Sicheren Start mit Azure Managed Lustre-Dateisystem verwenden

In diesem Artikel wird erläutert, wie sich azure Managed Lustre-Clientsoftware verhält, wenn der sichere Start auf virtuellen Azure-Computern (VMs) aktiviert ist. Außerdem wird beschrieben, wann Sie Secure Boot Unified Extensible Firmware Interface (UEFI)-Schlüssel anpassen müssen, damit die Azure Managed Lustre-Kernelmodule erfolgreich geladen werden.

Wann dieser Artikel verwendet werden sollte

Verwenden Sie diesen Artikel, wenn Sie:

  • Planen Sie, den sicheren Start auf Azure-VMs zu aktivieren, die ein Azure Managed Lustre-Dateisystem bereitstellen.
  • Verwenden Sie vertrauenswürdige Start-VMs oder vertrauliche VMs, und möchten Sie bestätigen, wie sich der Azure Managed Lustre-Client verhält.

Funktionsweise der Client-Signierung von Azure Managed Lustre

Azure Managed Lustre-Clientkernmodule werden mit dem Azure Services Linux Kmod PCA-Zertifikat signiert. Wenn der sichere Start auf einem virtuellen Computer aktiviert ist, überprüfen die UEFI-Firmware und das Betriebssystem, dass jede Startkomponente und jedes Kernelmodul von einem vertrauenswürdigen Zertifikat signiert ist, bevor es ausgeführt werden kann.

Um Azure Managed Lustre-Clients auf einem sicheren Start-fähigen virtuellen Computer zu laden, muss das Azure Services Linux Kmod PCA-Zertifikat in den vertrauenswürdigen Schlüsseldatenbanken des virtuellen Computers vorhanden sein. Das Zertifikat kann entweder von der UEFI-Firmware oder aus einem benutzerdefinierten VM-Image stammen, das UEFI-Schlüssel für den sicheren Start konfiguriert.

Virtuelle Maschinen mit vertrauenswürdigem Start

Für VMs mit aktiviertem vertrauenswürdigem Start ist das Azure Services Linux Kmod PCA-Zertifikat bereits in der UEFI-Firmware enthalten, die von Azure bereitgestellt wird.

Da das Zertifikat standardmäßig als vertrauenswürdig eingestuft wird:

  • Azure Managed Lustre-Clientkernmodule können geladen werden, wenn der sichere Start aktiviert ist.
  • Sie benötigen keine zusätzliche Konfiguration, um den Azure Managed Lustre-Client auf Trusted Launch-VMs zu verwenden.

Diese Standardvertrauensstellung soll eine reibungslosere Erfahrung bieten, wenn Sie azure Managed Lustre-Clientsoftware installieren und verwenden, wenn "Sicherer Start" aktiviert ist.

Weitere Informationen zu Secure Boot und der Anpassung von UEFI-Schlüsseln für Trusted Launch-VMs finden Sie unter Benutzerdefinierte UEFI-Schlüssel für den sicheren Start bei Trusted Launch.

Weitere Informationen zu VMs für den vertrauenswürdigen Start finden Sie unter "Vertrauenswürdiger Start" für virtuelle Azure-Computer.

Vertrauliche VMsr

Für vertrauliche Azure-VMs ist das Azure Services Linux Kmod PCA-Zertifikat nicht standardmäßig in der UEFI-Firmware enthalten. Daher vertraut secure Boot zunächst nicht der Signatur der Azure Managed Lustre-Kernelmodule.

Zum erfolgreichen Laden und Bereitstellen von Azure Managed Lustre-Clients auf vertraulichen VMs mit aktiviertem sicheren Start müssen Sie das Azure Services Linux Kmod PCA-Zertifikat in die vertrauenswürdigen Schlüsseldatenbanken des VM-Images hinzufügen, indem Sie die UEFI-Schlüssel für den sicheren Start anpassen.

Ausführliche Anleitungen zum Anpassen von Secure Boot-Schlüsseln für Secure Boot-fähige Azure-VMs finden Sie unter Benutzerdefinierte Secure Boot UEFI-Schlüssel für Trusted Launch.

Eine Übersicht über vertrauliche virtuelle Computer finden Sie unter Was sind vertrauliche virtuelle Azure-Computer?.

DKMS-kompilierte Module und sicherer Start

Wenn Sie den Lustre-Client mithilfe der methode DKMS installieren, kompiliert der Installationsprozess das Kernelmodul aus der Quelle auf Ihrer VM, anstatt ein vordefiniertes und Microsoft signiertes Modul zu verwenden. Da DKMS-kompilierte Module nicht vom Azure Services Linux Kmod PCA-Zertifikat signiert sind, werden sie nicht geladen, wenn der sichere Start aktiviert ist, es sei denn, Sie führen zusätzliche Schritte aus.

Wenn Sie DKMS mit aktivierter Option "Sicherer Start" verwenden, stehen Ihnen zwei Optionen zur Verfügung:

  • Sicherer Start deaktivieren: Der einfachste Ansatz. Wenn Ihre Sicherheitsrichtlinie dies zulässt, deaktivieren Sie den sicheren Start auf dem virtuellen Computer, bevor Sie das DKMS-Paket installieren.
  • Registrieren eines Computerbesitzerschlüssels (MACHINE Owner Key, MOK): Konfigurieren Sie DKMS so, dass Module mit einem selbst generierten Schlüssel signiert und in der UEFI MOK-Datenbank registriert werden. Dieser Ansatz erhält Secure Boot aufrecht und ermöglicht gleichzeitig das Laden von mit DKMS kompilierten Modulen. Anweisungen zur MOK-Registrierung finden Sie in der DKMS-Dokumentation Ihrer Distribution.

Hinweis

Hinweise zu Azure Linux 3: Azure Linux 3 aktiviert standardmäßig die Kernel-Sperrung im Integritätsmodus durch den Startparameter lockdown=integrity. Kernelsperrmodus blockiert das Laden von nicht signierten Kernelmodulen unabhängig vom sicheren Start, sodass das Deaktivieren des sicheren Starts allein keine DKMS-kompilierten Module auf Azure Linux 3 laden lässt. Um DKMS auf Azure Linux 3 zu verwenden, registrieren Sie einen Machine Owner Key (MOK), wie im vorherigen Aufzählungspunkt beschrieben. Durch das Entfernen des lockdown=integrity Parameters aus der Startkonfiguration können auch nicht signierte Module geladen werden, es wird jedoch nicht empfohlen, da sie den Sicherheitsgrundwert der Plattform schwächt.

Hinweis

Wenn Sie die vorinstallierte kmod-Installationsmethode verwenden, funktioniert der sichere Start ohne zusätzliche Konfiguration auf VMs mit vertrauenswürdigen Starts (wie zuvor beschrieben). Die Einschränkung für den sicheren Start von DKMS gilt nur für DKMS-kompilierte Module.

Verwandte Inhalte

  • Last updated on