[整合性の監視の概要] が開きます

[アーティクル]
10/15/2024

Azure トラステッド起動が仮想マシン (VM) に対する悪意のあるルートキット攻撃を防ぐのに役立つよう、Azure Attestation エンドポイントを介したゲスト構成証明を使って、ブートシーケンスの整合性を監視します。この構成証明は、プラットフォームの状態の有効性を示すために重要です。

トラステッド起動 VM で構成証明拡張機能をインストールできるように、セキュアブートと仮想トラステッドプラットフォームモジュール (vTPM) を有効にする必要があります。 Microsoft Defender for Cloud では、状態と、VM のブート整合性が正しく設定されていることを検証する Guest Attestation に基づいて、レポートが提供されます。 Microsoft Defender for Cloud の統合について詳しくは、トラステッド起動の Microsoft Defender for Cloud との統合に関する記事をご覧ください。

重要

Boot Integrity Monitoring - Guest Attestation 拡張機能で拡張機能の自動アップグレードが使用可能になりました。詳しくは、拡張機能の自動アップグレードに関する記事をご覧ください。

前提条件

アクティブな Azure サブスクリプションとトラステッド起動 VM が必要です。

整合性の監視を有効にする

整合性の監視を有効にするには、このセクションの手順に従って行います。

Azure Portal にサインインします。
リソース (仮想マシン) を選択します。
[設定] の下で [構成] を選択します。 [セキュリティの種類] ペインで、[整合性の監視] を選びます。
変更を保存します。

VM の [概要] ページで、整合性の監視のセキュリティの種類が [有効] になっている必要があります。

この操作により、Guest Attestation 拡張機能がインストールされ、[拡張機能とアプリケーション] タブの設定からそれを参照できます。

クイックスタートテンプレートを使って、トラステッド起動 VM に Guest Attestation 拡張機能をデプロイできます。

Windows

 {
    "name": "[concat(parameters('virtualMachineName1'),'/GuestAttestation')]",
    "type": "Microsoft.Compute/virtualMachines/extensions",
    "apiVersion": "2018-10-01",
    "location": "[parameters('location')]",
    "properties": {
        "publisher": "Microsoft.Azure.Security.WindowsAttestation",
        "type": "GuestAttestation",
        "typeHandlerVersion": "1.0",
        "autoUpgradeMinorVersion":true, 
        "enableAutomaticUpgrade":true,
        "settings": {
            "AttestationConfig": {
                "MaaSettings": {
                    "maaEndpoint": "",
                    "maaTenantName": "GuestAttestation"
                },
                "AscSettings": {
                    "ascReportingEndpoint": "",
                    "ascReportingFrequency": ""
                },
                "useCustomToken": "false",
                "disableAlerts": "false"
            }
        }
    },
    "dependsOn": [
        "[concat('Microsoft.Compute/virtualMachines/', parameters('virtualMachineName1'))]"
    ]
}

Linux

 {
    "name": "[concat(parameters('virtualMachineName1'),'/GuestAttestation')]",
    "type": "Microsoft.Compute/virtualMachines/extensions",
    "apiVersion": "2018-10-01",
    "location": "[parameters('location')]",
    "properties": {
        "publisher": "Microsoft.Azure.Security.LinuxAttestation",
        "type": "GuestAttestation",
        "typeHandlerVersion": "1.0",
        "autoUpgradeMinorVersion":true, 
        "enableAutomaticUpgrade":true,
        "settings": {
            "AttestationConfig": {
                "MaaSettings": {
                    "maaEndpoint": "",
                    "maaTenantName": "GuestAttestation"
                },
                "AscSettings": {
                    "ascReportingEndpoint": "",
                    "ascReportingFrequency": ""
                },
                "useCustomToken": "false",
                "disableAlerts": "false"
            }
        }
    },
    "dependsOn": [
        "[concat('Microsoft.Compute/virtualMachines/', parameters('virtualMachineName1'))]"
    ]
}

トラステッド起動 VM の初期デプロイを通じて、セキュアブートと vTPM の機能を持つトラステッド起動を備えた VM を作成します。 Guest Attestation 拡張機能をデプロイするには、--enable-integrity-monitoring を使います。 VM 所有者は、az vm create を使って VM の構成をカスタマイズできます。
既存の VM の場合は、整合性の監視がオンになるように更新して、ブート整合性の監視の設定を有効にできます。 --enable-integrity-monitoring を使用することができます。

Note

Guest Attestation 拡張機能が明示的に構成されている必要があります。

Guest Attestation 拡張機能のインストールに関するトラブルシューティングガイド

このセクションでは、構成証明のエラーと解決策について説明します。

現象

Azure Attestation 拡張機能は、お客様がネットワークセキュリティグループ (NSG) またはプロキシを設定している場合、正しく機能しません。 "Microsoft.Azure.Security.WindowsAttestation.GuestAttestation のプロビジョニングに失敗しました" のようなエラーが表示されます。

ソリューション

Azure では、Azure リソース間のネットワークトラフィックをフィルター処理するために、NSG が使われます。 NSG には、いくつかの種類の Azure リソースからの受信ネットワークトラフィックまたは送信ネットワークトラフィックを許可または拒否するセキュリティ規則が含まれます。 Azure Attestation エンドポイントは、Guest Attestation 拡張機能と通信できる必要があります。このエンドポイントがないと、トラステッド起動は、Microsoft Defender for Cloud が VM のブートシーケンスの整合性を監視できるようにするゲスト構成証明にアクセスできません。

サービスタグを使って NSG で Azure Attestation トラフィックのブロックを解除するには:

送信トラフィックを許可する VM に移動します。
左端のペインの [ネットワーク] で、[ネットワークの設定] を選びます。
次に、[ポート規則の作成]>[送信ポートの規則] を選びます。
Azure Attestation を許可するには、宛先をサービスタグにします。この設定により、IP アドレスの範囲は、Azure Attestation を許可する規則を更新して自動的に設定できます。 [宛先サービスタグ] を AzureAttestation に設定し、[アクション] を [許可] に設定します。

ファイアウォールは仮想ネットワークを保護し、これには複数のトラステッド起動 VM が含まれます。アプリケーションルールコレクションを使って、ファイアウォールで Azure Attestation のトラフィックのブロックを解除するには:

トラステッド起動 VM リソースからのトラフィックをブロックしている Azure Firewall インスタンスに移動します。
[設定] で [規則 (クラシック)] を選んで、ファイアウォールの内側にあるゲスト構成証明のブロック解除を始めます。
[ネットワークルールコレクション] で、[ネットワークルールコレクションの追加] を選びます。
ニーズに基づいて、名前、優先順位、ソースの種類、宛先ポートを構成します。 [サービスタグ名] を AzureAttestation に設定し、[アクション] を [許可] に設定します。

アプリケーションルールコレクションを使って、ファイアウォールで Azure Attestation のトラフィックのブロックを解除するには:

トラステッド起動 VM リソースからのトラフィックをブロックしている Azure Firewall インスタンスに移動します。

ルールコレクションには、完全修飾ドメイン名 (FQDN) を対象とするルールが少なくとも 1 つ含まれている必要があります。
アプリケーションルールコレクションを選んで、アプリケーションルールを追加します。
アプリケーションルールの名前と優先順位の値を選びます。ルールコレクションの [アクション] を [許可] に設定します。
名前、ソース、プロトコルを構成します。ソースの種類は 1 つの IP アドレスに対するものです。複数の IP アドレスがファイアウォールを通過するのを許可するには、IP グループを選びます。

リージョンの共有プロバイダー

Azure Attestation には、利用可能なリージョンごとに 1 つのリージョンの共有プロバイダーが用意されています。構成証明にリージョンの共有プロバイダーを使うか、またはカスタムポリシーを使って独自のプロバイダーを作成するかを、お客様が選択できます。 Microsoft Entra ユーザーは、共有プロバイダーにアクセスできます。それに関連付けられているポリシーは変更できません。

Note

ユーザーは、ソースの種類、サービス、宛先ポートの範囲、プロトコル、優先順位、名前を構成できます。

トラステッド起動とトラステッド起動 VM のデプロイについてさらに理解してください。

次の方法で共有

[整合性の監視の概要] が開きます

前提条件

整合性の監視を有効にする

Windows

Linux

Guest Attestation 拡張機能のインストールに関するトラブルシューティングガイド

現象

ソリューション

リージョンの共有プロバイダー

フィードバック

その他のリソース

次の方法で共有

[整合性の監視の概要] が開きます

前提条件

整合性の監視を有効にする

Guest Attestation 拡張機能のインストールに関するトラブルシューティング ガイド

現象

ソリューション

リージョンの共有プロバイダー

関連するコンテンツ

フィードバック

その他のリソース

Guest Attestation 拡張機能のインストールに関するトラブルシューティングガイド