トラステッド起動に関する FAQ

[アーティクル]
10/28/2024

注意事項

この記事では、間もなくサービス終了 (EOL) 状態になる Linux ディストリビューションである CentOS について説明します。適宜、使用と計画を検討してください。詳細については、「CentOS EOL のガイダンス」を参照してください。

Azure トラステッド起動機能のユースケース、その他の Azure 機能のサポート、一般的なエラーの修正に関してよく寄せられる質問 (FAQ)。

ユースケース

このセクションでは、トラステッド起動のユースケースに関する質問にお答えします。

なぜトラステッド起動を使用する必要があるのですか? トラステッド起動は何に対する保護を実行しますか?

トラステッド起動は、ブートキット、ルートキット、カーネルレベルのマルウェアに対する保護を実行します。これらの高度な種類のマルウェアはカーネルモードで動作し、ユーザーからは見えない状態のままです。次に例を示します。

ファームウェアルートキット: このキットは仮想マシン (VM) の BIOS のファームウェアを上書きするため、オペレーティングシステム (OS) より前にルートキットが起動できるようになります。
ブートキット: このキットは OS のブートローダーを置き換えるため、VM が OS より前にブートキットを読み込みます。
カーネルルートキット: このキットは OS カーネルの一部を置き換えるため、OS の読み込み時にルートキットが自動的に開始できるようになります。
ドライバールートキット: このキットは、VM のコンポーネントと通信するために OS が使用する信頼されたドライバーの 1 つになりすまします。

セキュアブートとメジャーブートの違いは何ですか?

セキュアブートチェーンでは、ブートプロセスの各ステップが、後続の手順の暗号化署名を確認します。たとえば、BIOS によってローダーの署名が確認され、ローダーによって読み込まれるすべてのカーネルオブジェクトの署名が確認されます。いずれかのオブジェクトが侵害されている場合は、署名が一致せず、VM は起動しません。詳細については、「セキュアブート」を参照してください。

トラステッド起動は、Hyper-V シールドされた VM とどのように違いますか?

Hyper-V シールドされた VM は、現在、Hyper-V でのみ使用できます。 Hyper-V シールドされた VM は通常、保護されたファブリックとともに展開されます。保護されたファブリックは、ホストガーディアンサービス (HGS)、1 つ以上の保護されたホスト、シールドされた VM のセットで構成されます。 Hyper-V シールドされた VM は、VM のデータと状態をさまざまなアクターから保護する必要があるファブリックで使われます。これらのアクターは、ファブリック管理者と、Hyper-V ホストで実行される可能性がある信頼されていないソフトウェアの両方です。

一方、トラステッド起動は、HGS の他の展開と管理を追加せずに、スタンドアロン VM または Virtual Machine Scale Sets として Azure に展開できます。トラステッド起動のすべての機能は、展開コードの簡単な変更、または Azure portal のチェックボックスで有効にできます。

VM ゲスト状態 (VMGS) とは

VM ゲスト状態 (VMGS) は、トラステッド起動 VM に固有です。これは Azure によって管理される BLOB であり、Unified Extensible Firmware Interface (UEFI) のセキュアブート署名データベースと他のセキュリティ情報が含まれています。 VMGS BLOB のライフサイクルは、OS ディスクのライフサイクルに関連付けられています。

VM の新しい展開でトラステッド起動を無効にできますか?

トラステッド起動 VM は、基本的なコンピューティングセキュリティを提供します。展開に次についての依存関係がある場合を除き、新しい VM または仮想マシンスケールセットの展開で無効にしないことをお勧めします。

Standard 値の securityType パラメーターを使用し、Azure PowerShell (v10.3.0 以上) と Azure CLI (v2.53.0 以上) を使用することで、新しい VM または仮想マシンスケールセットの展開でトラステッド起動を無効にできます。

Note

カスタムの署名されていないカーネルまたはドライバーを使用している場合を除き、セキュアブートを無効にすることはお勧めしません。

セキュアブートを無効にする必要がある場合は、VM の構成で、[セキュアブートを有効にする] オプションを解除します。

CLI
PowerShell

az vm create -n MyVm -g MyResourceGroup --image Ubuntu2204 `
    --security-type 'Standard'

$adminUsername = <USER NAME>
$adminPassword = <PASSWORD> | ConvertTo-SecureString -AsPlainText -Force
$vmCred = New-Object System.Management.Automation.PSCredential($adminUsername, $adminPassword)
New-AzVM -Name MyVm -Credential $vmCred -SecurityType Standard

サポートされている機能とデプロイ

このセクションでは、トラステッド起動でサポートされる機能と展開について説明します。

Azure Compute Gallery はトラステッド起動でサポートされますか?

トラステッド起動で、Azure Compute Gallery (旧称 Shared Image Gallery) を使用してイメージを作成および共有できるようになりました。イメージのソースには以下を指定できます。

一般化または特殊化された既存の Azure VM。
既存のマネージドディスクまたはスナップショット。
VHD または別のギャラリーのイメージバージョン。

Azure Compute Gallery を使用したトラステッド起動 VM の展開の詳細については、「トラステッド起動の VM をデプロイする」を参照してください。

Azure Backup はトラステッド起動でサポートされますか?

トラステッド起動は、Azure Backup をサポートするようになりました。詳細については、「Azure VM バックアップのサポートマトリックス」を参照してください。

トラステッド起動を有効にした後も Azure Backup は引き続き機能しますか?

拡張ポリシーで構成されたバックアップは、トラステッド起動を有効にした後も引き続き VM のバックアップを作成します。

エフェメラル OS ディスクはトラステッド起動でサポートされますか?

トラステッド起動はエフェメラル OS ディスクをサポートします。詳細については、「エフェメラル OS ディスクでのトラステッド起動」を参照してください。

Note

トラステッド起動 VM にエフェメラルディスクを使用すると、VM の作成後に仮想トラステッドプラットフォームモジュール (vTPM) によって生成または封印されたキーとシークレットが、再イメージ化のような操作や、サービス復旧などのプラットフォームイベントをまたいで永続化されない可能性があります。

トラステッド起動で使用できるセキュリティ機能は、データディスクにも適用されますか?

トラステッド起動は、仮想マシンでホストされているオペレーティングシステムのブート整合性を証明することで、基本的なセキュリティを提供します。トラステッド起動セキュリティ機能は、OS ディスクと OS ディスクの実行にのみ適用でき、データディスクまたはデータディスクに格納されている OS バイナリには適用されません。詳細については、トラステッド起動の概要を参照してください

トラステッド起動が有効になる前に作成されたバックアップを使用して VM を復元できますか?

既存の第 2 世代 VM をトラステッド起動にアップグレードする前に作成されたバックアップを使用して、VM 全体や個々のデータディスクを復元できます。 OS ディスクのみの復元や置換に使うことはできません。

トラステッド起動をサポートする VM サイズは、どうすれば確認できますか?

トラステッド起動をサポートする第 2 世代 VM のサイズの一覧を参照してください。

第 2 世代 VM のサイズがトラステッド起動をサポートしないかどうかを確認するには、次のコマンドを使います。

CLI
PowerShell

subscription="<yourSubID>"
region="westus"
vmSize="Standard_NC12s_v3"

az vm list-skus --resource-type virtualMachines  --location $region --query "[?name=='$vmSize'].capabilities" --subscription $subscription

$region = "southeastasia"
$vmSize = "Standard_M64"
(Get-AzComputeResourceSku | where {$_.Locations.Contains($region) -and ($_.Name -eq $vmSize) })[0].Capabilities

応答は次のような形式になります。 TrustedLaunchDisabled True を含む出力は、その第 2 世代 VM のサイズがトラステッド起動をサポートしないことを示します。第 2 世代 VM のサイズで、出力に TrustedLaunchDisabled が含まれていない場合、その VM のサイズではトラステッド起動がサポートされません。

Name                                         Value
----                                         -----
MaxResourceVolumeMB                          8192000
OSVhdSizeMB                                  1047552
vCPUs                                        64
MemoryPreservingMaintenanceSupported         False
HyperVGenerations                            V1,V2
MemoryGB                                     1000
MaxDataDiskCount                             64
CpuArchitectureType                          x64
MaxWriteAcceleratorDisksAllowed              8
LowPriorityCapable                           True
PremiumIO                                    True
VMDeploymentTypes                            IaaS
vCPUsAvailable                               64
ACUs                                         160
vCPUsPerCore                                 2
CombinedTempDiskAndCachedIOPS                80000
CombinedTempDiskAndCachedReadBytesPerSecond  838860800
CombinedTempDiskAndCachedWriteBytesPerSecond 838860800
CachedDiskBytes                              1318554959872
UncachedDiskIOPS                             40000
UncachedDiskBytesPerSecond                   1048576000
EphemeralOSDiskSupported                     True
EncryptionAtHostSupported                    True
CapacityReservationSupported                 False
TrustedLaunchDisabled                        True
AcceleratedNetworkingEnabled                 True
RdmaEnabled                                  False
MaxNetworkInterfaces                         8

OS イメージがトラステッド起動をサポートすることを確認するにはどうすればよいですか?

トラステッド起動でサポートされる OS バージョンの一覧を参照してください。

Marketplace OS イメージ

Azure Marketplace OS イメージがトラステッド起動をサポートするかどうかを確認するには、次のコマンドを使います。

CLI
PowerShell

az vm image show --urn "MicrosoftWindowsServer:WindowsServer:2022-datacenter-azure-edition:latest"

応答は次のような形式になります。出力で hyperVGeneration が v2 であり、SecurityType に TrustedLaunch が含まれている場合、第 2 世代 OS イメージはトラステッド起動をサポートします。

{
  "architecture": "x64",
  "automaticOsUpgradeProperties": {
    "automaticOsUpgradeSupported": false
  },
  "dataDiskImages": [],
  "disallowed": {
    "vmDiskType": "Unmanaged"
  },
  "extendedLocation": null,
  "features": [
    {
      "name": "SecurityType",
      "value": "TrustedLaunchAndConfidentialVmSupported"
    },
    {
      "name": "IsAcceleratedNetworkSupported",
      "value": "True"
    },
    {
      "name": "DiskControllerTypes",
      "value": "SCSI, NVMe"
    },
    {
      "name": "IsHibernateSupported",
      "value": "True"
    }
  ],
  "hyperVGeneration": "V2",
  "id": "/Subscriptions/00000000-0000-0000-0000-00000000000/Providers/Microsoft.Compute/Locations/westus/Publishers/MicrosoftWindowsServer/ArtifactTypes/VMImage/Offers/WindowsServer/Skus/2022-datacenter-azure-edition/Versions/20348.1906.230803",
  "imageDeprecationStatus": {
    "alternativeOption": null,
    "imageState": "Active",
    "scheduledDeprecationTime": null
  },
  "location": "westus",
  "name": "20348.1906.230803",
  "osDiskImage": {
    "operatingSystem": "Windows",
    "sizeInGb": 127
  },
  "plan": null,
  "tags": null
}

Get-AzVMImage -Skus 22_04-lts-gen2 -PublisherName Canonical -Offer 0001-com-ubuntu-server-jammy -Location westus3 -Version latest

このコマンドの出力は、Virtual machines - Get API で使用できます。応答は次のような形式になります。出力で hyperVGeneration が v2 であり、SecurityType に TrustedLaunch が含まれている場合、第 2 世代 OS イメージはトラステッド起動をサポートします。

{
    "properties": {
        "hyperVGeneration": "V2",
        "architecture": "x64",
        "replicaType": "Managed",
        "replicaCount": 10,
        "disallowed": {
            "vmDiskType": "Unmanaged"
        },
        "automaticOSUpgradeProperties": {
            "automaticOSUpgradeSupported": false
        },
        "imageDeprecationStatus": {
            "imageState": "Active"
        },
        "features": [
            {
                "name": "SecurityType",
                "value": "TrustedLaunchSupported"
            },
            {
                "name": "IsAcceleratedNetworkSupported",
                "value": "True"
            },
            {
                "name": "DiskControllerTypes",
                "value": "SCSI, NVMe"
            },
            {
                "name": "IsHibernateSupported",
                "value": "True"
            }
        ],
        "osDiskImage": {
            "operatingSystem": "Linux",
            "sizeInGb": 30
        },
        "dataDiskImages": []
    },
    "location": "WestUS3",
    "name": "22.04.202309080",
    "id": "/Subscriptions/00000000-0000-0000-0000-000000000000/Providers/Microsoft.Compute/Locations/WestUS3/Publishers/Canonical/ArtifactTypes/VMImage/Offers/0001-com-ubuntu-server-jammy/Skus/22_04-lts-gen2/Versions/22.04.202309080"
}

Azure Compute Gallery の OS イメージ

Azure Compute Gallery OS イメージがトラステッド起動をサポートするかどうかを確認するには、次のコマンドを使います。

CLI
PowerShell

az sig image-definition show `
    --gallery-image-definition myImageDefinition `
    --gallery-name myImageGallery `
    --resource-group myImageGalleryRg

{
  "architecture": "x64",
  "features": [
    {
      "name": "SecurityType",
      "value": "TrustedLaunchSupported"
    }
  ],
  "hyperVGeneration": "V2",
  "id": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myImageGalleryRg/providers/Microsoft.Compute/galleries/myImageGallery/images/myImageDefinition",
  "identifier": {
    "offer": "myImageDefinition",
    "publisher": "myImageDefinition",
    "sku": "myImageDefinition"
  },
  "location": "westus3",
  "name": "myImageDefinition",
  "osState": "Generalized",
  "osType": "Windows",
  "provisioningState": "Succeeded",
  "recommended": {
    "memory": {
      "max": 32,
      "min": 1
    },
    "vCPUs": {
      "max": 16,
      "min": 1
    }
  },
  "resourceGroup": "myImageGalleryRg",
  "tags": {},
  "type": "Microsoft.Compute/galleries/images"
}

Get-AzGalleryImageDefinition -ResourceGroupName myImageGalleryRg `
    -GalleryName myImageGallery -GalleryImageDefinitionName myImageDefinition

ResourceGroupName : myImageGalleryRg
OsType            : Windows
OsState           : Generalized
HyperVGeneration  : V2
Identifier        :
  Publisher       : myImageDefinition
  Offer           : myImageDefinition
  Sku             : myImageDefinition
Recommended       :
  VCPUs           :
    Min           : 1
    Max           : 16
  Memory          :
    Min           : 1
    Max           : 32
ProvisioningState : Succeeded
Id                : /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myImageGalleryRg/providers/Microsoft.Compute/galleries/myImageGallery/images/myImageDefinition
Name              : myImageDefinition
Type              : Microsoft.Compute/galleries/images
Location          : westus3
Tags              : {}
Features[0]       :
  Name            : SecurityType
  Value           : TrustedLaunchSupported
Architecture      : x64

外部通信ドライバーはトラステッド起動 VM とどのように連携しますか?

COM ポートを追加するには、セキュアブートを無効にする必要があります。トラステッド起動 VM では COM ポートが既定で無効になっています。

問題のトラブルシューティング

このセクションでは、特定の状態、ブートの種類、および一般的なブートの問題に関する質問にお答えします。

トラステッド起動 VM に展開エラーが発生した場合はどうすればよいですか?

このセクションでは、トラステッド起動の展開エラーを防ぐために適切なアクションを実行する方法について詳しく説明します。

Virtual machine <vm name> failed to create from the selected snapshot because the virtual Trusted Platform Module (vTPM) state is locked.
To proceed with the VM creation, please select a different snapshot without a locked vTPM state.
For more assistance, please refer to “Troubleshooting locked vTPM state” in FAQ page at https://aka.ms/TrustedLaunch-FAQ.

この展開エラーは、指定されたスナップショットまたは復元ポイントが、次の理由によりアクセス不能であるか使用不可である場合に発生します。

仮想マシンのゲスト状態 (VMGS) が破損になっている
vTPM がロックされた状態である
1 つ以上の重要な vTPM インデックスが無効な状態である。

上記は、仮想マシンで実行中のユーザーまたはワークロードが vTPM にロックを設定するか、重要な vTPM インデックスを変更して、vTPM が無効な状態のままになった場合に発生する可能性があります。

同じスナップショット/復元ポイントを使用して再試行すると、同じエラーが発生します。

それを解決するには、次のようにします。

スナップショットまたは復元ポイントの生成元のトラステッド起動 VM で、vTPM エラーを修正する必要があります。
1. 仮想マシン上のワークロードによって vTPM 状態が変更された場合は、同じワークロードを使用してエラー状態を確認し、vTPM を非エラー状態にする必要があります。
2. TPM ツールを使用して vTPM 状態を変更した場合は、同じツールを使用してエラー状態を確認し、vTPM を非エラー状態にする必要があります。

スナップショットまたは復元ポイントからこれらのエラーがなくなったら、これを使用して新しいトラステッド起動 VM を作成できます。

トラステッド起動 VM が正しく起動しないのはなぜですか?

署名されていないコンポーネントが UEFI (ゲストファームウェア)、ブートローダー、OS、またはブートドライバーから検出された場合、トラステッド起動 VM は起動しません。ブートプロセスの間に、署名されていないか、信頼されていないブートコンポーネントが検出された場合、トラステッド起動 VM のセキュアブートの設定は起動に失敗し、セキュアブートエラーとして報告されます。

セキュアブートからサードパーティ製ドライバーへのトラステッド起動パイプラインを示すスクリーンショット。

Note

Azure Marketplace イメージから直接作成されたトラステッド起動 VM では、セキュアブートエラーは発生しないはずです。 Azure Marketplace の元のイメージソースを含む Azure Compute Gallery イメージと、トラステッド起動 VM から作成されたスナップショットでも、これらのエラーは発生しないはずです。

Azure portal でブートなしのシナリオを確認するにはどうすればよいですか?

セキュアブートエラーによって VM が使用できなくなったとき、"ブートしない" とは、信頼されている機関によって署名された OS コンポーネントが VM にあり、それがトラステッド起動 VM の起動をブロックしていることを意味します。 VM の展開時に、セキュアブートで検証エラーがあることを示す情報が、Azure portal 内の Resource Health から表示される場合があります。

VM の構成ページから Resource Health にアクセスするには、[ヘルプ] パネルの [Resource Health] に移動します。

ブートしない原因がセキュアブートエラーであったことを確認した場合:

使っているイメージは、信頼されていないブートコンポーネントを 1 つ以上持っている可能性があり、かつ非推奨パスに含まれている古いバージョンです。古くなったイメージを修正するには、サポートされている新しいイメージバージョンに更新します。
使っているイメージは、Marketplace ソースの外部でビルドされているか、ブートコンポーネントが変更されて、署名されていないか、信頼されていないブートコンポーネントを含んでいる可能性があります。イメージに署名されていないか、信頼されていないブートコンポーネントがあるかどうかを確認するには、セクション「セキュアブートエラーの確認」を参照してください。
前の 2 つの状況があてはまらない場合は、VM がマルウェア (ブートキットやルートキット) に感染している可能性があります。 VM を削除し、インストールされているすべてのソフトウェアを評価しながら、同じソースイメージから新しい VM を再作成することを検討してください。

トラステッド起動 VM のメモリが 50 MB 少なく表示されるのはなぜですか?

トラステッド起動では、一般的に "paravisor" と呼ばれる実行環境が作成され、VM 内で実行されます。通常、約 50 MB のメモリがパラバイザによって使用され、ゲストオペレーティングシステム内で "予約済み" と表示されます。

セキュアブートエラーの確認

このセクションは、セキュアブートエラーの確認に役立ちます。

Linux Virtual Machines

Azure Linux VM 内でのセキュアブートエラーの原因であるブートコンポーネントを確認するために、Linux セキュリティパッケージの SBInfo ツールを使用できます。

セキュアブートを無効にします。
Azure Linux トラステッド起動 VM に接続します。
VM で実行されているディストリビューション用の SBInfo ツールをインストールします。これは Linux セキュリティパッケージ内にあります。

次のコマンドは、Ubuntu、Debian、その他の Debian ベースのディストリビューションに該当します。

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ trusty main" | sudo tee -a /etc/apt/sources.list.d/azure.list

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ xenial main" | sudo tee -a /etc/apt/sources.list.d/azure.list

echo "deb [arch=amd64] http://packages.microsoft.com/repos/azurecore/ bionic main" | sudo tee -a /etc/apt/sources.list.d/azure.list

wget https://packages.microsoft.com/keys/microsoft.asc

wget https://packages.microsoft.com/keys/msopentech.asc

sudo apt-key add microsoft.asc && sudo apt-key add msopentech.asc

sudo apt update && sudo apt install azure-security

次のコマンドは、RHEL、CentOS、その他の Red Hat ベースのディストリビューションに該当します。

echo "[packages-microsoft-com-azurecore]" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "name=packages-microsoft-com-azurecore" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "baseurl=https://packages.microsoft.com/yumrepos/azurecore/" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "enabled=1" | sudo tee -a /etc/yum.repos.d/azurecore.repo

echo "gpgcheck=0" | sudo tee -a /etc/yum.repos.d/azurecore.repo

sudo yum install azure-security

次のコマンドは、SLES、openSUSE、その他の SUSE ベースのディストリビューションに該当します。

sudo zypper ar -t rpm-md -n "packages-microsoft-com-azurecore" --no-gpgcheck https://packages.microsoft.com/yumrepos/azurecore/ azurecore

sudo zypper install azure-security

お使いのディストリビューション用の Linux セキュリティパッケージをインストールしたら、sbinfo コマンドを実行して、署名されていないモジュール、カーネル、ブートローダーをすべて表示することで、セキュアブートエラーの原因であるブートコンポーネントを確認します。

sudo sbinfo -u -m -k -b

SBInfo 診断ツールの詳細を確認するために、sudo sbinfo -help を実行できます。

ブート整合性監視エラーが発生するのはなぜですか?

Azure VM のトラステッド起動は、高度な脅威についての監視を受けます。そのような脅威が検出されると、アラートがトリガーされます。アラートが使用できるのは、Microsoft Defender for Cloud の拡張セキュリティ機能が有効になっている場合のみです。

Microsoft Defender for Cloud によって構成証明が定期的に実行されます。構成証明が失敗した場合、重大度が中程度のアラートがトリガーされます。トラステッド起動の構成証明は、次の理由により失敗する可能性があります。

構成証明の対象の情報 (トラステッドコンピューティングベース (TCB) のログを含む) が、信頼されたベースライン (セキュアブートが有効になっている場合など) から逸脱している。逸脱の存在は、信頼されていないモジュールが読み込まれ、OS が侵害されている可能性があることを示します。
構成証明クォートが、構成証明対象の VM の vTPM からのものであることを確認できなかった。この検証エラーは、マルウェアが存在し、TPM へのトラフィックを傍受している可能性があることを示します。
VM 上の構成証明拡張機能が応答していない。拡張機能の応答停止は、マルウェアまたは OS 管理者によるサービス拒否攻撃を示している可能性があります。

証明書

このセクションでは、証明書に関する情報を提供します。

トラステッド起動 VM を使って信頼のルートを確立するには、どうすればよいですか?

仮想 TPM AK パブリック証明書を使うと、証明書チェーン全体 (ルート証明書と中間証明書) に関する情報を表示でき、証明書とルートチェーンの信頼を検証するのに役立ちます。トラステッド起動について最高のセキュリティ態勢を維持し続けられるように、インスタンスのプロパティに関する情報が提供されるため、チェーン全体をさかのぼることができます。

ダウンロード手順

.p7b (すべての証明機関) と .cer (中間 CA) で構成されるパッケージ証明書で、署名と証明機関が明らかになります。関連する内容をコピーし、証明書ツールを使って、証明書の詳細を検査および評価します。

こちらを選択して、Azure 仮想 TPM ルート証明機関 2023 用の .crt をダウンロードしてください

Azure 仮想 TPM ルート証明機関 2023

こちらを選択すると、.p7b の内容が表示されます

グローバル仮想 TPM CA - 01:

こちらを選択すると、ルート証明書の .cert の内容が表示されます

Azure 仮想 TPM ルート証明機関 2023

こちらを選択すると、中間 CA の内容が表示されます

TPM 証明書の中間証明機関:

"Global Virtual TPM CA - XX" (intermediate CA) [.cer], 
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

Intermediate Certificate Authority

Thumbprint # db1f3959dcce7091f87c43446be1f4ab2d3415b7
Serial Number # 3300000002c0d17b4b8f979c35000000000002
Valid Until # November 3rd, 2025

Azure VM に組み込まれている Microsoft 所有の信頼できる証明書は何ですか?

Windows VM の場合、Windows CA 証明書は UEFI ファームウェアに組み込まれています。 Linux VM の場合、Microsoft UEFI CA 証明書は UEFI ファームウェアに組み込まれています。 Azure Linux VM の場合のみ、すべての Linux ディストリビューションの UEFI ファームウェアに追加の "Azure Services Linux Kmod PCA" 証明書も追加されています。 Linux Kmod PCA は、Microsoft 所有のカーネルモジュールに署名するために使用されます。

Linux Kmod PCA 証明書が追加され、カーネルモジュールをインストールする Azure Site Recovery (ASR) などの Microsoft ソリューションを使用する際のカスタマーエクスペリエンスがスムーズになります。 ASR カーネルモジュールは、信頼された "Azure Services Linux Kmod PCA" 証明書を使用して ASR カーネルモジュールが署名されているため、キーを指定するユーザーの操作なしで読み込まれます。

ダウンロード手順

.p7b と .cer で構成されるパッケージ証明書で、署名と証明機関が明らかになります。関連する内容をコピーし、証明書ツールを使って、証明書の詳細を検査および評価します。

Microsoft Windows CA 用の次の .crt をダウンロードする場合に選択します

Microsoft Windows CA

Microsoft UEFI CA 用の次の .crt をダウンロードする場合に選択します

Microsoft UEFI CA

こちらを選択すると、.p7b の内容が表示されます

Azure サービス Linux kmod PCA 証明書:

次の方法で共有

トラステッド起動に関する FAQ

ユースケース

なぜトラステッド起動を使用する必要があるのですか? トラステッド起動は何に対する保護を実行しますか?

セキュアブートとメジャーブートの違いは何ですか?

トラステッド起動は、Hyper-V シールドされた VM とどのように違いますか?

VM ゲスト状態 (VMGS) とは

VM の新しい展開でトラステッド起動を無効にできますか?

サポートされている機能とデプロイ

Azure Compute Gallery はトラステッド起動でサポートされますか?

Azure Backup はトラステッド起動でサポートされますか?

トラステッド起動を有効にした後も Azure Backup は引き続き機能しますか?

エフェメラル OS ディスクはトラステッド起動でサポートされますか?

トラステッド起動で使用できるセキュリティ機能は、データディスクにも適用されますか?

トラステッド起動が有効になる前に作成されたバックアップを使用して VM を復元できますか?

トラステッド起動をサポートする VM サイズは、どうすれば確認できますか?

OS イメージがトラステッド起動をサポートすることを確認するにはどうすればよいですか?

Marketplace OS イメージ

Azure Compute Gallery の OS イメージ

外部通信ドライバーはトラステッド起動 VM とどのように連携しますか?

問題のトラブルシューティング

トラステッド起動 VM に展開エラーが発生した場合はどうすればよいですか?

トラステッド起動 VM が正しく起動しないのはなぜですか?

Azure portal でブートなしのシナリオを確認するにはどうすればよいですか?

トラステッド起動 VM のメモリが 50 MB 少なく表示されるのはなぜですか?

セキュアブートエラーの確認

Linux Virtual Machines

ブート整合性監視エラーが発生するのはなぜですか?

証明書

トラステッド起動 VM を使って信頼のルートを確立するには、どうすればよいですか?

ダウンロード手順

Azure VM に組み込まれている Microsoft 所有の信頼できる証明書は何ですか?

ダウンロード手順

フィードバック

その他のリソース

次の方法で共有

トラステッド起動に関する FAQ

ユース ケース

なぜトラステッド起動を使用する必要があるのですか? トラステッド起動は何に対する保護を実行しますか?

セキュア ブートとメジャー ブートの違いは何ですか?

トラステッド起動は、Hyper-V シールドされた VM とどのように違いますか?

VM ゲスト状態 (VMGS) とは

VM の新しい展開でトラステッド起動を無効にできますか?

サポートされている機能とデプロイ

Azure Compute Gallery はトラステッド起動でサポートされますか?

Azure Backup はトラステッド起動でサポートされますか?

トラステッド起動を有効にした後も Azure Backup は引き続き機能しますか?

エフェメラル OS ディスクはトラステッド起動でサポートされますか?

トラステッド起動で使用できるセキュリティ機能は、データ ディスクにも適用されますか?

トラステッド起動が有効になる前に作成されたバックアップを使用して VM を復元できますか?

トラステッド起動をサポートする VM サイズは、どうすれば確認できますか?

OS イメージがトラステッド起動をサポートすることを確認するにはどうすればよいですか?

Marketplace OS イメージ

Azure Compute Gallery の OS イメージ

外部通信ドライバーはトラステッド起動 VM とどのように連携しますか?

問題のトラブルシューティング

トラステッド起動 VM に展開エラーが発生した場合はどうすればよいですか?

トラステッド起動 VM が正しく起動しないのはなぜですか?

Azure portal でブートなしのシナリオを確認するにはどうすればよいですか?

トラステッド起動 VM のメモリが 50 MB 少なく表示されるのはなぜですか?

セキュア ブートエラーの確認

Linux Virtual Machines

ブート整合性監視エラーが発生するのはなぜですか?

証明書

トラステッド起動 VM を使って信頼のルートを確立するには、どうすればよいですか?

ダウンロード手順

Azure VM に組み込まれている Microsoft 所有の信頼できる証明書は何ですか?

ダウンロード手順

フィードバック

その他のリソース

ユースケース

セキュアブートとメジャーブートの違いは何ですか?

トラステッド起動で使用できるセキュリティ機能は、データディスクにも適用されますか?

セキュアブートエラーの確認