --gallery-name MyGallery --gallery-image-definition MyImageDef \
   --gallery-image-version 1.0.0 \
   --os-vhd-storage-account /subscriptions/00000000-0000-0000-0000-00000000xxxx/resourceGroups/imageGroups/providers/Microsoft.Storage/storageAccounts/mystorageaccount \
   --os-vhd-uri https://mystorageaccount.blob.core.windows.net/container/path_to_vhd_file
   

4. Creare una macchina virtuale di avvio attendibile dalla versione precedente dell'immagine.

   adminUsername=linuxvm
   az vm create --resource-group MyResourceGroup \
       --name myTrustedLaunchVM \
       --image "/subscriptions/00000000-0000-0000-0000-00000000xxxx/resourceGroups/MyResourceGroup/providers/Microsoft.Compute/galleries/MyGallery/images/MyImageDef" \
       --size Standard_D2s_v5 \
       --security-type TrustedLaunch \
       --enable-secure-boot true \ 
       --enable-vtpm true \
       --admin-username $adminUsername \
       --generate-ssh-keys
   

1. Creare una definizione di immagine con il TrustedLaunchSupported tipo di sicurezza.

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "eastus"
   $publisherName = "TrustedlaunchPublisher"
   $offerName = "TrustedlaunchOffer"
   $skuName = "TrustedlaunchSku"
   $description = "My gallery"
   $SecurityType = @{Name='SecurityType';Value='TrustedLaunchSupported'}
   $features = @($SecurityType)
   New-AzGalleryImageDefinition -ResourceGroupName $rgName -GalleryName $galleryName -Name $galleryImageDefinitionName -Location $location -Publisher $publisherName -Offer $offerName -Sku $skuName -HyperVGeneration "V2" -OsState "Generalized" -OsType "Windows" -Description $description -Feature $features
   

2. Per creare una versione dell'immagine, è possibile usare una versione dell'immagine della raccolta Gen2 esistente, generalizzata durante la creazione.

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "eastus"
   $galleryImageVersionName = "1.0.0"
   $sourceImageId = "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myVMRG/providers/Microsoft.Compute/galleries/MyGallery/images/Gen2VMImageDef/versions/0.0.1"
   New-AzGalleryImageVersion -ResourceGroupName $rgName -GalleryName $galleryName -GalleryImageDefinitionName $galleryImageDefinitionName -Name $galleryImageVersionName -Location $location -SourceImageId $sourceImageId
   

3. Creare una macchina virtuale di avvio attendibile dalla versione precedente dell'immagine.

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "eastus"
   $vmName = "myVMfromImage"
   $vmSize = "Standard_D2s_v5"
   $imageDefinition = Get-AzGalleryImageDefinition `
      -GalleryName $galleryName `
      -ResourceGroupName $rgName `
      -Name $galleryImageDefinitionName
   $cred = Get-Credential `
      -Message "Enter a username and password for the virtual machine"
   # Network pieces
   $subnetConfig = New-AzVirtualNetworkSubnetConfig `
      -Name mySubnet `
      -AddressPrefix 192.168.1.0/24
   $vnet = New-AzVirtualNetwork `
      -ResourceGroupName $rgName `
      -Location $location `
      -Name MYvNET `
      -AddressPrefix 192.168.0.0/16 `
      -Subnet $subnetConfig
   $pip = New-AzPublicIpAddress `
      -ResourceGroupName $rgName `
      -Location $location `
     -Name "mypublicdns$(Get-Random)" `
     -AllocationMethod Static `
     -IdleTimeoutInMinutes 4
   $nsgRuleRDP = New-AzNetworkSecurityRuleConfig `
      -Name myNetworkSecurityGroupRuleRDP  `
      -Protocol Tcp `
     -Direction Inbound `
      -Priority 1000 `
      -SourceAddressPrefix * `
      -SourcePortRange * `
      -DestinationAddressPrefix * `
      -DestinationPortRange 3389 `
      -Access Deny
   $nsg = New-AzNetworkSecurityGroup `
      -ResourceGroupName $rgName `
      -Location $location `
     -Name myNetworkSecurityGroup `
     -SecurityRules $nsgRuleRDP
   $nic = New-AzNetworkInterface `
      -Name myNic `
      -ResourceGroupName $rgName `
      -Location $location `
     -SubnetId $vnet.Subnets[0].Id `
     -PublicIpAddressId $pip.Id `
     -NetworkSecurityGroupId $nsg.Id
   $vm = New-AzVMConfig -vmName $vmName -vmSize $vmSize | `
         Set-AzVMOperatingSystem -Windows -ComputerName $vmName -Credential $cred | `
         Set-AzVMSourceImage -Id $imageDefinition.Id | `
         Add-AzVMNetworkInterface -Id $nic.Id
   $vm = Set-AzVMSecurityProfile -SecurityType "TrustedLaunch" -VM $vm
   $vm = Set-AzVmUefi -VM $vm `
      -EnableVtpm $true `
      -EnableSecureBoot $true 
   New-AzVM `
      -ResourceGroupName $rgName `
      -Location $location `
      -VM $vm
   

1. Accedere al portale di Azure.
2. Per creare un'immagine della raccolta di calcolo di Azure da una macchina virtuale, aprire una macchina virtuale di avvio attendibile esistente e selezionare Acquisisci.
3. Nella pagina Crea un'immagine consentire la condivisione dell'immagine alla raccolta come versione dell'immagine della macchina virtuale. La creazione di immagini gestite non è supportata per le macchine virtuali di avvio attendibile.
4. Creare una nuova raccolta di calcolo di Azure di destinazione o selezionare una raccolta esistente.
5. Selezionare lo stato del sistema operativo come Generalizzato o Specializzato. Se si vuole creare un'immagine generalizzata, assicurarsi di generalizzare la macchina virtuale per rimuovere le informazioni specifiche del computer prima di selezionare questa opzione. Se la crittografia basata su Bitlocker è abilitata nella macchina virtuale Windows di avvio attendibile, potrebbe non essere possibile generalizzare lo stesso.
6. Creare una nuova definizione di immagine specificando un nome, un editore, un'offerta e i dettagli dello SKU. Il tipo di sicurezza per la definizione dell'immagine deve essere già impostato su Avvio attendibile.
7. Specificare un numero di versione per la versione dell'immagine.
8. Modificare le opzioni di replica, se necessario.
9. Nella parte inferiore della pagina Crea un'immagine selezionare Rivedi e crea. Dopo la convalida viene visualizzato come superato, selezionare Crea.
10. Dopo aver creato la versione dell'immagine, passare direttamente alla versione dell'immagine. In alternativa, è possibile passare alla versione dell'immagine richiesta tramite la definizione dell'immagine.
11. Nella pagina versione dell'immagine della macchina virtuale selezionare + Crea macchina virtuale per passare alla pagina Crea macchina virtuale.
12. Nella pagina Crea una macchina virtuale, in Gruppo di risorse selezionare Crea nuovo. Immettere un nome per il gruppo di risorse o selezionare un gruppo di risorse esistente dall'elenco a discesa.
13. In Dettagli istanza immettere un nome per il nome della macchina virtuale e scegliere un'area che supporti Avvio attendibile.
14. L'immagine e il tipo di sicurezza sono già popolati in base alla versione dell'immagine selezionata. Le caselle di controllo Avvio protetto e vTPM sono abilitate per impostazione predefinita.
15. Immettere le informazioni sull'account amministratore e quindi le regole delle porte in ingresso.
16. Nella parte inferiore della pagina selezionare Rivedi e crea.
17. Nella pagina di convalida esaminare i dettagli della macchina virtuale.
18. Al termine della convalida, selezionare Crea per completare la creazione della macchina virtuale.

Se si vuole usare un disco gestito o uno snapshot del disco gestito come origine della versione dell'immagine (anziché una macchina virtuale di avvio attendibile), seguire questa procedura.

1. Accedere al portale di Azure.
2. Cercare Versioni immagine macchina virtuale e selezionare Crea.
3. Specificare la sottoscrizione, il gruppo di risorse, l'area e il numero di versione dell'immagine.
4. Selezionare l'origine come Dischi e/o Snapshot.
5. Selezionare il disco del sistema operativo come disco gestito o uno snapshot del disco gestito dall'elenco a discesa.
6. Selezionare una raccolta di calcolo di Azure di destinazione per creare e condividere l'immagine. Se non esiste alcuna raccolta, creare una nuova raccolta.
7. Selezionare lo stato del sistema operativo come Generalizzato o Specializzato. Se si vuole creare un'immagine generalizzata, assicurarsi di generalizzare il disco o lo snapshot per rimuovere informazioni specifiche del computer.
8. Per Definizione immagine macchina virtuale di destinazione selezionare Crea nuovo. Nella finestra visualizzata selezionare un nome di definizione dell'immagine e assicurarsi che Tipo di sicurezza sia impostato su Avvio attendibile. Specificare le informazioni sull'editore, l'offerta e lo SKU e selezionare OK.
9. La scheda Replica può essere usata per impostare il numero di repliche e le aree di destinazione per la replica di immagini, se necessario.
10. La scheda Crittografia può essere usata anche per fornire informazioni correlate alla crittografia SSE, se necessario.
11. Selezionare Crea nella scheda Rivedi e crea per creare l'immagine.
12. Dopo aver creato correttamente la versione dell'immagine, selezionare + Crea macchina virtuale per passare alla pagina Crea macchina virtuale.
13. Seguire i passaggi da 12 a 18 come indicato in precedenza per creare una macchina virtuale di avvio attendibile usando questa versione dell'immagine.

Assicurarsi di eseguire la versione più recente dell'interfaccia della riga di comando di Azure.

1. Accedere ad Azure usando az login.

   az login 
   

2. Creare una definizione di immagine con il TrustedLaunch tipo di sicurezza.

   az sig image-definition create --resource-group MyResourceGroup --location eastus \ 
   --gallery-name MyGallery --gallery-image-definition MyImageDef \ 
   --publisher TrustedLaunchPublisher --offer TrustedLaunchOffer --sku TrustedLaunchSku \ 
   --os-type Linux --os-state Generalized \ 
   --hyper-v-generation V2 \ 
   --features SecurityType=TrustedLaunch
   

3. Per creare una versione dell'immagine, è possibile acquisire una macchina virtuale di avvio attendibile basata su Linux esistente. Generalizzare la macchina virtuale di avvio attendibile prima di creare la versione dell'immagine.

   az sig image-version create --resource-group MyResourceGroup \
   --gallery-name MyGallery --gallery-image-definition MyImageDef \
   --gallery-image-version 1.0.0 \
   --managed-image /subscriptions/00000000-0000-0000-0000-00000000xxxx/resourceGroups/MyResourceGroup/providers/Microsoft.Compute/virtualMachines/myVM
   

   Se è necessario usare un disco gestito o uno snapshot del disco gestito come origine dell'immagine per la versione dell'immagine, sostituire --managed-image nel comando precedente con --os-snapshot e specificare il disco o il nome della risorsa snapshot.

4. Creare una macchina virtuale di avvio attendibile dalla versione precedente dell'immagine.

   adminUsername=linuxvm
   az vm create --resource-group MyResourceGroup \
       --name myTrustedLaunchVM \
       --image "/subscriptions/00000000-0000-0000-0000-00000000xxxx/resourceGroups/MyResourceGroup/providers/Microsoft.Compute/galleries/MyGallery/images/MyImageDef" \
       --size Standard_D2s_v5 \
       --security-type TrustedLaunch \
       --enable-secure-boot true \ 
       --enable-vtpm true \
       --admin-username $adminUsername \
       --generate-ssh-keys
   

1. Creare una definizione di immagine con il TrustedLaunch tipo di sicurezza.

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "eastus"
   $publisherName = "TrustedlaunchPublisher"
   $offerName = "TrustedlaunchOffer"
   $skuName = "TrustedlaunchSku"
   $description = "My gallery"
   $SecurityType = @{Name='SecurityType';Value='TrustedLaunch'}
   $features = @($SecurityType)
   New-AzGalleryImageDefinition -ResourceGroupName $rgName -GalleryName $galleryName -Name $galleryImageDefinitionName -Location $location -Publisher $publisherName -Offer $offerName -Sku $skuName -HyperVGeneration "V2" -OsState "Generalized" -OsType "Windows" -Description $description -Feature $features
   

2. Per creare una versione dell'immagine, è possibile acquisire una macchina virtuale di avvio attendibile basata su Windows esistente. Generalizzare la macchina virtuale di avvio attendibile prima di creare la versione dell'immagine.

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "eastus"
   $galleryImageVersionName = "1.0.0"
   $sourceImageId = "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myVMRG/providers/Microsoft.Compute/virtualMachines/myVM"
   New-AzGalleryImageVersion -ResourceGroupName $rgName -GalleryName $galleryName -GalleryImageDefinitionName $galleryImageDefinitionName -Name $galleryImageVersionName -Location $location -SourceImageId $sourceImageId
   

3. Creare una macchina virtuale di avvio attendibile dalla versione precedente dell'immagine.

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "eastus"
   $vmName = "myVMfromImage"
   $vmSize = "Standard_D2s_v5"
   $imageDefinition = Get-AzGalleryImageDefinition `
      -GalleryName $galleryName `
      -ResourceGroupName $rgName `
      -Name $galleryImageDefinitionName
   $cred = Get-Credential `
      -Message "Enter a username and password for the virtual machine"
   # Network pieces
   $subnetConfig = New-AzVirtualNetworkSubnetConfig `
      -Name mySubnet `
      -AddressPrefix 192.168.1.0/24
   $vnet = New-AzVirtualNetwork `
      -ResourceGroupName $rgName `
      -Location $location `
      -Name MYvNET `
      -AddressPrefix 192.168.0.0/16 `
      -Subnet $subnetConfig
   $pip = New-AzPublicIpAddress `
      -ResourceGroupName $rgName `
      -Location $location `
     -Name "mypublicdns$(Get-Random)" `
     -AllocationMethod Static `
     -IdleTimeoutInMinutes 4
   $nsgRuleRDP = New-AzNetworkSecurityRuleConfig `
      -Name myNetworkSecurityGroupRuleRDP  `
      -Protocol Tcp `
     -Direction Inbound `
      -Priority 1000 `
      -SourceAddressPrefix * `
      -SourcePortRange * `
      -DestinationAddressPrefix * `
      -DestinationPortRange 3389 `
      -Access Deny
   $nsg = New-AzNetworkSecurityGroup `
      -ResourceGroupName $rgName `
      -Location $location `
     -Name myNetworkSecurityGroup `
     -SecurityRules $nsgRuleRDP
   $nic = New-AzNetworkInterface `
      -Name myNic `
      -ResourceGroupName $rgName `
      -Location $location `
     -SubnetId $vnet.Subnets[0].Id `
     -PublicIpAddressId $pip.Id `
     -NetworkSecurityGroupId $nsg.Id
   $vm = New-AzVMConfig -vmName $vmName -vmSize $vmSize | `
         Set-AzVMOperatingSystem -Windows -ComputerName $vmName -Credential $cred | `
         Set-AzVMSourceImage -Id $imageDefinition.Id | `
         Add-AzVMNetworkInterface -Id $nic.Id
   $vm = Set-AzVMSecurityProfile -SecurityType "TrustedLaunch" -VM $vm
   $vm = Set-AzVmUefi -VM $vm `
      -EnableVtpm $true `
      -EnableSecureBoot $true 
   New-AzVM `
      -ResourceGroupName $rgName `
      -Location $location `
      -VM $vm