Vertrouwde start voor Azure virtuele machines

Applies to: ✔️ Linux VMs ✔️ Windows VMs ✔️ Flexibele schaalsets ✔️ Uniforme schaalsets

Azure Trusted Launch biedt een eenvoudige manier om de beveiliging van virtuele machines van de tweede generatie (VM's) te verbeteren. Trusted Launch beschermt tegen geavanceerde en permanente aanvalstechnieken door verbeterde bescherming te bieden tegen bootkits, rootkits en malwareaanvallen op laag niveau. Er worden verschillende gecoördineerde infrastructuurtechnologieën gebruikt die u onafhankelijk kunt inschakelen. Elke technologie voegt een andere verdedigingslaag toe tegen geavanceerde bedreigingen.

Trusted Launch wordt ondersteund voor zowel x64- als Arm64-architecturen.

Vergoedingen

• Implementeer virtuele machines met geverifieerde opstartlaadders, besturingssysteemkernels en stuurprogramma's veilig.
• Beveilig sleutels, certificaten en geheimen veilig in de VM's.
• Krijg inzicht en vertrouwen in de integriteit van de gehele opstartketen.
• Zorg ervoor dat workloads betrouwbaar en verifieerbaar zijn.

Grootten van virtuele machines

¹Arm64 Cobalt 100-gebaseerde maten die ondersteuning bieden voor Vertrouwde Lancering.

²HBv2-serie wordt momenteel ondersteund voor Trusted Launch, maar is gepland voor uitfasering op 31 mei 2027. Voor nieuwe HPC Trusted Launch-implementaties geeft u de voorkeur aan HBv5-serie, HX-serie, HBv4-serie of HBv3-seriegrootten.

³De grootten van de HC-serie (Standard_HC44rs, Standard_HC44-16rs, Standard_HC44-32rs) zijn gepland voor buitengebruikstelling op 31 mei 2027. Na deze datum worden de resterende VM's uit de HC-serie gedealloceerd en worden er geen kosten meer in rekening gebracht. De HC-serie zal dan geen SLA of ondersteuning meer bieden. De verkoop van gereserveerde instanties van 1 jaar en 3 jaar is beëindigd op 2 april 2026. Voor nieuwe HPC Trusted Launch-implementaties kunt u HBv5-serie overwegen voor hogere prestaties en betere prijsprestaties of HX-serie voor HPC-workloads met hoog geheugen. Maak een plan om al ruim vóór de buitengebruikstellingsdatum met de HC-serie te stoppen om onderbrekingen te voorkomen.

Ondersteunde besturingssystemen

* Variaties van dit besturingssysteem worden ondersteund.

Meer informatie

Regio's:

• Alle openbare regio's
• Alle Azure Overheid regio's
• Alle Azure China-regio's

Prijzen: Vertrouwde Start verhoogt de bestaande VM-kosten niet.

Niet-ondersteunde functies

Momenteel worden de volgende VM-functies niet ondersteund met Vertrouwde start:

• Managed Image (klanten worden aangemoedigd om Azure Compute Gallery te gebruiken).
• Linux VM-sluimerstand

Beveiligd opstarten

Aan de basis van Vertrouwde start staat Secure Boot voor uw virtuele machine. Beveiligd opstarten, dat is geïmplementeerd in platformfirmware, beschermt tegen de uitvoering van op malware gebaseerde rootkits en bootkits. Beveiligd opstarten werkt om ervoor te zorgen dat alleen ondertekende besturingssystemen en stuurprogramma's kunnen worden opgestart. Hiermee wordt een 'vertrouwensanker' voor de softwarestack op uw virtuele machine tot stand gebracht.

Als Beveiligd opstarten is ingeschakeld, moeten alle opstartonderdelen van het besturingssysteem (opstartlaadprogramma, kernel, kernelstuurprogramma's) vertrouwde uitgevers ondertekenen. Zowel Windows als grote Linux-distributies ondersteunen Beveiligd opstarten. Als Secure Boot niet kan verifiëren dat de image is ondertekend door een vertrouwde uitgever, start de VM niet op. Zie voor meer informatie beveiligd opstarten.

vTPM

Trusted Launch introduceert ook virtuele Trusted Platform Module (vTPM) voor Azure VM's. Deze gevirtualiseerde versie van een vertrouwde platformmodule voor hardware voldoet aan de TPM2.0-specificatie. Het fungeert als een speciale beveiligde kluis voor sleutels en metingen.

Trusted Launch biedt uw virtuele machine een eigen toegewezen TPM-instantie die wordt uitgevoerd in een beveiligde omgeving buiten het bereik van elke virtuele machine. Met vTPM kunt u attestation inschakelen door de volledige opstartketen van uw VM (UEFI, BEsturingssysteem, systeem en stuurprogramma's) te meten.

Trusted Launch maakt gebruik van vTPM om externe attestation uit te voeren via de cloud. Attestations maken platformstatuscontroles mogelijk en worden gebruikt voor het nemen van beslissingen op basis van vertrouwen. Als statuscontrole kan Trusted Launch cryptografisch certificeren dat uw VIRTUELE machine correct is opgestart.

Als het proces mislukt, mogelijk omdat uw VM een niet-geautoriseerd onderdeel uitvoert, Microsoft Defender voor Cloud integriteitswaarschuwingen krijgt. De waarschuwingen bevatten details over welke onderdelen niet voldoen aan integriteitscontroles.

Beveiliging op basis van virtualisatie

Beveiliging op basis van virtualisatie (VBS) maakt gebruik van de hypervisor om een beveiligd en geïsoleerd geheugengebied te maken. Windows gebruikt deze regio's om verschillende beveiligingsoplossingen uit te voeren met verbeterde bescherming tegen beveiligingsproblemen en schadelijke aanvallen. Met Trusted Launch kunt u de integriteit van hypervisorcode (HVCI) en Windows Defender Credential Guard inschakelen.

HVCI is een krachtige systeembeperking die Windows kernelmodusprocessen beschermt tegen injectie en uitvoering van schadelijke of niet-geverifieerde code. De kernelmodusstuurprogramma's en binaire bestanden worden gecontroleerd voordat ze worden uitgevoerd, waardoor niet-ondertekende bestanden niet in het geheugen kunnen worden geladen. Controleert of uitvoerbare code niet kan worden gewijzigd nadat het door HVCI is toegestaan om te laden. Zie Beveiliging op basis van virtualisatie en door hypervisor afgedwongen code-integriteit voor meer informatie over VBS en HVCI.

Met Vertrouwde start en VBS kunt u Windows Defender Credential Guard inschakelen. Credential Guard isoleert en beveiligt geheimen, zodat alleen bevoegde systeemsoftware toegang heeft tot deze geheimen. Het helpt onbevoegde toegang tot geheimen en diefstalaanvallen van referenties te voorkomen, zoals Pass-the-Hash-aanvallen. Zie Credential Guard voor meer informatie.

integratie van Microsoft Defender voor Cloud

Vertrouwde start is geïntegreerd met Defender voor Cloud om ervoor te zorgen dat uw VM's correct zijn geconfigureerd. Defender voor Cloud voortdurend compatibele VM's beoordeelt en relevante aanbevelingen geeft:

• Aanbeveling voor het inschakelen van beveiligd opstarten: de aanbeveling beveiligd opstarten is alleen van toepassing op VM's die ondersteuning bieden voor vertrouwd starten. Defender voor Cloud identificeert VM's waarvoor beveiligd opstarten is uitgeschakeld. Er wordt een aanbeveling met een lage ernst opgegeven om deze in te schakelen.

• Aanbeveling om vTPM in te schakelen: als vTPM is ingeschakeld voor vm's, kan Defender voor Cloud deze gebruiken om gastattestatie uit te voeren en geavanceerde bedreigingspatronen te identificeren. Als Defender voor Cloud VM's identificeert die ondersteuning bieden voor Vertrouwde lancering met vTPM uitgeschakeld, wordt er een aanbeveling met een lage ernst opgegeven om deze in te schakelen.

• Aanbeveling voor het installeren van de gastattestatie-extensie: Als op uw virtuele machine Secure Boot en vTPM zijn ingeschakeld, maar de gastattestatie-extensie niet is geïnstalleerd, geeft Defender voor Cloud een lage prioriteitsaanbeveling om de gastattestatie-extensie te installeren. Met deze extensie kan Defender voor Cloud proactief de opstartintegriteit van uw VM's bevestigen en bewaken. Opstartintegriteit wordt geattesteerd via remote attestation.

• Attestation-statusbeoordeling of bewaking van opstartintegriteit: Als op uw VM Beveiligd opstarten en vTPM is ingeschakeld en de Attestation-extensie is geïnstalleerd, kan Defender voor Cloud op afstand valideren of uw VM op een gezonde manier is opgestart. Deze praktijk staat bekend als monitoring van de integriteit van het opstartproces. Defender voor Cloud geeft een evaluatie uit die de status van externe attestation aangeeft.

  Als uw VM's correct zijn ingesteld met Vertrouwde Launch, kan Defender voor Cloud detecteren en u waarschuwen voor problemen met de VM-status.

• Alert voor VM-attestation-fout: Defender voor Cloud voert regelmatig attestation uit op uw VM's. De attestation vindt ook plaats nadat de VM is opgestart. Als de attestation mislukt, wordt er een waarschuwing met een gemiddelde ernst geactiveerd.

  Notitie

  Vm client opstartbevestigingswaarschuwingen die in Microsoft Defender voor Cloud verschijnen zijn informatief en worden daarom momenteel niet in het Defender-portaal weergegeven.

  VM-attestation kan om de volgende redenen mislukken:

  • De geteste informatie, die een opstartlogboek bevat, wijkt af van een vertrouwde basislijn. Elke afwijking kan erop wijzen dat niet-vertrouwde modules worden geladen en dat het besturingssysteem kan worden aangetast.

  • De attestatie kan niet worden geverifieerd als afkomstig zijnde van de vTPM van de geattesteerde VM. Een niet-geverifieerde oorsprong kan erop wijzen dat malware aanwezig is en kan verkeer naar de vTPM onderscheppen.

    Notitie

    Waarschuwingen zijn beschikbaar voor VM's waarvoor vTPM is ingeschakeld en de Attestation-extensie is geïnstalleerd. Beveiligd opstarten moet zijn ingeschakeld om de attestatie te laten slagen. Attestation mislukt als Beveiligd opstarten is uitgeschakeld. Als u Secure Boot moet uitschakelen, kunt u deze waarschuwing onderdrukken om vals-positieven te voorkomen.

• Waarschuwing voor niet-vertrouwde Linux-kernelmodule: voor vertrouwd starten met Beveiligd opstarten ingeschakeld, is het mogelijk dat een VIRTUELE machine wordt opgestart, zelfs als een kernelstuurprogramma de validatie mislukt en niet kan worden geladen. Als er een fout optreedt bij de validatie van kernelstuurprogramma's, geeft Defender voor Cloud waarschuwingen met een lage ernst af. Hoewel er geen onmiddellijke bedreiging is, omdat het niet-vertrouwde stuurprogramma niet is geladen, moeten deze gebeurtenissen worden onderzocht. Stel uzelf de volgende vragen:

  • Welk kernelstuurprogramma is mislukt? Ben ik bekend met het mislukte kernelstuurprogramma en verwacht ik dat het wordt geladen?
  • Is de exacte versie van het stuurprogramma hetzelfde als verwacht? Zijn de stuurprogramma-binaries intact? Als het mislukte stuurprogramma een partnerstuurprogramma is, heeft de partner de nalevingstests van het besturingssysteem doorstaan om het te ondertekenen?

(Algemene beschikbaarheid) Vertrouwde start als standaard

Azure portal-, PowerShell- en CLI-klanten worden standaard vertrouwd starten ingeschakeld.

TLaD inschakelen (Trusted Launch als standaard)

Als u deze functie standaard beschikbaar wilt maken voor alle VM's die u voor uw workloads maakt, moet u eerst de functie TrustedLaunchByDefaultPreview registreren onder de Microsoft.Compute naamruimte in uw abonnement op de virtuele machine. Zie Preview-functies instellen in een Azure-abonnement voor meer informatie.

Voer uw bestaande implementatiescript uit via Azure SDK, Terraform of een andere methode om een nieuwe Gen2-VM of schaalset te maken met de standaardinstelling Vertrouwde start.

VM- en schaalsetimplementeringen met TLaD

Bestaand gedrag

Als u een Trusted Launch opstart-VM en schaalset wilt maken, moet u het volgende securityProfile-element toevoegen bij de implementatie.

"securityProfile": {
    "securityType": "TrustedLaunch",
    "uefiSettings": {
        "secureBootEnabled": true,
        "vTpmEnabled": true,
    }
}

Als het securityProfile-element niet aanwezig is in de implementatiecode, worden VM en schaalset uitgevoerd zonder Trusted Launch in te schakelen.

Voorbeelden

• vm-windows-admincenter – De Azure Resource Manager (ARM)-sjabloon implementeert een Gen2 VM zonder Trusted Launch in te schakelen.
• vm-simple-windows : met de ARM-sjabloon implementeert Trusted Launch-VM (zonder standaardinstelling, aangezien securityProfile expliciet aan de ARM-sjabloon is toegevoegd)

Nieuw gedrag

Met API-versie 2025-11-01 of hoger is Vertrouwde start standaard ingeschakeld voor nieuwe VM's en schaalsets die zijn geïmplementeerd als aan de volgende voorwaarden wordt voldaan:

• Broninstallatiekopieën van Marketplace-besturingssysteem ondersteunen vertrouwde lancering.
• De ACG OS-bronimage ondersteunt en is gevalideerd voor vertrouwde start.
• Bronstation ondersteunt beveiligde opstart.
• VM-grootte ondersteunt vertrouwd starten.

De implementatie wordt niet standaard uitgevoerd met Trusted Launch als niet aan een of meer van de genoemde voorwaarden is voldaan, en wordt toch voltooid om een nieuwe Gen2-VM en een nieuwe schaalset zonder Trusted Launch te maken.

U kunt ervoor kiezen om de standaardinstelling voor vm- en schaalsetimplementatie expliciet te omzeilen door de waarde van de parameter securityType in te stellen Standard en API-versie 2025-11-01 of hoger te gebruiken. Zie Kan ik Vertrouwde start uitschakelen voor een nieuwe VM-implementatie voor meer informatie.

Bekende beperkingen

Kan de grootte van VM's of VMSS niet wijzigen naar een niet-ondersteunde familie van vertrouwde opstart-VM-groottes (zoals de M-serie) nadat standaard is overgeschakeld naar vertrouwd opstarten.

Het wijzigen van de vertrouwde start-VM naar een VM-groottefamilie die niet wordt ondersteund met vertrouwde start zal niet worden ondersteund.

Als mitigatie registreert u de functievlag UseStandardSecurityType onder de naamruimte Microsoft.Compute en draai de vm terug van Trusted launch naar alleen Gen2 (niet-vertrouwde lancering). Stel securityType = Standard in met behulp van beschikbare clienthulpprogramma's (behalve Azure portal).

Nadat een VM- of VM-schaalset is gemaakt met Vertrouwde start, kunt u de grootte ervan niet wijzigen in een vm-groottefamilie die geen ondersteuning biedt voor Vertrouwde start, zoals een niet-ondersteunde grootte van de M-serie. Als u een niet-ondersteunde grootte wilt gebruiken, moet u eerst de toewijzing van de resource opheffen en securityType wijzigen in Standard met behulp van Microsoft.Compute API-versie 2025-11-01 of hoger via een ondersteunde clienttool. Deze bewerking is niet beschikbaar in de Azure-portal.

TLaD uitschakelen

Als u TLaD wilt uitschakelen, moet u de registratie van de preview-functie TrustedLaunchByDefaultPreview ongedaan maken onder de Microsoft.Compute naamruimte van het abonnement van de virtuele machine. Voor specifieke VM's kunt u TLaD overslaan door het beveiligingstype in te stellen op Standard. Zie De registratie van de preview-functie ongedaan maken voor meer informatie.

Gerelateerde inhoud

• Implementeer een vertrouwde start-VM.