Lancement fiable pour les machines virtuelles Azure

S’applique à : ✔️ Machines virtuelles Linux ✔️ Machines virtuelles Windows ✔️ Ensembles de mise à l’échelle flexibles ✔️ Ensembles de mise à l’échelle uniformes

Azure Trusted Launch permet d’améliorer facilement la sécurité des machines virtuelles Generation 2 (VM). Trusted Launch protège contre les techniques d’attaque avancées et persistantes en fournissant une protection renforcée contre les bootkits, les rootkits et les attaques de programmes malveillants de bas niveau. Il utilise plusieurs technologies d’infrastructure coordonnées que vous pouvez activer indépendamment. Chaque technologie ajoute une autre couche de défense contre les menaces sophistiquées.

Le lancement de confiance est pris en charge pour les architectures x64 et Arm64.

Avantages

• Déployez en toute sécurité des VM avec des chargeurs de démarrage, des noyaux de système d’exploitation (SE) et des pilotes vérifiés.
• Protégez efficacement les clés, les certificats et les secrets dans les VM.
• Obtenir des insights et avoir confiance en l’intégrité de toute la chaîne de démarrage.
• Garantissez que les charges de travail sont approuvées et vérifiables.

Tailles de machine virtuelle

¹Tailles basées sur Arm64 Cobalt 100 prenant en charge le lancement sécurisé.

²La série HBv2 est actuellement prise en charge pour le lancement approuvé, mais est prévue pour la mise hors service le 31 mai 2027. Pour les nouveaux déploiements HPC Trusted Launch, préférez les tailles de la série HBv5, de la série HX, de la série HBv4 ou de la série HBv3.

³Les tailles de série HC (Standard_HC44rs, Standard_HC44-16rs, Standard_HC44-32rs) sont programmées pour être retirées le 31 mai 2027. Après cette date, les machines virtuelles de la série HC restantes seront désallouées et cesseront d’entraîner des frais, et la série HC n’aura plus de SLA ou de support. Les ventes des instances réservées 1 an et 3 ans ont pris fin le 2 avril 2026. Pour les nouveaux déploiements HPC Trusted Launch, envisagez la série HBv5 pour des performances plus élevées et un meilleur rapport performance/prix, ou la série HX pour des charges de travail HPC avec grande mémoire. Planifiez la transition de la série HC bien avant la date de mise hors service pour éviter toute interruption.

Systèmes d'exploitation pris en charge

* Les variantes de ce système d’exploitation sont prises en charge.

Informations complémentaires

Régions :

• Toutes les régions publiques
• Toutes les régions Azure Government
• Toutes les régions Azure Chine

Tarification : le lancement fiable n’augmente pas les coûts de tarification des machines virtuelles existantes.

Fonctionnalités non prises en charge

Actuellement, les fonctionnalités de machine virtuelle suivantes ne sont pas prises en charge avec le lancement fiable :

• Image managée (les clients sont encouragés à utiliser Azure Galerie de calcul).
• Mise en veille prolongée des machines virtuelles Linux

Démarrage sécurisé

À la racine du lancement fiable se trouve le démarrage sécurisé de votre machine virtuelle. Le démarrage sécurisé, implémenté dans le microprogramme de la plateforme, protège contre l’exécution des rootkits et des kits de démarrage basés sur des programmes malveillants. Le démarrage sécurisé garantit que seuls les systèmes d’exploitation et pilotes signés peuvent démarrer. Il établit une « racine de confiance » pour la pile logicielle de votre machine virtuelle.

Quand le Démarrage sécurisé est activé, tous les composants de démarrage du système d’exploitation (chargeur de démarrage, noyau, pilotes de noyau) doivent être signés par des éditeurs approuvés. Les distributions Windows et les principales distributions Linux prennent en charge le démarrage sécurisé. Si le démarrage sécurisé ne parvient pas à s’authentifier que l’image est signée par un éditeur approuvé, la machine virtuelle ne démarre pas. Pour plus d'informations, consultez Démarrage sécurisé.

vTPM

Trusted Launch introduit également le module de plateforme approuvée virtuelle (vTPM) pour les machines virtuelles Azure. Cette version virtualisée d’un module de plateforme sécurisée (TPM) matériel est conforme aux spécifications TPM2.0. Il sert de coffre sécurisé dédié pour les clés et les mesures.

Le lancement fiable permet à votre machine virtuelle d’utiliser sa propre instance TPM dédiée, qui s’exécute dans un environnement sécurisé hors de portée de toute machine virtuelle. Le module vTPM permet d’effectuer l’attestation en mesurant la chaîne de démarrage complète de votre machine virtuelle (UEFI, système d’exploitation, système et pilotes).

Le lancement fiable utilise le module vTPM pour effectuer une attestation distante via le cloud. Les attestations permettent des vérifications de l’intégrité de la plateforme et sont utilisées pour prendre des décisions basées sur la confiance. En guise de contrôle d’intégrité, le lancement fiable peut certifier par chiffrement que votre machine virtuelle a démarré correctement.

Si le processus échoue, peut-être parce que votre machine virtuelle exécute un composant non autorisé, Microsoft Defender for Cloud émet des alertes d’intégrité. Les alertes incluent des détails sur les composants concernés par l’échec des contrôles d’intégrité.

Sécurité basée sur la virtualisation

La sécurité basée sur la virtualisation (VBS) utilise l’hyperviseur pour créer une région sécurisée et isolée de la mémoire. Windows utilise ces régions pour exécuter différentes solutions de sécurité avec une protection accrue contre les vulnérabilités et les attaques malveillantes. Trusted Launch vous permet d’activer l’intégrité du code de l’hyperviseur (HVCI) et Windows Defender Credential Guard.

HVCI est une puissante atténuation du système qui protège Windows processus en mode noyau contre l’injection et l’exécution de code malveillant ou non vérifié. Elle vérifie les fichiers binaires et les pilotes en mode noyau avant leur exécution, ce qui empêche le chargement des fichiers non signés dans la mémoire. Vérifie que le code exécutable ne peut pas être modifié une fois qu’il est autorisé par HVCI à charger. Pour plus d’informations sur VBS et HVCI, consultez Sécurité basée sur la virtualisation et intégrité du code appliquée aux hyperviseurs.

Avec Trusted Launch et VBS, vous pouvez activer Windows Defender Credential Guard. Credential Guard isole et protège les secrets afin que seuls les logiciels système privilégiés puissent y accéder. Cela permet d’empêcher l’accès non autorisé aux secrets et le vol des informations d’identification, comme les attaques de type Pass-the-Hash. Pour plus d’informations, consultez Credential Guard.

intégration de Microsoft Defender for Cloud

Le lancement approuvé est intégré à Defender for Cloud pour vous assurer que vos machines virtuelles sont correctement configurées. Defender for Cloud évalue continuellement les machines virtuelles compatibles et émet des recommandations pertinentes :

• Recommandation d’activation du démarrage sécurisé : la recommandation du démarrage sécurisé s’applique uniquement aux VM qui prennent en charge le lancement fiable. Defender for Cloud identifie les machines virtuelles dont le démarrage sécurisé est désactivé. Il émet une recommandation de faible gravité pour suggérer de l’activer.

• Recommendation pour activer vTPM : si vTPM est activé pour la machine virtuelle, Defender for Cloud pouvez l’utiliser pour effectuer l’attestation d’invité et identifier les modèles de menace avancés. Si Defender for Cloud identifie les machines virtuelles qui prennent en charge le lancement approuvé avec vTPM désactivées, il émet une recommandation de faible gravité pour l’activer.

• Recommendation pour installer l'extension d'attestation invité : si votre machine virtuelle a activé le démarrage sécurisé et vTPM activé, mais que l'extension Attestation invité n'est pas installée, Defender for Cloud émet des recommandations de faible gravité pour installer l'extension Attestation invité sur celle-ci. Cette extension permet Defender for Cloud d’attester et de surveiller de manière proactive l’intégrité de démarrage de vos machines virtuelles. L’intégrité du démarrage est attestée via une attestation à distance.

• Évaluation de l'intégrité de l'attestation ou surveillance de l'intégrité du démarrage : Si votre machine virtuelle (VM) dispose de Secure Boot et de vTPM activés et que l'extension d'attestation est installée, Defender pour le Cloud peut valider à distance que votre VM a démarré correctement. Cette pratique est appelée surveillance de l’intégrité du démarrage. Defender for Cloud émet une évaluation qui indique l’état de l’attestation distante.

  Si vos machines virtuelles sont correctement configurées avec Trusted Launch, Defender for Cloud peut détecter et vous avertir des problèmes de santé des machines virtuelles.

• Alerte d’échec d’attestation de la machine virtuelle : Defender pour le cloud effectue régulièrement une attestation sur vos machines virtuelles. Cette attestation se produit également après le démarrage de votre machine virtuelle. Si l’attestation échoue, une alerte de gravité moyenne est déclenchée.

  Remarque

  Les alertes d’attestation de démarrage du client de machine virtuelle exposées dans Microsoft Defender for Cloud sont des informations et ne sont actuellement pas présentées dans le portail Defender.

  L’attestation de la machine virtuelle peut échouer pour les raisons suivantes :

  • Les informations attestées, qui comprennent un journal de démarrage, diffèrent d’une ligne de base approuvée. Tout écart peut indiquer que les modules non approuvés sont chargés et que le système d’exploitation peut être compromis.

  • Il n’a pas été possible de vérifier que la déclaration d’attestation provient du module vTPM de la machine virtuelle attestée. Une origine non vérifiée peut indiquer qu’un logiciel malveillant est présent et qu’il peut intercepter le trafic vers le module vTPM.

    Remarque

    Les alertes sont disponibles pour les machines virtuelles sur lesquelles le module vTPM est activé et l’extension d’attestation est installée. Le démarrage sécurisé doit être activé pour que l’attestation réussisse. L’attestation échoue si le Démarrage sécurisé est désactivé. Si vous devez désactiver le démarrage sécurisé, vous pouvez supprimer cette alerte pour éviter les faux positifs.

• Alerte pour le module noyau Linux non approuvé : si le lancement fiable avec démarrage sécurisé est activé, une machine virtuelle peut démarrer même si un pilote du noyau échoue à la validation et que son chargement est interdit. Si l’échec de validation du pilote du noyau se produit, Defender for Cloud émet des alertes de faible gravité. Certes, il n’y a aucune menace immédiate, car le pilote non fiable n’a pas été chargé, mais ces événements doivent faire l’objet d'une enquête. Posez-vous les questions suivantes :

  • Quel pilote du noyau a échoué ? Est-ce que je connais le pilote du noyau défaillant et est-ce que je m’attends à ce qu’il se charge ?
  • La version exacte du pilote est-elle la même que attendue ? Les fichiers binaires du pilote sont-ils intacts ? Si le pilote ayant échoué est un pilote partenaire, le partenaire a-t-il réussi les tests de conformité du système d’exploitation pour l’obtenir signé ?

(Disponibilité générale) Trusted Launch par défaut

Les clients du portail Azure, de PowerShell et de l’interface CLI bénéficient de Trusted Launch activé par défaut.

Activer TLaD (Lancement approuvé par défaut)

Pour rendre cette fonctionnalité disponible pour toutes les machines virtuelles que vous créez pour vos charges de travail par défaut, inscrivez d’abord la fonctionnalité TrustedLaunchByDefaultPreview sous l’espace Microsoft.Compute de noms de votre abonnement de machine virtuelle. Pour plus d’informations, consultez Configurer les fonctionnalités en préversion dans l’abonnement Azure.

Pour créer une machine virtuelle Gen2 ou un groupe de machines virtuelles identiques avec Trusted Launch activé par défaut, exécutez votre script de déploiement existant à l’aide du SDK Azure, de Terraform ou d’une autre méthode.

Déploiements de machines virtuelles et de scale sets identiques avec TLaD

Comportement existant

Pour créer une machine virtuelle et un groupe identique de Lancement fiable, vous devez ajouter l’élément securityProfile suivant dans le déploiement :

"securityProfile": {
    "securityType": "TrustedLaunch",
    "uefiSettings": {
        "secureBootEnabled": true,
        "vTpmEnabled": true,
    }
}

L’absence de l’élément securityProfile dans le code de déploiement entraîne le déploiement de la machine virtuelle et du groupe identique sans activer le Lancement fiable.

Exemples

• vm-windows-admincenter : le modèle Azure Resource Manager (ARM) déploie la machine virtuelle Gen2 sans activer le lancement approuvé.
• vm-simple-windows : le modèle ARM déploie la machine virtuelle de lancement approuvé (sans valeur par défaut, car securityProfile est explicitement ajouté au modèle ARM)

Nouveau comportement

À l’aide de l’API version 2025-11-01 ou ultérieure, le lancement approuvé est activé par défaut pour les nouvelles machines virtuelles et les groupes identiques déployés si les conditions suivantes sont remplies :

• L’image du système d’exploitation de Source Marketplace prend en charge le Lancement fiable.
• L’image du système d’exploitation Source ACG est compatible et validée pour le Lancement fiable.
• Le disque source prend en charge le lancement sécurisé.
• La taille de la machine virtuelle prend en charge le lancement sécurisé.

Le déploiement ne bascule pas par défaut sur Trusted Launch si une ou plusieurs des conditions répertoriées ne sont pas remplies, et il se termine correctement en créant une machine virtuelle Gen2 et un groupe identique de machines virtuelles sans Trusted Launch.

Vous pouvez choisir de passer explicitement outre le comportement par défaut pour le déploiement de machines virtuelles et de groupes identiques de machines virtuelles en définissant Standard comme valeur du paramètre securityType et en utilisant la version d’API 2025-11-01 ou une version ultérieure. Pour plus d’informations, consultez Puis-je désactiver Trusted Launch pour un nouveau déploiement de VM.

Limitations connues

Impossible de redimensionner une machine virtuelle ou un groupe de machines virtuelles identiques pour une famille de tailles de machine virtuelle de Lancement fiable non prise en charge (comme M-Series) après le Lancement fiable par défaut.

Le redimensionnement de la machine virtuelle de lancement approuvé vers la famille de tailles de machine virtuelle non prise en charge avec le lancement approuvé n’est pas pris en charge.

Comme atténuation, inscrivez l’indicateur de fonctionnalité UseStandardSecurityType sous l’espace de noms Microsoft.Compute ET restaurer la VM du lancement approuvé à Gen2 uniquement (lancement non approuvé) en définissant securityType = Standard à l’aide des outils clients disponibles (à l’exception du portail Azure).

Une fois qu’une machine virtuelle ou un groupe de machines virtuelles identiques est créé avec le lancement approuvé, vous ne pouvez pas le redimensionner dans une famille de tailles de machine virtuelle qui ne prend pas en charge le lancement approuvé, par exemple une taille de série M non prise en charge. Pour utiliser une taille non prise en charge, commencez par libérer la ressource, puis modifiez securityType en Standard à l’aide de l’API Microsoft.Compute version 2025-11-01 ou ultérieure via un outil client pris en charge. Cette opération n'est pas disponible dans le portail Azure.

Désactiver le TLaD

Pour désactiver TLaD, désinscrivez la fonctionnalité en version préliminaire TrustedLaunchByDefaultPreview dans l'espace de noms Microsoft.Compute sur l'abonnement de la machine virtuelle. Pour certaines machines virtuelles, vous pouvez contourner le TLaD en définissant le type de sécurité sur Standard. Pour plus d’informations, consultez la fonctionnalité Annuler l’inscription en préversion.

Contenu connexe

• Déployer une machine virtuelle avec lancement fiable.