Inicio seguro para Azure Kubernetes Service (AKS)

• La versión 2.66.0 de la CLI de Azure, o cualquier versión posterior. Ejecute az --version para buscar la versión y ejecute az upgrade para actualizar la versión. Si necesita instalarla o actualizarla, vea Instalación de la CLI de Azure.

1. Cree un clúster de AKS con el comando az aks create. Antes de ejecutar el comando, revise los parámetros siguientes:

   • --name: escriba un nombre único para el clúster de AKS, como myAKSCluster.
   • --resource-group: escriba el nombre de un grupo de recursos existente para hospedar el recurso de clúster de AKS.
   • --enable-secure-boot: permite que el arranque seguro autentique una imagen firmada por un publicador de confianza.
   • --enable-vtpm: habilita vTPM y realiza la atestación mediante la medición de toda la cadena de arranque de la máquina virtual.

   Nota:

   El Arranque Seguro requiere cargadores de arranque firmados, núcleos del sistema operativo y controladores. Si después de habilitar Arranque seguro los nodos no se iniciasen, compruebe qué componentes de arranque son los responsables de los errores de Arranque seguro dentro de una máquina virtual Linux de Azure. Consulte Comprobación de errores de Arranque seguro.

   En el siguiente ejemplo se crea un clúster denominado myAKSCluster con un nodo en myResourceGroup y se habilita Arranque seguro y vTPM:

   az aks create \
       --name myAKSCluster \
       --resource-group myResourceGroup \
       --node-count 1 \
       --enable-secure-boot \
       --enable-vtpm \
       --generate-ssh-keys
   

2. Ejecute el siguiente comando para obtener las credenciales de acceso del clúster de Kubernetes. Use el comando az aks get-credentials y reemplace los valores del nombre del clúster y el nombre del grupo de recursos.

   az aks get-credentials --resource-group myResourceGroup --name myAKSCluster
   

1. Cree una plantilla con parámetros de inicio seguro. Antes de crear la plantilla, revise los parámetros siguientes:

   • enableSecureBoot: permite que el arranque seguro autentique una imagen firmada por un publicador de confianza.
   • enableVTPM: habilita vTPM y realiza la atestación mediante la medición de toda la cadena de arranque de la máquina virtual.

   En la plantilla, proporcione valores para enableVTPM y enableSecureBoot. El mismo esquema usado para la implementación de la CLI existe en la definición Microsoft.ContainerService/managedClusters/agentPools en "properties", como se muestra en el ejemplo siguiente:

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": true,
           "enableSecureBoot": true,
       }
   }
   

2. Implemente la plantilla con vTPM y arranque seguro habilitado en el clúster. Consulte Implementación de un clúster de AKS mediante una plantilla de ARM para obtener instrucciones detalladas.

1. Cree un archivo Bicep con parámetros de inicio seguro. Antes de crear el archivo, revise los parámetros siguientes:

   • enableSecureBoot: permite que el arranque seguro autentique una imagen firmada por un publicador de confianza.
   • enableVTPM: habilita vTPM y realiza la atestación mediante la medición de toda la cadena de arranque de la máquina virtual.

   En el archivo Bicep, proporcione valores para enableVTPM y enableSecureBoot. El mismo esquema usado para la implementación de la CLI existe en la definición Microsoft.ContainerService/managedClusters/agentPools en properties, como se muestra en el ejemplo siguiente:

   properties: {
     // ...
     securityProfile: {
       enableVTPM: true
       enableSecureBoot: true
     }
   }
   

2. Implemente el archivo Bicep con vTPM y arranque seguro habilitado en el clúster. Consulte Implementación de un clúster de AKS mediante un archivo Bicep para obtener instrucciones detalladas.

El proveedor de Terraform azureRM (azurerm) no admite el inicio seguro porque no expone la configuración del grupo de nodos de inicio seguro. Para crear un clúster de AKS con inicio seguro habilitado, use las instrucciones de CLI de Azure, plantilla de ARM o Bicep de este artículo.

El portal de Azure no admite la creación de un clúster de AKS con inicio seguro habilitado. Para crear un clúster de AKS con inicio seguro habilitado, use las instrucciones de CLI de Azure, plantilla de ARM o Bicep de este artículo.

1. Agregue un grupo de nodos con inicio seguro habilitado mediante el comando az aks nodepool add. Antes de ejecutar el comando, revise los parámetros siguientes:

   • --cluster-name: escriba el nombre del clúster de AKS.
   • --resource-group: escriba el nombre de un grupo de recursos existente para hospedar el recurso de clúster de AKS.
   • --name: escriba un nombre único para el grupo de nodos. El nombre de un grupo de nodos solo puede contener caracteres alfanuméricos en minúsculas y debe comenzar con una letra minúscula. Para los grupos de nodos de Linux, la longitud debe tener entre 1 y 11 caracteres.
   • --node-count: el número de nodos del grupo de agentes de Kubernetes. El valor predeterminado es 3.
   • --enable-secure-boot: permite que el arranque seguro autentique la imagen firmada por un publicador de confianza.
   • --enable-vtpm: habilita vTPM y realiza la atestación mediante la medición de toda la cadena de arranque de la máquina virtual.

   Nota:

   El Arranque Seguro requiere cargadores de arranque firmados, núcleos del sistema operativo y controladores. Si después de habilitar Arranque seguro los nodos no se iniciasen, compruebe qué componentes de arranque son los responsables de los errores de Arranque seguro dentro de una máquina virtual Linux de Azure. Consulte Comprobación de errores de Arranque seguro.

   En el ejemplo siguiente se implementa un grupo de nodos con vTPM y Arranque seguro habilitados en un clúster denominado myAKSCluster con tres nodos:

   az aks nodepool add --resource-group myResourceGroup --cluster-name myAKSCluster --name mynodepool --node-count 3 --enable-vtpm --enable-secure-boot
   

2. Compruebe que el grupo de nodos usa una imagen de inicio seguro.

   Los nodos de inicio seguro tienen la siguiente salida:

   • Versión de la imagen de nodo que contiene "TL", como "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" debe ser "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. Cree una plantilla con parámetros de inicio seguro. Antes de crear la plantilla, revise los parámetros siguientes:

   • enableSecureBoot: permite que el arranque seguro autentique una imagen firmada por un publicador de confianza.
   • enableVTPM: habilita vTPM y realiza la atestación mediante la medición de toda la cadena de arranque de la máquina virtual.

   En la plantilla, proporcione valores para enableVTPM y enableSecureBoot. El mismo esquema usado para la implementación de la CLI existe en la definición Microsoft.ContainerService/managedClusters/agentPools en "properties", como se muestra en el ejemplo siguiente:

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": true,
           "enableSecureBoot": true,
       }
   }
   

2. Implemente la plantilla con vTPM y arranque seguro habilitado en el clúster. Consulte Implementación de un clúster de AKS mediante una plantilla de ARM para obtener instrucciones detalladas.

1. Cree un archivo Bicep con parámetros de inicio seguro. Antes de crear el archivo, revise los parámetros siguientes:

   • enableSecureBoot: permite que el arranque seguro autentique una imagen firmada por un publicador de confianza.
   • enableVTPM: habilita vTPM y realiza la atestación mediante la medición de toda la cadena de arranque de la máquina virtual.

   En el archivo Bicep, proporcione valores para enableVTPM y enableSecureBoot. El mismo esquema usado para la implementación de la CLI existe en la definición Microsoft.ContainerService/managedClusters/agentPools en properties, como se muestra en el ejemplo siguiente:

   properties: {
     // ...
     securityProfile: {
       enableVTPM: true
       enableSecureBoot: true
     }
   }
   

2. Implemente el archivo Bicep con vTPM y arranque seguro habilitado en el clúster. Consulte Implementación de un clúster de AKS mediante un archivo Bicep para obtener instrucciones detalladas.

El proveedor de Terraform azureRM (azurerm) no admite el inicio seguro porque no expone la configuración del grupo de nodos de inicio seguro. Para agregar un grupo de nodos con inicio seguro habilitado, use las instrucciones de CLI de Azure, plantilla de ARM o Bicep de este artículo.

El portal de Azure no admite la adición de un grupo de nodos con inicio seguro habilitado. Para agregar un grupo de nodos con inicio seguro habilitado, use las instrucciones de CLI de Azure, plantilla de ARM o Bicep de este artículo.

1. Agregue un grupo de nodos con inicio seguro y FIPS habilitado mediante el az aks nodepool add comando . Antes de ejecutar el comando, revise los parámetros siguientes:

   • --cluster-name: escriba el nombre del clúster de AKS.
   • --resource-group: escriba el nombre de un grupo de recursos existente para hospedar el recurso de clúster de AKS.
   • --name: escriba un nombre único para el grupo de nodos. El nombre de un grupo de nodos solo puede contener caracteres alfanuméricos en minúsculas y debe comenzar con una letra minúscula. Para los grupos de nodos de Linux, la longitud debe tener entre 1 y 11 caracteres.
   • --node-count: el número de nodos del grupo de agentes de Kubernetes. El valor predeterminado es 3.
   • --enable-secure-boot: permite que el arranque seguro autentique la imagen firmada por un publicador de confianza.
   • --enable-vtpm: habilita vTPM y realiza la atestación mediante la medición de toda la cadena de arranque de la máquina virtual.
   • --enable-fips-image: habilita la imagen de nodo compatible con FIPS para el grupo de nodos.

   Nota:

   El Arranque Seguro requiere cargadores de arranque firmados, núcleos del sistema operativo y controladores. Si después de habilitar Arranque seguro los nodos no se iniciasen, compruebe qué componentes de arranque son los responsables de los errores de Arranque seguro dentro de una máquina virtual Linux de Azure. Consulte Comprobación de errores de Arranque seguro.

   En el ejemplo siguiente se implementa un grupo de nodos con vTPM, Arranque seguro y FIPS habilitados en un clúster denominado myAKSCluster con tres nodos:

   az aks nodepool add --resource-group myResourceGroup --cluster-name myAKSCluster --name mynodepool --node-count 3 --enable-vtpm --enable-secure-boot --enable-fips-image
   

2. Compruebe que el grupo de nodos usa una imagen de Trusted Launch.

   Los nodos de inicio seguro tienen la siguiente salida:

   • Versión de la imagen de nodo que contiene tanto "TL" como "FIPS".
   • "Security-type" es "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. Cree una plantilla con los parámetros de Trusted Launch y FIPS. Antes de crear la plantilla, revise los parámetros siguientes:

   • enableSecureBoot: permite que el arranque seguro autentique una imagen firmada por un publicador de confianza.
   • enableVTPM: habilita vTPM y realiza la atestación mediante la medición de toda la cadena de arranque de la máquina virtual.
   • enableFips: habilita la imagen de nodo compatible con FIPS para el grupo de nodos.

   En la plantilla, proporcione valores para enableVTPM, enableSecureBoot y enableFips. El mismo esquema usado para la implementación de la CLI existe en la definición Microsoft.ContainerService/managedClusters/agentPools en "properties", como se muestra en el ejemplo siguiente:

   "properties": {
       ...,
       "osSKU": "Ubuntu",
       "enableFips": true,
       "securityProfile": {
           "enableVTPM": true,
           "enableSecureBoot": true,
       }
   }
   

2. Implemente la plantilla con vTPM, arranque seguro y FIPS habilitados en el clúster. Consulte Implementación de un clúster de AKS mediante una plantilla de ARM para obtener instrucciones detalladas.

1. Cree un archivo Bicep con parámetros De inicio seguro y FIPS. Antes de crear el archivo, revise los parámetros siguientes:

   • enableSecureBoot: permite que el arranque seguro autentique una imagen firmada por un publicador de confianza.
   • enableVTPM: habilita vTPM y realiza la atestación mediante la medición de toda la cadena de arranque de la máquina virtual.
   • enableFips: habilita la imagen de nodo compatible con FIPS para el grupo de nodos.

   En el archivo Bicep, proporcione valores para enableVTPM, enableSecureBooty enableFips. El mismo esquema usado para la implementación de la CLI existe en la definición Microsoft.ContainerService/managedClusters/agentPools en properties, como se muestra en el ejemplo siguiente:

   properties: {
     // ...
     osSKU: 'Ubuntu'
     enableFips: true
     securityProfile: {
       enableVTPM: true
       enableSecureBoot: true
     }
   }
   

2. Implemente el archivo Bicep con vTPM, arranque seguro y FIPS habilitados en el clúster. Consulte Implementación de un clúster de AKS mediante un archivo Bicep para obtener instrucciones detalladas.

El proveedor de Terraform azureRM (azurerm) no admite el inicio seguro porque no expone la configuración del grupo de nodos de inicio seguro. Para agregar un grupo de nodos con inicio seguro y FIPS habilitado, use las instrucciones de CLI de Azure, plantilla de ARM o Bicep de este artículo.

El portal de Azure no admite la adición de un grupo de nodos con inicio seguro y FIPS habilitado. Para agregar un grupo de nodos con inicio seguro y FIPS habilitado, use las instrucciones de CLI de Azure, plantilla de ARM o Bicep de este artículo.

1. Actualice un grupo de nodos para habilitar vTPM o arranque seguro mediante el az aks nodepool update comando . Antes de ejecutar el comando, revise los parámetros siguientes:

   • --resource-group: escriba el nombre de un grupo de recursos existente que hospeda el clúster de AKS existente.
   • --cluster-name: escriba un nombre único para el clúster de AKS, como myAKSCluster.
   • --name: escriba el nombre del grupo de nodos, como mynodepool.
   • --enable-secure-boot: permite que el arranque seguro autentique que la imagen ha sido firmada por un editor de confianza.
   • --enable-vtpm: habilita vTPM y realiza la atestación mediante la medición de toda la cadena de arranque de la máquina virtual.

   Nota:

   El Arranque Seguro requiere cargadores de arranque firmados, núcleos del sistema operativo y controladores. Si después de habilitar el arranque seguro, los nodos no se inician, puede comprobar qué componentes de arranque son responsables de los errores de arranque seguro dentro de una máquina virtual Linux de Azure. Consulte Comprobación de errores de Arranque seguro.

   En el ejemplo siguiente se actualiza el grupo de nodos mynodepool en myAKSCluster en myResourceGroup y se habilita vTPM:

   az aks nodepool update --cluster-name myAKSCluster --resource-group myResourceGroup --name mynodepool --enable-vtpm
   

   En el ejemplo siguiente se actualiza el grupo de nodos mynodepool en myAKSCluster en myResourceGroup y se habilita el arranque seguro:

   az aks nodepool update --cluster-name myAKSCluster --resource-group myResourceGroup --name mynodepool --enable-secure-boot
   

   En el ejemplo siguiente se actualiza el grupo de nodos mynodepool en myAKSCluster en myResourceGroup y se habilitan vTPM y arranque seguro:

   az aks nodepool update \
       --cluster-name myAKSCluster \
       --resource-group myResourceGroup \
       --name mynodepool \
       --enable-vtpm \
       --enable-secure-boot
   

2. Una vez completada la actualización, compruebe que el grupo de nodos usa una imagen de inicio seguro.

   Los nodos de inicio seguro tienen la siguiente salida:

   • Versión de la imagen de nodo que contiene "TL", como "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" es "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. Actualice la plantilla de ARM con parámetros de inicio seguro. Antes de actualizar la plantilla, revise los parámetros siguientes:

   • enableSecureBoot: permite que el arranque seguro autentique una imagen firmada por un publicador de confianza.
   • enableVTPM: habilita vTPM y realiza la atestación mediante la medición de toda la cadena de arranque de la máquina virtual.

   En la plantilla, establezca enableVTPM, enableSecureBooto ambos en el grupo de nodos securityProfile. En el ejemplo siguiente se habilitan vTPM y arranque seguro:

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": true,
           "enableSecureBoot": true,
       }
   }
   

2. Implemente la plantilla actualizada con vTPM y arranque seguro habilitado en el grupo de nodos. Para obtener instrucciones detalladas, consulte Implementación de un clúster de AKS mediante una plantilla de ARM.

3. Una vez completada la implementación, compruebe que el grupo de nodos usa una imagen de inicio seguro.

   Los nodos de inicio seguro tienen la siguiente salida:

   • Versión de la imagen de nodo que contiene "TL", como "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" es "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. Actualice el archivo Bicep con parámetros de inicio seguro. Antes de actualizar el archivo, revise los parámetros siguientes:

   • enableSecureBoot: permite que el arranque seguro autentique una imagen firmada por un publicador de confianza.
   • enableVTPM: habilita vTPM y realiza la atestación mediante la medición de toda la cadena de arranque de la máquina virtual.

   En el archivo de Bicep, establezca enableVTPM, enableSecureBooto ambos en el grupo securityProfilede nodos . En el ejemplo siguiente se habilitan vTPM y arranque seguro:

   properties: {
     // ...
     securityProfile: {
       enableVTPM: true
       enableSecureBoot: true
     }
   }
   

2. Implemente el archivo de Bicep actualizado con vTPM y arranque seguro habilitado en el grupo de nodos. Para obtener instrucciones detalladas, consulte Implementación de un clúster de AKS mediante un archivo Bicep.

3. Una vez completada la implementación, compruebe que el grupo de nodos usa una imagen de inicio seguro.

   Los nodos de inicio seguro tienen la siguiente salida:

   • Versión de la imagen de nodo que contiene "TL", como "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" es "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

El proveedor de Terraform azureRM (azurerm) no admite el inicio seguro porque no expone la configuración del grupo de nodos de inicio seguro. Para habilitar vTPM o arranque seguro en un grupo de nodos existente, use las instrucciones de CLI de Azure, plantilla de ARM o Bicep de este artículo.

El portal de Azure no admite la habilitación de vTPM ni el arranque seguro en un grupo de nodos existente. Para habilitar vTPM o arranque seguro en un grupo de nodos existente, use las instrucciones de CLI de Azure, plantilla de ARM o Bicep de este artículo.

1. Actualice un grupo de nodos para deshabilitar el arranque seguro o vTPM mediante el az aks nodepool update comando . Antes de ejecutar el comando, revise los parámetros siguientes:

   • --resource-group: escriba el nombre de un grupo de recursos existente que hospeda el clúster de AKS existente.
   • --cluster-name: escriba un nombre único para el clúster de AKS, como myAKSCluster.
   • --name: escriba el nombre del grupo de nodos, como mynodepool.
   • --disable-secure-boot: deshabilita el arranque seguro.
   • --disable-vtpm: deshabilita vTPM.

   En el ejemplo siguiente se actualiza el grupo de nodos mynodepool en myAKSCluster en myResourceGroup y se deshabilita vTPM:

   az aks nodepool update --cluster-name myAKSCluster --resource-group myResourceGroup --name mynodepool --disable-vtpm
   

   En el ejemplo siguiente se actualiza el grupo de nodos mynodepool en myAKSCluster en myResourceGroup y se deshabilita el arranque seguro:

   az aks nodepool update --cluster-name myAKSCluster --resource-group myResourceGroup --name mynodepool --disable-secure-boot
   

   En el ejemplo siguiente se actualiza el grupo de nodos mynodepool en myAKSCluster en myResourceGroup y se deshabilitan tanto vTPM como arranque seguro:

   az aks nodepool update \
       --cluster-name myAKSCluster \
       --resource-group myResourceGroup \
       --name mynodepool \
       --disable-vtpm \
       --disable-secure-boot
   

2. Una vez completada la actualización, compruebe que el grupo de nodos usa la imagen esperada.

   Si el arranque seguro o vTPM permanece habilitado, los nodos de inicio seguro tienen la salida siguiente:

   • Versión de la imagen de nodo que contiene "TL", como "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" es "Trusted Launch".

   Si deshabilita vTPM y arranque seguro, la versión de la imagen de nodo no debe contener "TL"y "Security-type" no debe ser "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. Actualice la plantilla de ARM con parámetros de inicio seguro. Antes de actualizar la plantilla, revise los parámetros siguientes:

   • enableSecureBoot: permite que el arranque seguro autentique una imagen firmada por un publicador de confianza.
   • enableVTPM: habilita vTPM y realiza la atestación mediante la medición de toda la cadena de arranque de la máquina virtual.

   En la plantilla, establezca enableVTPM, enableSecureBooto ambos en el grupo de nodos securityProfile. En el ejemplo siguiente se deshabilitan vTPM y arranque seguro:

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": false,
           "enableSecureBoot": false,
       }
   }
   

2. Implemente la plantilla actualizada con vTPM y arranque seguro deshabilitado en el grupo de nodos. Para obtener instrucciones detalladas, consulte Implementación de un clúster de AKS mediante una plantilla de ARM.

3. Una vez completada la implementación, compruebe que el grupo de nodos usa la imagen esperada.

   Si el arranque seguro o vTPM permanece habilitado, los nodos de inicio seguro tienen la salida siguiente:

   • Versión de la imagen de nodo que contiene "TL", como "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" es "Trusted Launch".

   Si deshabilita vTPM y arranque seguro, la versión de la imagen de nodo no debe contener "TL"y "Security-type" no debe ser "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. Actualice el archivo Bicep con parámetros de inicio seguro. Antes de actualizar el archivo, revise los parámetros siguientes:

   • enableSecureBoot: permite que el arranque seguro autentique una imagen firmada por un publicador de confianza.
   • enableVTPM: habilita vTPM y realiza la atestación mediante la medición de toda la cadena de arranque de la máquina virtual.

   En el archivo de Bicep, establezca enableVTPM, enableSecureBooto ambos en el grupo securityProfilede nodos . En el ejemplo siguiente se deshabilitan vTPM y arranque seguro:

   properties: {
     // ...
     securityProfile: {
       enableVTPM: false
       enableSecureBoot: false
     }
   }
   

2. Implemente el archivo Bicep actualizado con vTPM y arranque seguro deshabilitado en el grupo de nodos. Para obtener instrucciones detalladas, consulte Implementación de un clúster de AKS mediante un archivo Bicep.

3. Una vez completada la implementación, compruebe que el grupo de nodos usa la imagen esperada.

   Si el arranque seguro o vTPM permanece habilitado, los nodos de inicio seguro tienen la salida siguiente:

   • Versión de la imagen de nodo que contiene "TL", como "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" es "Trusted Launch".

   Si deshabilita vTPM y arranque seguro, la versión de la imagen de nodo no debe contener "TL"y "Security-type" no debe ser "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

El proveedor de Terraform azureRM (azurerm) no admite el inicio seguro porque no expone la configuración del grupo de nodos de inicio seguro. Para deshabilitar vTPM o arranque seguro en un grupo de nodos existente, use las instrucciones de CLI de Azure, plantilla de ARM o Bicep de este artículo.

El portal de Azure no admite la deshabilitación de vTPM ni el arranque seguro en un grupo de nodos existente. Para deshabilitar vTPM o arranque seguro en un grupo de nodos existente, use las instrucciones de CLI de Azure, plantilla de ARM o Bicep de este artículo.