トラステッド起動を有効にして仮想マシンをデプロイする

1. Azure Portal にサインインします。

2. 「仮想マシン」を検索します。

3. [サービス] で、 [仮想マシン] を選択します。

4. [仮想マシン] ページで、[追加] を選んでから、[仮想マシン] を選びます。

5. [プロジェクトの詳細] で、正しいサブスクリプションが選択されていることを確認します。

6. [リソース グループ] で、 [新規作成] を選択します。 リソース グループの名前を入力するか、ドロップダウン リストから既存のリソース グループを選びます。

7. [インスタンスの詳細] で、VM の名前を入力し、トラステッド起動がサポートされているリージョンを選びます。

8. [セキュリティの種類] で、[トラステッド起動の仮想マシン] を選びます。 オプション [セキュア ブート]、[vTPM]、[整合性の監視] が表示されたら、デプロイに適したオプションを選びます。 詳しくは、トラステッド起動が有効なセキュリティ機能に関する記事をご覧ください。

   

9. [イメージ] で、[[トラステッド起動] と互換性のある、推奨される Gen 2 イメージ] からイメージを選びます。 一覧については、トラステッド起動に関する記事をご覧ください。

   ヒント

   ドロップダウン リストに目的の Gen2 バージョンのイメージが表示されない場合は、[すべてのイメージを表示] を選びます。 次に、[セキュリティの種類] フィルターを [トラステッド起動] に変更します。

10. トラステッド起動がサポートされている VM サイズを選びます。 詳しくは、サポートされているサイズの一覧を参照してください。

11. [管理者アカウント] の情報を入力した後、 [受信ポートの規則] を指定します。

12. ページの下部にある [確認と作成] を選びます。

13. [仮想マシンの作成] ページでは、デプロイしようとしている VM の情報を確認できます。 検証結果が合格と表示されたら、[作成] を選びます。

VM がデプロイされるまでに数分かかります。

最新バージョンの Azure CLI を実行していることを確認します。

1. az login を使用して Azure にサインインします。

   az login 
   

2. トラステッド起動を使用して VM を作成します。

   az group create -n myresourceGroup -l eastus 
   
   az vm create \
      --resource-group myResourceGroup \
      --name myVM \
      --image Canonical:UbuntuServer:18_04-lts-gen2:latest \
      --admin-username azureuser \
      --generate-ssh-keys \
      --security-type TrustedLaunch \
      --enable-secure-boot true \ 
      --enable-vtpm true 
   

3. 既存の VM を対象に、セキュア ブートと vTPM の設定を有効または無効にすることができます。 セキュア ブートと vTPM の設定を使用して VM を更新すると、自動再起動がトリガーされます。

   az vm update \
      --resource-group myResourceGroup \
      --name myVM \
      --enable-secure-boot true \
      --enable-vtpm true 
   

ゲスト構成証明拡張機能を使用したブートの整合性の監視のインストールに関する詳細については、ブートの整合性に関する記事を参照してください。

トラステッド起動を使って VM をプロビジョニングするには、最初に Set-AzVmSecurityProfile コマンドレットを使って TrustedLaunch でそれを有効にする必要があります。 その後、Set-AzVmUefi コマンドレットを使って vTPM とセキュア ブートの構成を設定できます。 次のスニペットをクイック スタートとして使います。 この例の値は、忘れずにご自分の値に置き換えてください。

$rgName = "myResourceGroup"
$location = "West US"
$vmName = "myTrustedVM"
$vmSize = Standard_B2s
$publisher = "MicrosoftWindowsServer"
$offer = "WindowsServer"
$sku = "2019-datacenter-gensecond"
$version = latest
$cred = Get-Credential `
   -Message "Enter a username and password for the virtual machine."

$vm = New-AzVMConfig -VMName $vmName -VMSize $vmSize 

$vm = Set-AzVMOperatingSystem `
   -VM $vm -Windows `
   -ComputerName $vmName `
   -Credential $cred `
   -ProvisionVMAgent `
   -EnableAutoUpdate 

$vm = Add-AzVMNetworkInterface -VM $vm `
   -Id $NIC.Id 

$vm = Set-AzVMSourceImage -VM $vm `
   -PublisherName $publisher `
   -Offer $offer `
   -Skus $sku `
   -Version $version 

$vm = Set-AzVMOSDisk -VM $vm `
   -StorageAccountType "StandardSSD_LRS" `
   -CreateOption "FromImage" 

$vm = Set-AzVmSecurityProfile -VM $vm `
   -SecurityType "TrustedLaunch" 

$vm = Set-AzVmUefi -VM $vm `
   -EnableVtpm $true `
   -EnableSecureBoot $true 

New-AzVM -ResourceGroupName $rgName -Location $location -VM $vm 

クイックスタート テンプレートを使って、トラステッド起動 VM をデプロイできます。

Linux

Windows

1. Azure portal にサインインします。
2. 検索バーで "VM イメージ バージョン" を検索して選びます。
3. [VM イメージ バージョン] ページで、[作成] を選びます。
4. [VM イメージ バージョンの作成] ページの [基本] タブで、次のようにします。
   1. Azure サブスクリプションを選択します。
   2. 既存のリソース グループを選択するか、新しいリソース グループを作成します。
   3. Azure リージョンを選択します。
   4. イメージのバージョン番号を入力します。
   5. [ソース] で、[ストレージ BLOB (VHD)] または [マネージド イメージ]、または別の [VM イメージ バージョン] を選びます。
   6. [Storage Blobs (VHD)] (ストレージ BLOB (VHD)) を選んだ場合は、OS ディスク VHD (VM ゲスト状態なし) を入力します。 Gen2 VHD を使っていることを確認します。
   7. [マネージド イメージ] を選んだ場合は、Gen2 VM の既存のマネージド イメージを選びます。
   8. [VM イメージ バージョン] を選んだ場合は、Gen2 VM の既存のギャラリー イメージ バージョンを選びます。
   9. [ターゲット Azure コンピュート ギャラリー] で、イメージを共有するギャラリーを選ぶか作成します。
   10. [オペレーティング システムの状態] では、ユース ケースに応じて [一般化] または [特殊化] を選びます。 ソースとしてマネージド イメージを使っている場合は、常に [一般化] を選びます。 ストレージ BLOB (VHD) を使っていて、[一般化] を選びたい場合は、続ける前に、手順に従って Linux VHD を一般化するか、、Windows VHD を一般化します。 既存の VM イメージ バージョンを使っている場合は、ソース VM イメージの定義で使われているものに基づいて [一般] または [特殊化] を選びます。
   11. [ターゲット VM イメージ定義] で、[新規作成] を選びます。
   12. [VM イメージ定義の作成] ペインで、定義の名前を入力します。 [セキュリティの種類] が [トラステッド起動がサポートされています] に設定されていることを確認します。 発行元、オファー、SKU の情報を入力します。 [OK] をクリックします。
5. 必要に応じて、[レプリケーション] タブで、イメージ レプリケーションのレプリカ数とターゲット リージョンを入力します。
6. [暗号化] タブで、必要に応じて SSE 暗号化関連の情報を入力します。
7. [確認および作成] を選択します。
8. 構成を確認して問題がなければ、[作成] を選んでイメージの作成を完了します。
9. イメージ バージョンが作成されたら、[VM の作成] を選びます。
10. [仮想マシンの作成] ページの [リソース グループ] で、[新規作成] を選びます。 リソース グループの名前を入力するか、ドロップダウン リストから既存のリソース グループを選びます。
11. [インスタンスの詳細] で、VM の名前を入力し、トラステッド起動がサポートされているリージョンを選びます。
12. [セキュリティの種類] で、[トラステッド起動の仮想マシン] を選びます。 [セキュア ブート] と [vTPM] のチェックボックスは、既定で有効になっています。
13. [管理者アカウント] の情報を入力した後、 [受信ポートの規則] を指定します。
14. 検証ページで、VM の詳細を確認します。
15. 検証で問題がなければ、[作成] を選んで VM の作成を完了します。

最新バージョンの Azure CLI を実行していることを確認します。

1. az login を使用して Azure にサインインします。

   az login 
   

2. セキュリティの種類として TrustedLaunchSupported を使ってイメージの定義を作成します。

   az sig image-definition create --resource-group MyResourceGroup --location eastus \ 
   --gallery-name MyGallery --gallery-image-definition MyImageDef \ 
   --publisher TrustedLaunchPublisher --offer TrustedLaunchOffer --sku TrustedLaunchSku \ 
   --os-type Linux --os-state Generalized \ 
   --hyper-v-generation V2 \ 
   --features SecurityType=TrustedLaunchSupported
   

3. OS ディスク VHD を使用してイメージ バージョンを作成します。 Linux VHD を Azure ストレージ アカウントの BLOB にアップロードする前に、それが「Azure でのイメージングのために Linux を準備する」の手順を使って一般化されていることを確認します。

   az sig image-version create --resource-group MyResourceGroup \
   --gallery-name MyGallery --gallery-image-definition MyImageDef \
   --gallery-image-version 1.0.0 \
   --os-vhd-storage-account /subscriptions/00000000-0000-0000-0000-00000000xxxx/resourceGroups/imageGroups/providers/Microsoft.Storage/storageAccounts/mystorageaccount \
   --os-vhd-uri https://mystorageaccount.blob.core.windows.net/container/path_to_vhd_file
   

4. 前記のイメージ バージョンから、トラステッド起動 VM を作成します。

   adminUsername=linuxvm
   az vm create --resource-group MyResourceGroup \
       --name myTrustedLaunchVM \
       --image "/subscriptions/00000000-0000-0000-0000-00000000xxxx/resourceGroups/MyResourceGroup/providers/Microsoft.Compute/galleries/MyGallery/images/MyImageDef" \
       --size Standard_D2s_v5 \
       --security-type TrustedLaunch \
       --enable-secure-boot true \ 
       --enable-vtpm true \
       --admin-username $adminUsername \
       --generate-ssh-keys
   

1. セキュリティの種類として TrustedLaunchSupported を使ってイメージの定義を作成します。

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "eastus"
   $publisherName = "TrustedlaunchPublisher"
   $offerName = "TrustedlaunchOffer"
   $skuName = "TrustedlaunchSku"
   $description = "My gallery"
   $SecurityType = @{Name='SecurityType';Value='TrustedLaunchSupported'}
   $features = @($SecurityType)
   New-AzGalleryImageDefinition -ResourceGroupName $rgName -GalleryName $galleryName -Name $galleryImageDefinitionName -Location $location -Publisher $publisherName -Offer $offerName -Sku $skuName -HyperVGeneration "V2" -OsState "Generalized" -OsType "Windows" -Description $description -Feature $features
   

2. イメージ バージョンを作成するには、作成時に一般化された既存の Gen2 ギャラリー イメージ バージョンを使用できます。

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "eastus"
   $galleryImageVersionName = "1.0.0"
   $sourceImageId = "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myVMRG/providers/Microsoft.Compute/galleries/MyGallery/images/Gen2VMImageDef/versions/0.0.1"
   New-AzGalleryImageVersion -ResourceGroupName $rgName -GalleryName $galleryName -GalleryImageDefinitionName $galleryImageDefinitionName -Name $galleryImageVersionName -Location $location -SourceImageId $sourceImageId
   

3. 前記のイメージ バージョンから、トラステッド起動 VM を作成します。

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "eastus"
   $vmName = "myVMfromImage"
   $vmSize = "Standard_D2s_v5"
   $imageDefinition = Get-AzGalleryImageDefinition `
      -GalleryName $galleryName `
      -ResourceGroupName $rgName `
      -Name $galleryImageDefinitionName
   $cred = Get-Credential `
      -Message "Enter a username and password for the virtual machine"
   # Network pieces
   $subnetConfig = New-AzVirtualNetworkSubnetConfig `
      -Name mySubnet `
      -AddressPrefix 192.168.1.0/24
   $vnet = New-AzVirtualNetwork `
      -ResourceGroupName $rgName `
      -Location $location `
      -Name MYvNET `
      -AddressPrefix 192.168.0.0/16 `
      -Subnet $subnetConfig
   $pip = New-AzPublicIpAddress `
      -ResourceGroupName $rgName `
      -Location $location `
     -Name "mypublicdns$(Get-Random)" `
     -AllocationMethod Static `
     -IdleTimeoutInMinutes 4
   $nsgRuleRDP = New-AzNetworkSecurityRuleConfig `
      -Name myNetworkSecurityGroupRuleRDP  `
      -Protocol Tcp `
     -Direction Inbound `
      -Priority 1000 `
      -SourceAddressPrefix * `
      -SourcePortRange * `
      -DestinationAddressPrefix * `
      -DestinationPortRange 3389 `
      -Access Deny
   $nsg = New-AzNetworkSecurityGroup `
      -ResourceGroupName $rgName `
      -Location $location `
     -Name myNetworkSecurityGroup `
     -SecurityRules $nsgRuleRDP
   $nic = New-AzNetworkInterface `
      -Name myNic `
      -ResourceGroupName $rgName `
      -Location $location `
     -SubnetId $vnet.Subnets[0].Id `
     -PublicIpAddressId $pip.Id `
     -NetworkSecurityGroupId $nsg.Id
   $vm = New-AzVMConfig -vmName $vmName -vmSize $vmSize | `
         Set-AzVMOperatingSystem -Windows -ComputerName $vmName -Credential $cred | `
         Set-AzVMSourceImage -Id $imageDefinition.Id | `
         Add-AzVMNetworkInterface -Id $nic.Id
   $vm = Set-AzVMSecurityProfile -SecurityType "TrustedLaunch" -VM $vm
   $vm = Set-AzVmUefi -VM $vm `
      -EnableVtpm $true `
      -EnableSecureBoot $true 
   New-AzVM `
      -ResourceGroupName $rgName `
      -Location $location `
      -VM $vm
   

1. Azure Portal にサインインします。
2. VM から Azure Compute Gallery イメージを作成するには、既存のトラステッド起動 VM を開いて、[キャプチャ] を選びます。
3. [イメージの作成] ページで、イメージが VM イメージ バージョンとしてギャラリーに共有されるのを許可します。 マネージド イメージの作成は、トラステッド起動 VM ではサポートされていません。
4. 新しいターゲットの Azure Compute Gallery を作成するか、既存のギャラリーを選択します。
5. [オペレーティング システムの状態] は、[一般化] または [特殊化] のいずれかとして選択します。 一般化されたイメージを作成する場合は、このオプションを選ぶ前に、必ず VM を一般化してマシン固有の情報を削除します。 トラステッド起動 Windows VM で Bitlocker ベースの暗号化が有効になっている場合、同じものを一般化できない可能性があります。
6. 名前、発行元、オファー、SKU の詳細を指定して、新しいイメージ定義を作成します。 イメージ定義の [セキュリティの種類] は、既に [トラステッド起動] に設定されている必要があります。
7. イメージのバージョンについて、バージョン番号を指定します。
8. 必要に応じてレプリケーション オプションを変更します。
9. [イメージの作成] ページの下部にある [確認tと作成] を選びます。 検証結果が合格と表示されたら、[作成] を選びます。
10. イメージ バージョンが作成されたら、そのイメージ バージョンに直接移動します。 または、イメージ定義から、必要なイメージ バージョンに移動できます。
11. [VM イメージ バージョン] ページで [+ VM の作成] を選んで、[仮想マシンの作成] ページに移動します。
12. [仮想マシンの作成] ページの [リソース グループ] で、[新規作成] を選びます。 リソース グループの名前を入力するか、ドロップダウン リストから既存のリソース グループを選びます。
13. [インスタンスの詳細] で、VM の名前を入力し、トラステッド起動がサポートされているリージョンを選びます。
14. イメージとセキュリティの種類は、選択したイメージのバージョンに基づいて既に設定されています。 [セキュア ブート] と [vTPM] のチェックボックスは、既定で有効になっています。
15. [管理者アカウント] の情報を入力した後、 [受信ポートの規則] を指定します。
16. ページの下部にある [確認と作成] を選びます。
17. 検証ページで、VM の詳細を確認します。
18. 検証で問題がなければ、[作成] を選んで VM の作成を完了します。

イメージ バージョンのソースとして (トラステッド起動 VM の代わりに) マネージド ディスクまたはマネージド ディスク スナップショットを使う場合は、次の手順のようにして行います。

1. Azure portal にサインインします。
2. [VM イメージ バージョン] を検索して [作成] を選びます。
3. サブスクリプション、リソース グループ、リージョン、イメージ バージョン番号を指定します。
4. ソースとして [ディスクやスナップショット] を選びます。
5. OS ディスクとしてドロップダウン リストからマネージド ディスクまたはマネージド ディスク スナップショットを選びます。
6. イメージを作成および共有するための [ターゲット Azure Compute Gallery] を選択します。 ギャラリーが存在しない場合は、新しいギャラリーを作成します。
7. [オペレーティング システムの状態] は、[一般化] または [特殊化] のいずれかとして選択します。 一般化されたイメージを作成する場合は、ディスクまたはスナップショットを一般化してマシン固有の情報を削除するようにしてください。
8. [ターゲット VM イメージ定義] で、[新規作成] を選びます。 開いたウィンドウで、イメージ定義の名前を選び、[セキュリティの種類] が [トラステッド起動] に設定されていることを確認します。 発行元、オファー、SKU の情報を指定して、[OK] を選びます。
9. 必要に応じて、[レプリケーション] タブを使用して、イメージ レプリケーションのレプリカ数とターゲット リージョンを設定できます。
10. 必要な場合は、[暗号化] タブを使って SSE 暗号化関連の情報を指定することもできます。
11. [確認と作成] タブで [作成] を選んでイメージを作成します。
12. イメージ バージョンが正常に作成された後、[+ VM の作成] を選んで [仮想マシンの作成] ページに移動します。
13. 前に説明したステップ 12 から 18 に従い、このイメージ バージョンを使ってトラステッド起動 VM を作成します。

最新バージョンの Azure CLI を実行していることを確認します。

1. az login を使用して Azure にサインインします。

   az login 
   

2. セキュリティの種類として TrustedLaunch を使ってイメージの定義を作成します。

   az sig image-definition create --resource-group MyResourceGroup --location eastus \ 
   --gallery-name MyGallery --gallery-image-definition MyImageDef \ 
   --publisher TrustedLaunchPublisher --offer TrustedLaunchOffer --sku TrustedLaunchSku \ 
   --os-type Linux --os-state Generalized \ 
   --hyper-v-generation V2 \ 
   --features SecurityType=TrustedLaunch
   

3. イメージ バージョンを作成するために、既存の Linux ベースのトラステッド起動 VM をキャプチャできます。 イメージ バージョンを作成する前に、トラステッド起動 VM を一般化します。

   az sig image-version create --resource-group MyResourceGroup \
   --gallery-name MyGallery --gallery-image-definition MyImageDef \
   --gallery-image-version 1.0.0 \
   --managed-image /subscriptions/00000000-0000-0000-0000-00000000xxxx/resourceGroups/MyResourceGroup/providers/Microsoft.Compute/virtualMachines/myVM
   

   マネージド ディスクまたはマネージド ディスク スナップショットをイメージ バージョンのイメージ ソースとして使う必要がある場合は、前記のコマンドの --managed-image を --os-snapshot に置き換えて、ディスクまたはスナップショット リソースの名前を指定します。

4. 前記のイメージ バージョンから、トラステッド起動 VM を作成します。

   adminUsername=linuxvm
   az vm create --resource-group MyResourceGroup \
       --name myTrustedLaunchVM \
       --image "/subscriptions/00000000-0000-0000-0000-00000000xxxx/resourceGroups/MyResourceGroup/providers/Microsoft.Compute/galleries/MyGallery/images/MyImageDef" \
       --size Standard_D2s_v5 \
       --security-type TrustedLaunch \
       --enable-secure-boot true \ 
       --enable-vtpm true \
       --admin-username $adminUsername \
       --generate-ssh-keys
   

1. セキュリティの種類として TrustedLaunch を使ってイメージの定義を作成します。

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "eastus"
   $publisherName = "TrustedlaunchPublisher"
   $offerName = "TrustedlaunchOffer"
   $skuName = "TrustedlaunchSku"
   $description = "My gallery"
   $SecurityType = @{Name='SecurityType';Value='TrustedLaunch'}
   $features = @($SecurityType)
   New-AzGalleryImageDefinition -ResourceGroupName $rgName -GalleryName $galleryName -Name $galleryImageDefinitionName -Location $location -Publisher $publisherName -Offer $offerName -Sku $skuName -HyperVGeneration "V2" -OsState "Generalized" -OsType "Windows" -Description $description -Feature $features
   

2. イメージ バージョンを作成するために、既存の Windows ベースのトラステッド起動 VM をキャプチャできます。 イメージ バージョンを作成する前に、トラステッド起動 VM を一般化します。

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "eastus"
   $galleryImageVersionName = "1.0.0"
   $sourceImageId = "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myVMRG/providers/Microsoft.Compute/virtualMachines/myVM"
   New-AzGalleryImageVersion -ResourceGroupName $rgName -GalleryName $galleryName -GalleryImageDefinitionName $galleryImageDefinitionName -Name $galleryImageVersionName -Location $location -SourceImageId $sourceImageId
   

3. 前記のイメージ バージョンから、トラステッド起動 VM を作成します。

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "eastus"
   $vmName = "myVMfromImage"
   $vmSize = "Standard_D2s_v5"
   $imageDefinition = Get-AzGalleryImageDefinition `
      -GalleryName $galleryName `
      -ResourceGroupName $rgName `
      -Name $galleryImageDefinitionName
   $cred = Get-Credential `
      -Message "Enter a username and password for the virtual machine"
   # Network pieces
   $subnetConfig = New-AzVirtualNetworkSubnetConfig `
      -Name mySubnet `
      -AddressPrefix 192.168.1.0/24
   $vnet = New-AzVirtualNetwork `
      -ResourceGroupName $rgName `
      -Location $location `
      -Name MYvNET `
      -AddressPrefix 192.168.0.0/16 `
      -Subnet $subnetConfig
   $pip = New-AzPublicIpAddress `
      -ResourceGroupName $rgName `
      -Location $location `
     -Name "mypublicdns$(Get-Random)" `
     -AllocationMethod Static `
     -IdleTimeoutInMinutes 4
   $nsgRuleRDP = New-AzNetworkSecurityRuleConfig `
      -Name myNetworkSecurityGroupRuleRDP  `
      -Protocol Tcp `
     -Direction Inbound `
      -Priority 1000 `
      -SourceAddressPrefix * `
      -SourcePortRange * `
      -DestinationAddressPrefix * `
      -DestinationPortRange 3389 `
      -Access Deny
   $nsg = New-AzNetworkSecurityGroup `
      -ResourceGroupName $rgName `
      -Location $location `
     -Name myNetworkSecurityGroup `
     -SecurityRules $nsgRuleRDP
   $nic = New-AzNetworkInterface `
      -Name myNic `
      -ResourceGroupName $rgName `
      -Location $location `
     -SubnetId $vnet.Subnets[0].Id `
     -PublicIpAddressId $pip.Id `
     -NetworkSecurityGroupId $nsg.Id
   $vm = New-AzVMConfig -vmName $vmName -vmSize $vmSize | `
         Set-AzVMOperatingSystem -Windows -ComputerName $vmName -Credential $cred | `
         Set-AzVMSourceImage -Id $imageDefinition.Id | `
         Add-AzVMNetworkInterface -Id $nic.Id
   $vm = Set-AzVMSecurityProfile -SecurityType "TrustedLaunch" -VM $vm
   $vm = Set-AzVmUefi -VM $vm `
      -EnableVtpm $true `
      -EnableSecureBoot $true 
   New-AzVM `
      -ResourceGroupName $rgName `
      -Location $location `
      -VM $vm