Zaufane uruchamianie dla usługi Azure Kubernetes Service (AKS)

• Interfejs wiersza polecenia platformy Azure w wersji 2.66.0 lub nowszej. Uruchom polecenie az --version , aby znaleźć wersję i uruchomić polecenie az upgrade , aby uaktualnić wersję. Jeśli konieczna będzie instalacja lub uaktualnienie, zobacz Instalowanie interfejsu wiersza polecenia platformy Azure.

1. Utwórz klaster AKS za pomocą polecenia az aks create. Przed uruchomieniem polecenia przejrzyj następujące parametry:

   • --name: wprowadź unikatową nazwę klastra usługi AKS, taką jak myAKSCluster.
   • --resource-group: wprowadź nazwę istniejącej grupy zasobów do hostowania zasobu klastra usługi AKS.
   • --enable-secure-boot: umożliwia bezpieczny rozruch do uwierzytelniania obrazu podpisanego przez zaufanego wydawcę.
   • --enable-vtpm: Włącza moduł vTPM i przeprowadza poświadczenie poprzez pomiar całego łańcucha rozruchu maszyny wirtualnej.

   Uwaga

   Secure Boot wymaga podpisanych programów rozruchowych, jąder systemu operacyjnego i sterowników. Jeśli po włączeniu bezpiecznego rozruchu węzły nie są uruchamiane, możesz sprawdzić, które składniki rozruchu są odpowiedzialne za błędy bezpiecznego rozruchu na maszynie wirtualnej z systemem Linux platformy Azure. Zobacz weryfikowanie błędów bezpiecznego rozruchu.

   Poniższy przykład tworzy klaster o nazwie myAKSCluster z jednym węzłem w grupie myResourceGroup i włącza protokół Secure Boot i vTPM:

   az aks create \
       --name myAKSCluster \
       --resource-group myResourceGroup \
       --node-count 1 \
       --enable-secure-boot \
       --enable-vtpm \
       --generate-ssh-keys
   

2. Uruchom następujące polecenie, aby uzyskać poświadczenia dostępu dla klastra Kubernetes. Użyj polecenia az aks get-credentials i zastąp wartości nazwy klastra i nazwy grupy zasobów.

   az aks get-credentials --resource-group myResourceGroup --name myAKSCluster
   

1. Utwórz szablon z zaufanymi parametrami uruchamiania. Przed utworzeniem szablonu przejrzyj następujące parametry:

   • enableSecureBoot: umożliwia bezpieczny rozruch w celu uwierzytelnienia obrazu podpisanego przez zaufanego wydawcę.
   • enableVTPM: Włącza moduł vTPM i przeprowadza poświadczenie poprzez pomiar całego łańcucha rozruchu maszyny wirtualnej.

   W szablonie podaj wartości dla enableVTPM i enableSecureBoot. Ten sam schemat używany do wdrażania CLI istnieje w definicji w obszarze Microsoft.ContainerService/managedClusters/agentPools, jak pokazano w poniższym przykładzie:

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": true,
           "enableSecureBoot": true,
       }
   }
   

2. Wdróż szablon z włączonym vTPM i bezpiecznym rozruchem na swoim klastrze. Zapoznaj się z Wdrożenie klastra AKS przy użyciu szablonu ARM aby uzyskać szczegółowe instrukcje.

1. Utwórz plik Bicep z parametrami funkcji Trusted Launch. Przed utworzeniem pliku przejrzyj następujące parametry:

   • enableSecureBoot: umożliwia bezpieczny rozruch w celu uwierzytelnienia obrazu podpisanego przez zaufanego wydawcę.
   • enableVTPM: Włącza moduł vTPM i przeprowadza poświadczenie poprzez pomiar całego łańcucha rozruchu maszyny wirtualnej.

   W pliku Bicep podaj wartości dla enableVTPM i enableSecureBoot. Ten sam schemat używany do wdrażania CLI istnieje w definicji w obszarze Microsoft.ContainerService/managedClusters/agentPools, jak pokazano w poniższym przykładzie:

   properties: {
     // ...
     securityProfile: {
       enableVTPM: true
       enableSecureBoot: true
     }
   }
   

2. Wdróż plik Bicep przy użyciu protokołu vTPM i bezpiecznego rozruchu włączonego w klastrze. Aby uzyskać szczegółowe instrukcje, zobacz Deploy an AKS cluster using a Bicep file (Wdrażanie klastra usługi AKS przy użyciu pliku Bicep).

Dostawca AzureRM dla Terraform (azurerm) nie obsługuje funkcji Trusted Launch, ponieważ nie udostępnia ustawień puli węzłów Trusted Launch. Aby utworzyć klaster AKS z włączoną funkcją Trusted Launch, skorzystaj z instrukcji dotyczących interfejsu wiersza polecenia platformy Azure (Azure CLI), szablonu ARM lub narzędzia Bicep zawartych w tym artykule.

Portal Azure nie obsługuje tworzenia klastra AKS z włączoną funkcją Trusted Launch. Aby utworzyć klaster AKS z włączoną funkcją Trusted Launch, skorzystaj z opisanych w tym artykule instrukcji dotyczących interfejsu wiersza polecenia platformy Azure, szablonu ARM lub narzędzia Bicep.

1. Dodaj przy użyciu polecenia az aks nodepool add pulę węzłów z włączonym zaufanym uruchamianiem. Przed uruchomieniem polecenia przejrzyj następujące parametry:

   • --cluster-name: Wprowadź nazwę klastra AKS.
   • --resource-group: wprowadź nazwę istniejącej grupy zasobów do hostowania zasobu klastra usługi AKS.
   • --name: wprowadź unikatową nazwę puli węzłów. Nazwa puli węzłów może zawierać tylko małe litery alfanumeryczne i musi zaczynać się od małej litery. W przypadku pul węzłów systemu Linux długość musi wynosić od 1 do 11 znaków.
   • --node-count: liczba węzłów w puli agentów Kubernetes. Wartość domyślna to 3.
   • --enable-secure-boot: Umożliwia funkcji Secure Boot uwierzytelnianie obrazu podpisanego przez zaufanego wydawcę.
   • --enable-vtpm: Włącza moduł vTPM i przeprowadza poświadczenie poprzez pomiar całego łańcucha rozruchu maszyny wirtualnej.

   Uwaga

   Secure Boot wymaga podpisanych programów rozruchowych, jąder systemu operacyjnego i sterowników. Jeśli po włączeniu bezpiecznego rozruchu węzły nie są uruchamiane, możesz sprawdzić, które składniki rozruchu są odpowiedzialne za błędy bezpiecznego rozruchu na maszynie wirtualnej z systemem Linux platformy Azure. Zobacz weryfikowanie błędów bezpiecznego rozruchu.

   W poniższym przykładzie wdrożono pulę węzłów z włączoną funkcją vTPM i bezpieczny rozruch w klastrze o nazwie myAKSCluster z trzema węzłami:

   az aks nodepool add --resource-group myResourceGroup --cluster-name myAKSCluster --name mynodepool --node-count 3 --enable-vtpm --enable-secure-boot
   

2. Sprawdź, czy pula węzłów używa obrazu Trusted Launch.

   Zaufane węzły uruchamiania mają następujące dane wyjściowe:

   • Wersja obrazu węzła zawierająca element "TL", taki jak "AKSUbuntu-2204-gen2TLcontainerd".
   • Element "Security-type" powinien mieć wartość "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. Utwórz szablon z zaufanymi parametrami uruchamiania. Przed utworzeniem szablonu przejrzyj następujące parametry:

   • enableSecureBoot: umożliwia bezpieczny rozruch w celu uwierzytelnienia obrazu podpisanego przez zaufanego wydawcę.
   • enableVTPM: Włącza moduł vTPM i przeprowadza poświadczenie poprzez pomiar całego łańcucha rozruchu maszyny wirtualnej.

   W szablonie podaj wartości dla enableVTPM i enableSecureBoot. Ten sam schemat używany do wdrażania CLI istnieje w definicji w obszarze Microsoft.ContainerService/managedClusters/agentPools, jak pokazano w poniższym przykładzie:

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": true,
           "enableSecureBoot": true,
       }
   }
   

2. Wdróż szablon z włączonym vTPM i bezpiecznym rozruchem na swoim klastrze. Zapoznaj się z Wdrożenie klastra AKS przy użyciu szablonu ARM aby uzyskać szczegółowe instrukcje.

1. Utwórz plik Bicep z parametrami funkcji Trusted Launch. Przed utworzeniem pliku przejrzyj następujące parametry:

   • enableSecureBoot: umożliwia bezpieczny rozruch w celu uwierzytelnienia obrazu podpisanego przez zaufanego wydawcę.
   • enableVTPM: Włącza moduł vTPM i przeprowadza poświadczenie poprzez pomiar całego łańcucha rozruchu maszyny wirtualnej.

   W pliku Bicep podaj wartości dla enableVTPM i enableSecureBoot. Ten sam schemat używany do wdrażania CLI istnieje w definicji w obszarze Microsoft.ContainerService/managedClusters/agentPools, jak pokazano w poniższym przykładzie:

   properties: {
     // ...
     securityProfile: {
       enableVTPM: true
       enableSecureBoot: true
     }
   }
   

2. Wdróż plik Bicep z włączonymi funkcjami vTPM i bezpiecznego rozruchu w swoim klastrze. Aby uzyskać szczegółowe instrukcje, zobacz Deploy an AKS cluster using a Bicep file (Wdrażanie klastra usługi AKS przy użyciu pliku Bicep).

Dostawca AzureRM dla Terraform (azurerm) nie obsługuje funkcji Trusted Launch, ponieważ nie udostępnia ustawień puli węzłów Trusted Launch. Aby dodać pulę węzłów z włączoną funkcją Trusted Launch, skorzystaj z instrukcji dotyczących interfejsu wiersza polecenia platformy Azure (Azure CLI), szablonów ARM lub narzędzia Bicep zawartych w tym artykule.

Portal Azure nie obsługuje dodawania puli węzłów z włączonym zaufanym uruchamianiem. Aby dodać pulę węzłów z włączoną funkcją Trusted Launch, skorzystaj z instrukcji dotyczących interfejsu wiersza polecenia platformy Azure, szablonu ARM lub narzędzia Bicep zawartych w tym artykule.

1. Dodaj pulę węzłów z włączonymi funkcjami Trusted Launch i FIPS za pomocą polecenia az aks nodepool add. Przed uruchomieniem polecenia przejrzyj następujące parametry:

   • --cluster-name: Wprowadź nazwę klastra AKS.
   • --resource-group: wprowadź nazwę istniejącej grupy zasobów do hostowania zasobu klastra usługi AKS.
   • --name: wprowadź unikatową nazwę puli węzłów. Nazwa puli węzłów może zawierać tylko małe litery alfanumeryczne i musi zaczynać się od małej litery. W przypadku pul węzłów systemu Linux długość musi wynosić od 1 do 11 znaków.
   • --node-count: liczba węzłów w puli agentów Kubernetes. Wartość domyślna to 3.
   • --enable-secure-boot: Umożliwia funkcji Secure Boot uwierzytelnianie obrazu podpisanego przez zaufanego wydawcę.
   • --enable-vtpm: Włącza moduł vTPM i przeprowadza poświadczenie poprzez pomiar całego łańcucha rozruchu maszyny wirtualnej.
   • --enable-fips-image: włącza obraz węzła zgodny ze standardem FIPS dla puli węzłów.

   Uwaga

   Secure Boot wymaga podpisanych programów rozruchowych, jąder systemu operacyjnego i sterowników. Jeśli po włączeniu bezpiecznego rozruchu węzły nie są uruchamiane, możesz sprawdzić, które składniki rozruchu są odpowiedzialne za błędy bezpiecznego rozruchu na maszynie wirtualnej z systemem Linux platformy Azure. Zobacz weryfikowanie błędów bezpiecznego rozruchu.

   W poniższym przykładzie wdrożono pulę węzłów z włączoną funkcją vTPM, bezpiecznym rozruchem i standardem FIPS w klastrze o nazwie myAKSCluster z trzema węzłami:

   az aks nodepool add --resource-group myResourceGroup --cluster-name myAKSCluster --name mynodepool --node-count 3 --enable-vtpm --enable-secure-boot --enable-fips-image
   

2. Sprawdź, czy pula węzłów używa obrazu Trusted Launch.

   Zaufane węzły uruchamiania mają następujące dane wyjściowe:

   • Wersja obrazu Node zawierająca zarówno "TL", jak i "FIPS".
   • Parametr "Security-type" ma wartość "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. Utwórz szablon z parametrami Trusted Launch i FIPS. Przed utworzeniem szablonu przejrzyj następujące parametry:

   • enableSecureBoot: umożliwia bezpieczny rozruch w celu uwierzytelnienia obrazu podpisanego przez zaufanego wydawcę.
   • enableVTPM: Włącza moduł vTPM i przeprowadza poświadczenie poprzez pomiar całego łańcucha rozruchu maszyny wirtualnej.
   • enableFips: włącza obraz węzła zgodny ze standardem FIPS dla puli węzłów.

   W szablonie podaj wartości dla enableVTPM, enableSecureBoot i enableFips. Ten sam schemat używany do wdrażania CLI istnieje w definicji w obszarze Microsoft.ContainerService/managedClusters/agentPools, jak pokazano w poniższym przykładzie:

   "properties": {
       ...,
       "osSKU": "Ubuntu",
       "enableFips": true,
       "securityProfile": {
           "enableVTPM": true,
           "enableSecureBoot": true,
       }
   }
   

2. Wdróż szablon przy użyciu protokołu vTPM, bezpiecznego rozruchu i protokołu FIPS włączonego w klastrze. Zapoznaj się z Wdrożenie klastra AKS przy użyciu szablonu ARM aby uzyskać szczegółowe instrukcje.

1. Utwórz plik Bicep z parametrami Trusted Launch i FIPS. Przed utworzeniem pliku przejrzyj następujące parametry:

   • enableSecureBoot: umożliwia bezpieczny rozruch w celu uwierzytelnienia obrazu podpisanego przez zaufanego wydawcę.
   • enableVTPM: Włącza moduł vTPM i przeprowadza poświadczenie poprzez pomiar całego łańcucha rozruchu maszyny wirtualnej.
   • enableFips: włącza obraz węzła zgodny ze standardem FIPS dla puli węzłów.

   W pliku Bicep podaj wartości dla enableVTPM, enableSecureBooti enableFips. Ten sam schemat używany do wdrażania CLI istnieje w definicji w obszarze Microsoft.ContainerService/managedClusters/agentPools, jak pokazano w poniższym przykładzie:

   properties: {
     // ...
     osSKU: 'Ubuntu'
     enableFips: true
     securityProfile: {
       enableVTPM: true
       enableSecureBoot: true
     }
   }
   

2. Wdróż plik Bicep przy użyciu protokołu vTPM, bezpiecznego rozruchu i protokołu FIPS włączonego w klastrze. Aby uzyskać szczegółowe instrukcje, zobacz Deploy an AKS cluster using a Bicep file (Wdrażanie klastra usługi AKS przy użyciu pliku Bicep).

Dostawca AzureRM dla Terraform (azurerm) nie obsługuje funkcji Trusted Launch, ponieważ nie udostępnia ustawień puli węzłów Trusted Launch. Aby dodać pulę węzłów z włączonymi funkcjami Trusted Launch i obsługą standardu FIPS, skorzystaj z instrukcji dotyczących interfejsu wiersza polecenia platformy Azure, szablonu ARM lub narzędzia Bicep zawartych w tym artykule.

Portal Azure nie obsługuje dodawania puli węzłów z włączonym zaufanym uruchamianiem i standardem FIPS. Aby dodać pulę węzłów z włączonym zaufanym uruchamianiem oraz funkcją FIPS, skorzystaj z instrukcji dotyczących interfejsu wiersza polecenia platformy Azure, szablonu ARM lub języka Bicep opisanych w tym artykule.

1. Zaktualizuj pulę węzłów, aby włączyć vTPM lub bezpieczny rozruch za pomocą polecenia az aks nodepool update. Przed uruchomieniem polecenia przejrzyj następujące parametry:

   • --resource-group: Wprowadź nazwę istniejącej grupy zasobów hostującej istniejący klaster AKS.
   • --cluster-name: wprowadź unikatową nazwę klastra usługi AKS, taką jak myAKSCluster.
   • --name: wprowadź nazwę puli węzłów, taką jak mynodepool.
   • --enable-secure-boot: umożliwia bezpieczny rozruch w celu uwierzytelnienia, że obraz został podpisany przez zaufanego wydawcę.
   • --enable-vtpm: Włącza moduł vTPM i przeprowadza poświadczenie poprzez pomiar całego łańcucha rozruchu maszyny wirtualnej.

   Uwaga

   Secure Boot wymaga podpisanych programów rozruchowych, jąder systemu operacyjnego i sterowników. Jeśli po włączeniu bezpiecznego rozruchu węzły nie są uruchamiane, możesz sprawdzić, które składniki rozruchu są odpowiedzialne za błędy bezpiecznego rozruchu w ramach maszyny wirtualnej z systemem Azure Linux. Zobacz weryfikowanie błędów bezpiecznego rozruchu.

   Poniższy przykład aktualizuje pulę węzłów mynodepool w klastrze myAKSCluster w grupie myResourceGroup i włącza funkcję vTPM:

   az aks nodepool update --cluster-name myAKSCluster --resource-group myResourceGroup --name mynodepool --enable-vtpm
   

   Poniższy przykład aktualizuje pulę węzłów mynodepool na myAKSCluster w grupie myResourceGroup i włącza bezpieczny rozruch:

   az aks nodepool update --cluster-name myAKSCluster --resource-group myResourceGroup --name mynodepool --enable-secure-boot
   

   Poniższy przykład aktualizuje pulę węzłów mynodepool w klastrze myAKSCluster w grupie zasobów myResourceGroup i włącza zarówno moduł vTPM, jak i bezpieczny rozruch:

   az aks nodepool update \
       --cluster-name myAKSCluster \
       --resource-group myResourceGroup \
       --name mynodepool \
       --enable-vtpm \
       --enable-secure-boot
   

2. Po zakończeniu aktualizacji sprawdź, czy pula węzłów używa obrazu systemu Trusted Launch.

   Zaufane węzły uruchamiania mają następujące dane wyjściowe:

   • Wersja obrazu węzła zawierająca element "TL", taki jak "AKSUbuntu-2204-gen2TLcontainerd".
   • Parametr "Security-type" ma wartość "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. Zaktualizuj szablon ARM o parametry Trusted Launch. Przed zaktualizowaniem szablonu zapoznaj się z następującymi parametrami:

   • enableSecureBoot: umożliwia bezpieczny rozruch w celu uwierzytelnienia obrazu podpisanego przez zaufanego wydawcę.
   • enableVTPM: Włącza moduł vTPM i przeprowadza poświadczenie poprzez pomiar całego łańcucha rozruchu maszyny wirtualnej.

   W szablonie ustaw enableVTPM, enableSecureBoot lub oba w puli węzłów securityProfile. Poniższy przykład umożliwia zarówno protokół vTPM, jak i bezpieczny rozruch:

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": true,
           "enableSecureBoot": true,
       }
   }
   

2. Wdróż zaktualizowany szablon z włączonym modułem vTPM i bezpiecznym rozruchem na swojej puli węzłów. Szczegółowe instrukcje znajdują się w artykule Wdrażanie klastra AKS przy użyciu szablonu ARM.

3. Po zakończeniu wdrożenia sprawdź, czy pula węzłów używa obrazu Trusted Launch.

   Zaufane węzły uruchamiania mają następujące dane wyjściowe:

   • Wersja obrazu węzła zawierająca element "TL", taki jak "AKSUbuntu-2204-gen2TLcontainerd".
   • Parametr "Security-type" ma wartość "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. Zaktualizuj plik Bicep o parametry funkcji Trusted Launch. Przed zaktualizowaniem pliku zapoznaj się z następującymi parametrami:

   • enableSecureBoot: umożliwia bezpieczny rozruch w celu uwierzytelnienia obrazu podpisanego przez zaufanego wydawcę.
   • enableVTPM: Włącza moduł vTPM i przeprowadza poświadczenie poprzez pomiar całego łańcucha rozruchu maszyny wirtualnej.

   W pliku Bicep ustaw enableVTPM, enableSecureBoot lub oba w puli węzłów securityProfile. Poniższy przykład umożliwia zarówno protokół vTPM, jak i bezpieczny rozruch:

   properties: {
     // ...
     securityProfile: {
       enableVTPM: true
       enableSecureBoot: true
     }
   }
   

2. Wdróż zaktualizowany plik Bicep z włączonymi funkcjami vTPM i bezpiecznego rozruchu w puli węzłów. Aby uzyskać szczegółowe instrukcje, zobacz temat Wdrażanie klastra AKS przy użyciu pliku Bicep.

3. Po zakończeniu wdrożenia sprawdź, czy pula węzłów używa obrazu Trusted Launch.

   Zaufane węzły uruchamiania mają następujące dane wyjściowe:

   • Wersja obrazu węzła zawierająca element "TL", taki jak "AKSUbuntu-2204-gen2TLcontainerd".
   • Parametr "Security-type" ma wartość "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

Dostawca AzureRM dla Terraform (azurerm) nie obsługuje funkcji Trusted Launch, ponieważ nie udostępnia ustawień puli węzłów Trusted Launch. Aby włączyć vTPM lub bezpieczny rozruch w istniejącej puli węzłów, skorzystaj z instrukcji dotyczących interfejsu wiersza polecenia platformy Azure (Azure CLI), szablonów ARM lub narzędzia Bicep opisanych w tym artykule.

Portal Azure nie obsługuje włączania protokołu vTPM ani bezpiecznego rozruchu w istniejącej puli węzłów. Aby włączyć vTPM lub bezpieczny rozruch w istniejącej puli węzłów, użyj instrukcji dotyczących interfejsu wiersza polecenia platformy Azure (Azure CLI), szablonów ARM lub narzędzia Bicep zawartych w tym artykule.

1. Zaktualizuj pulę węzłów, aby wyłączyć funkcję Bezpiecznego rozruchu lub vTPM za pomocą polecenia az aks nodepool update. Przed uruchomieniem polecenia przejrzyj następujące parametry:

   • --resource-group: Wprowadź nazwę istniejącej grupy zasobów hostującej istniejący klaster AKS.
   • --cluster-name: wprowadź unikatową nazwę klastra usługi AKS, taką jak myAKSCluster.
   • --name: wprowadź nazwę puli węzłów, taką jak mynodepool.
   • --disable-secure-boot: wyłącza bezpieczny rozruch.
   • --disable-vtpm: wyłącza vTPM.

   Poniższy przykład aktualizuje pulę węzłów mynodepool w klastrze myAKSCluster w grupie myResourceGroup i wyłącza funkcję vTPM:

   az aks nodepool update --cluster-name myAKSCluster --resource-group myResourceGroup --name mynodepool --disable-vtpm
   

   Poniższy przykład aktualizuje pulę węzłów mynodepool w klastrze myAKSCluster w grupie zasobów myResourceGroup i wyłącza bezpieczny rozruch:

   az aks nodepool update --cluster-name myAKSCluster --resource-group myResourceGroup --name mynodepool --disable-secure-boot
   

   Poniższy przykład aktualizuje pulę węzłów mynodepool w klastrze myAKSCluster w grupie zasobów myResourceGroup i wyłącza zarówno moduł vTPM, jak i funkcję bezpiecznego rozruchu:

   az aks nodepool update \
       --cluster-name myAKSCluster \
       --resource-group myResourceGroup \
       --name mynodepool \
       --disable-vtpm \
       --disable-secure-boot
   

2. Po zakończeniu aktualizacji sprawdź, czy pula węzłów używa oczekiwanego obrazu.

   Jeśli vTPM lub Bezpieczny rozruch pozostają włączone, węzły Trusted Launch zwracają następujące dane wyjściowe:

   • Wersja obrazu węzła zawierająca element "TL", taki jak "AKSUbuntu-2204-gen2TLcontainerd".
   • Parametr "Security-type" ma wartość "Trusted Launch".

   Jeśli wyłączysz zarówno vTPM, jak i funkcję Bezpiecznego rozruchu, wersja obrazu węzła nie powinna zawierać elementu "TL", a element "Security-type" nie powinien mieć wartości "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. Zaktualizuj szablon ARM o parametry funkcji Trusted Launch. Przed zaktualizowaniem szablonu zapoznaj się z następującymi parametrami:

   • enableSecureBoot: umożliwia bezpieczny rozruch w celu uwierzytelnienia obrazu podpisanego przez zaufanego wydawcę.
   • enableVTPM: Włącza moduł vTPM i przeprowadza poświadczenie poprzez pomiar całego łańcucha rozruchu maszyny wirtualnej.

   W szablonie ustaw enableVTPM, enableSecureBoot lub oba te elementy w puli węzłów securityProfile. Poniższy przykład wyłącza zarówno protokół vTPM, jak i bezpieczny rozruch:

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": false,
           "enableSecureBoot": false,
       }
   }
   

2. Wdróż zaktualizowany szablon z wyłączonymi modułem vTPM i funkcją Bezpieczny rozruch w swojej puli węzłów. Aby uzyskać szczegółowe instrukcje, zobacz Wdrażanie klastra AKS przy użyciu szablonu ARM.

3. Po zakończeniu wdrażania sprawdź, czy pula węzłów używa oczekiwanego obrazu.

   Jeśli funkcja vTPM lub bezpieczny rozruch pozostają włączone, węzły Trusted Launch zwracają następujące dane wyjściowe:

   • Wersja obrazu węzła zawierająca element "TL", taki jak "AKSUbuntu-2204-gen2TLcontainerd".
   • Parametr "Security-type" ma wartość "Trusted Launch".

   Jeśli wyłączysz zarówno vTPM, jak i Secure Boot, wersja obrazu węzła nie powinna zawierać "TL", a "Security-type" nie powinno być "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. Zaktualizuj plik Bicep przy użyciu parametrów zaufanego uruchamiania. Przed zaktualizowaniem pliku zapoznaj się z następującymi parametrami:

   • enableSecureBoot: umożliwia bezpieczny rozruch w celu uwierzytelnienia obrazu podpisanego przez zaufanego wydawcę.
   • enableVTPM: Włącza moduł vTPM i przeprowadza poświadczenie poprzez pomiar całego łańcucha rozruchu maszyny wirtualnej.

   W pliku Bicep ustaw enableVTPM, enableSecureBoot lub oba w puli węzłów securityProfile. Poniższy przykład wyłącza zarówno protokół vTPM, jak i bezpieczny rozruch:

   properties: {
     // ...
     securityProfile: {
       enableVTPM: false
       enableSecureBoot: false
     }
   }
   

2. Wdróż zaktualizowany plik Bicep z wyłączonymi funkcjami vTPM i bezpiecznego rozruchu w puli węzłów. Aby uzyskać szczegółowe instrukcje, zobacz temat Wdrażanie klastra AKS przy użyciu pliku Bicep.

3. Po zakończeniu wdrażania sprawdź, czy pula węzłów używa oczekiwanego obrazu.

   Jeśli funkcja vTPM lub bezpieczny rozruch pozostają włączone, węzły Trusted Launch zwracają następujące dane wyjściowe:

   • Wersja obrazu węzła zawierająca element "TL", taki jak "AKSUbuntu-2204-gen2TLcontainerd".
   • Parametr "Security-type" ma wartość "Trusted Launch".

   Jeśli wyłączysz zarówno vTPM, jak i Secure Boot, wersja obrazu węzła nie powinna zawierać "TL", a "Security-type" nie powinno być "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

Dostawca AzureRM dla Terraform (azurerm) nie obsługuje funkcji Trusted Launch, ponieważ nie udostępnia ustawień puli węzłów Trusted Launch. Aby wyłączyć vTPM lub funkcję bezpiecznego rozruchu w istniejącej puli węzłów, skorzystaj z instrukcji dotyczących interfejsu wiersza polecenia platformy Azure (Azure CLI), szablonów ARM lub rozwiązania Bicep zawartych w tym artykule.

Portal Azure nie obsługuje wyłączania programu vTPM ani bezpiecznego rozruchu w istniejącej puli węzłów. Aby wyłączyć moduł vTPM lub funkcję Bezpieczny rozruch w istniejącej puli węzłów, skorzystaj z instrukcji dotyczących interfejsu wiersza polecenia platformy Azure (Azure CLI), szablonów ARM lub narzędzia Bicep zawartych w tym artykule.