Início Confiável para o Serviço de Kubernetes do Azure (AKS)

• A CLI do Azure versão 2.66.0 ou posterior. Execute az --version para localizar a versão e az upgrade para atualizar a versão. Se você precisa instalar ou atualizar, consulte Instalar a CLI do Azure.

1. Crie um cluster do AKS usando o comando az aks create. Antes de executar o comando, revise os seguintes parâmetros:

   • --name: insira um nome exclusivo para o cluster do AKS, como myAKSCluster.
   • --resource-group: insira o nome de um grupo de recursos existente para hospedar o recurso de cluster do AKS.
   • --enable-secure-boot: permite que a Inicialização Segura autentique uma imagem assinada por um editor confiável.
   • --enable-vtpm: habilita o vTPM e executa o atestado medindo toda a cadeia de inicialização da VM.

   Observação

   A inicialização segura exige carregadores de inicialização, kernels do sistema operacional e drivers assinados. Se depois que você habilitar a inicialização segura, seus nós não forem iniciados, você poderá verificar quais componentes de inicialização são responsáveis por falhas da inicialização segura em uma Máquina Virtual do Azure Linux. Confira Verificar falhas da inicialização segura.

   O seguinte exemplo cria um cluster chamado myAKSCluster com um nó em myResourceGroup e habilita a inicialização segura e o vTPM:

   az aks create \
       --name myAKSCluster \
       --resource-group myResourceGroup \
       --node-count 1 \
       --enable-secure-boot \
       --enable-vtpm \
       --generate-ssh-keys
   

2. Execute o comando a seguir para obter credenciais de acesso para o cluster do Kubernetes. Use o comando az aks get-credentials e substitua os valores pelo nome do cluster e o nome do grupo de recursos.

   az aks get-credentials --resource-group myResourceGroup --name myAKSCluster
   

1. Crie um modelo com parâmetros de Início Confiável. Antes de criar o modelo, examine os seguintes parâmetros:

   • enableSecureBoot: permite que a inicialização segura autentique uma imagem assinada por um publicador confiável.
   • enableVTPM: habilita o vTPM e executa o atestado medindo toda a cadeia de inicialização da VM.

   Em seu modelo, forneça valores para enableVTPM e enableSecureBoot. O mesmo esquema usado para implantação da CLI existe na definição Microsoft.ContainerService/managedClusters/agentPools abaixo de "properties", conforme mostrado no exemplo a seguir:

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": true,
           "enableSecureBoot": true,
       }
   }
   

2. Implante o seu modelo com o vTPM e a inicialização segura habilitados no cluster. Confira Implantar um cluster do AKS usando um modelo do ARM para obter instruções detalhadas.

1. Crie um arquivo Bicep com parâmetros de Inicialização Confiável. Antes de criar o arquivo, examine os seguintes parâmetros:

   • enableSecureBoot: permite que a inicialização segura autentique uma imagem assinada por um publicador confiável.
   • enableVTPM: habilita o vTPM e executa o atestado medindo toda a cadeia de inicialização da VM.

   Em seu arquivo Bicep, forneça valores para enableVTPM e enableSecureBoot. O mesmo esquema usado para implantação da CLI existe na definição Microsoft.ContainerService/managedClusters/agentPools abaixo de properties, conforme mostrado no exemplo a seguir:

   properties: {
     // ...
     securityProfile: {
       enableVTPM: true
       enableSecureBoot: true
     }
   }
   

2. Implante seu arquivo Bicep com o vTPM e a inicialização segura habilitada no cluster. Consulte Implantar um cluster do AKS usando um arquivo Bicep para obter instruções detalhadas.

O provedor Terraform do AzureRM (azurerm) não dá suporte ao Lançamento Confiável porque não expõe as configurações do pool de nós de Inicialização Confiável. Para criar um cluster do AKS com o Lançamento Confiável habilitado, use as instruções CLI do Azure, modelo do ARM ou Bicep neste artigo.

O portal do Azure não dá suporte à criação de um cluster do AKS com o Lançamento Confiável habilitado. Para criar um cluster do AKS com o Lançamento Confiável habilitado, use as instruções CLI do Azure, modelo do ARM ou Bicep neste artigo.

1. Adicione um pool de nós com o Início ConfiIável habilitado usando o comando az aks nodepool add. Antes de executar o comando, revise os seguintes parâmetros:

   • --cluster-name: Insira o nome do cluster AKS.
   • --resource-group: insira o nome de um grupo de recursos existente para hospedar o recurso de cluster do AKS.
   • --name: insira um nome único para o pool de nós. O nome de um pool de nós só pode conter caracteres alfanuméricos minúsculos e deve começar com uma letra minúscula. Para node pools do Linux, o comprimento deve estar entre 1 e 11 caracteres.
   • --node-count: o número de nós no pool de agentes do Kubernetes. O padrão é 3.
   • --enable-secure-boot: permite que a Inicialização Segura autentique a imagem assinada por um editor confiável.
   • --enable-vtpm: habilita o vTPM e executa o atestado medindo toda a cadeia de inicialização da VM.

   Observação

   A inicialização segura exige carregadores de inicialização, kernels do sistema operacional e drivers assinados. Se depois que você habilitar a inicialização segura, seus nós não forem iniciados, você poderá verificar quais componentes de inicialização são responsáveis por falhas da inicialização segura em uma Máquina Virtual do Azure Linux. Confira Verificar falhas da inicialização segura.

   O seguinte exemplo implanta um pool de nós com a inicialização segura e o vTPM habilitados em um cluster chamado myAKSCluster com três nós:

   az aks nodepool add --resource-group myResourceGroup --cluster-name myAKSCluster --name mynodepool --node-count 3 --enable-vtpm --enable-secure-boot
   

2. Verifique se o pool de nós está usando uma imagem de Início Confiável.

   Os nós de Início Confiável têm a seguinte saída:

   • Versão da imagem do nó que contém "TL", como "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" deve ser "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. Crie um modelo com parâmetros de Início Confiável. Antes de criar o modelo, examine os seguintes parâmetros:

   • enableSecureBoot: permite que a inicialização segura autentique uma imagem assinada por um publicador confiável.
   • enableVTPM: habilita o vTPM e executa o atestado medindo toda a cadeia de inicialização da VM.

   Em seu modelo, forneça valores para enableVTPM e enableSecureBoot. O mesmo esquema usado para implantação da CLI existe na definição Microsoft.ContainerService/managedClusters/agentPools abaixo de "properties", conforme mostrado no exemplo a seguir:

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": true,
           "enableSecureBoot": true,
       }
   }
   

2. Implante o seu modelo com o vTPM e a inicialização segura habilitados no cluster. Confira Implantar um cluster do AKS usando um modelo do ARM para obter instruções detalhadas.

1. Crie um arquivo Bicep com parâmetros de Inicialização Confiável. Antes de criar o arquivo, examine os seguintes parâmetros:

   • enableSecureBoot: permite que a inicialização segura autentique uma imagem assinada por um publicador confiável.
   • enableVTPM: habilita o vTPM e executa o atestado medindo toda a cadeia de inicialização da VM.

   Em seu arquivo Bicep, forneça valores para enableVTPM e enableSecureBoot. O mesmo esquema usado para implantação da CLI existe na definição Microsoft.ContainerService/managedClusters/agentPools abaixo de properties, conforme mostrado no exemplo a seguir:

   properties: {
     // ...
     securityProfile: {
       enableVTPM: true
       enableSecureBoot: true
     }
   }
   

2. Implante seu arquivo Bicep com o vTPM e a inicialização segura habilitada no cluster. Consulte Implantar um cluster do AKS usando um arquivo Bicep para obter instruções detalhadas.

O provedor Terraform do AzureRM (azurerm) não dá suporte ao Lançamento Confiável porque não expõe as configurações do pool de nós de Inicialização Confiável. Para adicionar um pool de nós com o Lançamento Confiável habilitado, use as instruções CLI do Azure, modelo do ARM ou Bicep neste artigo.

O portal do Azure não dá suporte à adição de um pool de nós com o Lançamento Confiável habilitado. Para adicionar um pool de nós com o Lançamento Confiável habilitado, use as instruções CLI do Azure, modelo do ARM ou Bicep neste artigo.

1. Adicione um pool de nós com Inicialização Confiável e FIPS habilitados usando o az aks nodepool add comando. Antes de executar o comando, revise os seguintes parâmetros:

   • --cluster-name: Insira o nome do cluster AKS.
   • --resource-group: insira o nome de um grupo de recursos existente para hospedar o recurso de cluster do AKS.
   • --name: insira um nome único para o pool de nós. O nome de um pool de nós só pode conter caracteres alfanuméricos minúsculos e deve começar com uma letra minúscula. Para node pools do Linux, o comprimento deve estar entre 1 e 11 caracteres.
   • --node-count: o número de nós no pool de agentes do Kubernetes. O padrão é 3.
   • --enable-secure-boot: permite que a Inicialização Segura autentique a imagem assinada por um editor confiável.
   • --enable-vtpm: habilita o vTPM e executa o atestado medindo toda a cadeia de inicialização da VM.
   • --enable-fips-image: habilita a imagem do nó compatível com FIPS para o pool de nós.

   Observação

   A inicialização segura exige carregadores de inicialização, kernels do sistema operacional e drivers assinados. Se depois que você habilitar a inicialização segura, seus nós não forem iniciados, você poderá verificar quais componentes de inicialização são responsáveis por falhas da inicialização segura em uma Máquina Virtual do Azure Linux. Confira Verificar falhas da inicialização segura.

   O exemplo a seguir implanta um pool de nós com vTPM, Inicialização Segura e FIPS habilitados em um cluster chamado myAKSCluster com três nós:

   az aks nodepool add --resource-group myResourceGroup --cluster-name myAKSCluster --name mynodepool --node-count 3 --enable-vtpm --enable-secure-boot --enable-fips-image
   

2. Verifique se o pool de nós usa uma imagem de Inicialização Confiável.

   Os nós de Início Confiável têm a seguinte saída:

   • Versão da imagem do nó que contém ambos "TL" e "FIPS".
   • "Security-type" é "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. Crie um modelo com parâmetros de Trusted Launch e FIPS. Antes de criar o modelo, examine os seguintes parâmetros:

   • enableSecureBoot: permite que a inicialização segura autentique uma imagem assinada por um publicador confiável.
   • enableVTPM: habilita o vTPM e executa o atestado medindo toda a cadeia de inicialização da VM.
   • enableFips: habilita a imagem do nó compatível com FIPS para o pool de nós.

   Em seu modelo, forneça valores para enableVTPM, enableSecureBoot e enableFips. O mesmo esquema usado para implantação da CLI existe na definição Microsoft.ContainerService/managedClusters/agentPools abaixo de "properties", conforme mostrado no exemplo a seguir:

   "properties": {
       ...,
       "osSKU": "Ubuntu",
       "enableFips": true,
       "securityProfile": {
           "enableVTPM": true,
           "enableSecureBoot": true,
       }
   }
   

2. Implante seu modelo com o vTPM, a inicialização segura e o FIPS habilitados no cluster. Confira Implantar um cluster do AKS usando um modelo do ARM para obter instruções detalhadas.

1. Crie um arquivo Bicep com parâmetros fips e inicialização confiável. Antes de criar o arquivo, examine os seguintes parâmetros:

   • enableSecureBoot: permite que a inicialização segura autentique uma imagem assinada por um publicador confiável.
   • enableVTPM: habilita o vTPM e executa o atestado medindo toda a cadeia de inicialização da VM.
   • enableFips: habilita a imagem do nó compatível com FIPS para o pool de nós.

   No arquivo Bicep, forneça valores para enableVTPM, enableSecureBoote enableFips. O mesmo esquema usado para implantação da CLI existe na definição Microsoft.ContainerService/managedClusters/agentPools abaixo de properties, conforme mostrado no exemplo a seguir:

   properties: {
     // ...
     osSKU: 'Ubuntu'
     enableFips: true
     securityProfile: {
       enableVTPM: true
       enableSecureBoot: true
     }
   }
   

2. Implante seu arquivo Bicep com vTPM, inicialização segura e FIPS habilitados em seu cluster. Consulte Implantar um cluster do AKS usando um arquivo Bicep para obter instruções detalhadas.

O provedor Terraform do AzureRM (azurerm) não dá suporte ao Lançamento Confiável porque não expõe as configurações do pool de nós de Inicialização Confiável. Para adicionar um pool de nós com Inicialização Confiável e FIPS habilitados, use as instruções CLI do Azure, modelo do ARM ou Bicep neste artigo.

O portal do Azure não dá suporte à adição de um pool de nós com o Lançamento Confiável e o FIPS habilitados. Para adicionar um pool de nós com Inicialização Confiável e FIPS habilitados, use as instruções CLI do Azure, modelo arm ou Bicep neste artigo.

1. Atualize um pool de nós para habilitar o vTPM ou a inicialização segura usando o az aks nodepool update comando. Antes de executar o comando, revise os seguintes parâmetros:

   • --resource-group: insira o nome de um grupo de recursos existente que hospeda o cluster do AKS existente.
   • --cluster-name: insira um nome exclusivo para o cluster do AKS, como myAKSCluster.
   • --name: insira o nome do pool de nós, como mynodepool.
   • --enable-secure-boot: permite que a inicialização segura autentique que a imagem foi assinada por um editor confiável.
   • --enable-vtpm: habilita o vTPM e executa o atestado medindo toda a cadeia de inicialização da VM.

   Observação

   A inicialização segura exige carregadores de inicialização, kernels do sistema operacional e drivers assinados. Se depois de habilitar a inicialização segura, seus nós não forem iniciados, você poderá verificar quais componentes de inicialização são responsáveis por falhas de Inicialização Segura em um Azure Máquina Virtual Linux. Confira Verificar falhas da inicialização segura.

   O exemplo a seguir atualiza o mynodepool do pool de nós no myAKSCluster no myResourceGroup e habilita o vTPM:

   az aks nodepool update --cluster-name myAKSCluster --resource-group myResourceGroup --name mynodepool --enable-vtpm
   

   O exemplo a seguir atualiza o mynodepool do pool de nós no myAKSCluster no myResourceGroup e habilita a inicialização segura:

   az aks nodepool update --cluster-name myAKSCluster --resource-group myResourceGroup --name mynodepool --enable-secure-boot
   

   O exemplo a seguir atualiza o mynodepool do pool de nós no myAKSCluster no myResourceGroup e habilita o vTPM e a inicialização segura:

   az aks nodepool update \
       --cluster-name myAKSCluster \
       --resource-group myResourceGroup \
       --name mynodepool \
       --enable-vtpm \
       --enable-secure-boot
   

2. Após a conclusão da atualização, verifique se o pool de nós usa uma imagem de Inicialização Confiável.

   Os nós de Início Confiável têm a seguinte saída:

   • Versão da imagem do nó que contém "TL", como "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" é "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. Atualize o modelo do ARM com parâmetros de Inicialização Confiável. Antes de atualizar o modelo, examine os seguintes parâmetros:

   • enableSecureBoot: permite que a inicialização segura autentique uma imagem assinada por um publicador confiável.
   • enableVTPM: habilita o vTPM e executa o atestado medindo toda a cadeia de inicialização da VM.

   Em seu modelo, defina enableVTPM, enableSecureBootou ambos no pool securityProfilede nós. O exemplo a seguir habilita o vTPM e a inicialização segura:

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": true,
           "enableSecureBoot": true,
       }
   }
   

2. Implante seu modelo atualizado com o vTPM e a inicialização segura habilitada no pool de nós. Para obter instruções detalhadas, consulte Implantar um cluster do AKS usando um modelo do ARM.

3. Após a conclusão da implantação, verifique se o pool de nós usa uma imagem de Inicialização Confiável.

   Os nós de Início Confiável têm a seguinte saída:

   • Versão da imagem do nó que contém "TL", como "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" é "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. Atualize o arquivo Bicep com parâmetros de Inicialização Confiável. Antes de atualizar o arquivo, examine os seguintes parâmetros:

   • enableSecureBoot: permite que a inicialização segura autentique uma imagem assinada por um publicador confiável.
   • enableVTPM: habilita o vTPM e executa o atestado medindo toda a cadeia de inicialização da VM.

   No arquivo Bicep, defina enableVTPMenableSecureBootou ambos no pool securityProfilede nós. O exemplo a seguir habilita o vTPM e a inicialização segura:

   properties: {
     // ...
     securityProfile: {
       enableVTPM: true
       enableSecureBoot: true
     }
   }
   

2. Implante o arquivo de Bicep atualizado com o vTPM e a inicialização segura habilitada no pool de nós. Para obter instruções detalhadas, consulte Implantar um cluster do AKS usando um arquivo Bicep.

3. Após a conclusão da implantação, verifique se o pool de nós usa uma imagem de Inicialização Confiável.

   Os nós de Início Confiável têm a seguinte saída:

   • Versão da imagem do nó que contém "TL", como "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" é "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

O provedor Terraform do AzureRM (azurerm) não dá suporte ao Lançamento Confiável porque não expõe as configurações do pool de nós de Inicialização Confiável. Para habilitar o vTPM ou a inicialização segura em um pool de nós existente, use as instruções CLI do Azure, modelo do ARM ou Bicep neste artigo.

O portal Azure não dá suporte à habilitação do vTPM ou à inicialização segura em um pool de nós existente. Para habilitar o vTPM ou a inicialização segura em um pool de nós existente, use as instruções CLI do Azure, modelo do ARM ou Bicep neste artigo.

1. Atualize um pool de nós para desabilitar a inicialização segura ou o vTPM usando o az aks nodepool update comando. Antes de executar o comando, revise os seguintes parâmetros:

   • --resource-group: insira o nome de um grupo de recursos existente que hospeda o cluster do AKS existente.
   • --cluster-name: insira um nome exclusivo para o cluster do AKS, como myAKSCluster.
   • --name: insira o nome do pool de nós, como mynodepool.
   • --disable-secure-boot: desabilita a inicialização segura.
   • --disable-vtpm: desabilita o vTPM.

   O exemplo a seguir atualiza o mynodepool do pool de nós no myAKSCluster no myResourceGroup e desabilita o vTPM:

   az aks nodepool update --cluster-name myAKSCluster --resource-group myResourceGroup --name mynodepool --disable-vtpm
   

   O exemplo a seguir atualiza o mynodepool do pool de nós no myAKSCluster no myResourceGroup e desabilita a inicialização segura:

   az aks nodepool update --cluster-name myAKSCluster --resource-group myResourceGroup --name mynodepool --disable-secure-boot
   

   O exemplo a seguir atualiza o mynodepool do pool de nós no myAKSCluster no myResourceGroup e desabilita o vTPM e a inicialização segura:

   az aks nodepool update \
       --cluster-name myAKSCluster \
       --resource-group myResourceGroup \
       --name mynodepool \
       --disable-vtpm \
       --disable-secure-boot
   

2. Após a conclusão da atualização, verifique se o pool de nós usa a imagem esperada.

   Se o vTPM ou a inicialização segura permanecer habilitado, os nós de Inicialização Confiável terão a seguinte saída:

   • Versão da imagem do nó que contém "TL", como "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" é "Trusted Launch".

   Se você desabilitar o vTPM e a inicialização segura, a versão da imagem do nó não deverá conter "TL"e "Security-type" não deve ser "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. Atualize o modelo do ARM com parâmetros de Inicialização Confiável. Antes de atualizar o modelo, examine os seguintes parâmetros:

   • enableSecureBoot: permite que a inicialização segura autentique uma imagem assinada por um publicador confiável.
   • enableVTPM: habilita o vTPM e executa o atestado medindo toda a cadeia de inicialização da VM.

   Em seu modelo, defina enableVTPM, enableSecureBootou ambos no pool securityProfilede nós. O exemplo a seguir desabilita o vTPM e a inicialização segura:

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": false,
           "enableSecureBoot": false,
       }
   }
   

2. Implante seu modelo atualizado com o vTPM e a inicialização segura desabilitada no pool de nós. Para obter instruções detalhadas, consulte Implantar um cluster do AKS usando um modelo do ARM.

3. Após a conclusão da implantação, verifique se o pool de nós usa a imagem esperada.

   Se o vTPM ou a inicialização segura permanecer habilitado, os nós de Inicialização Confiável terão a seguinte saída:

   • Versão da imagem do nó que contém "TL", como "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" é "Trusted Launch".

   Se você desabilitar o vTPM e a inicialização segura, a versão da imagem do nó não deverá conter "TL"e "Security-type" não deve ser "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. Atualize o arquivo Bicep com parâmetros de Inicialização Confiável. Antes de atualizar o arquivo, examine os seguintes parâmetros:

   • enableSecureBoot: permite que a inicialização segura autentique uma imagem assinada por um publicador confiável.
   • enableVTPM: habilita o vTPM e executa o atestado medindo toda a cadeia de inicialização da VM.

   No arquivo Bicep, defina enableVTPMenableSecureBootou ambos no pool securityProfilede nós. O exemplo a seguir desabilita o vTPM e a inicialização segura:

   properties: {
     // ...
     securityProfile: {
       enableVTPM: false
       enableSecureBoot: false
     }
   }
   

2. Implante o arquivo de Bicep atualizado com o vTPM e a inicialização segura desabilitada no pool de nós. Para obter instruções detalhadas, consulte Implantar um cluster do AKS usando um arquivo Bicep.

3. Após a conclusão da implantação, verifique se o pool de nós usa a imagem esperada.

   Se o vTPM ou a inicialização segura permanecer habilitado, os nós de Inicialização Confiável terão a seguinte saída:

   • Versão da imagem do nó que contém "TL", como "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" é "Trusted Launch".

   Se você desabilitar o vTPM e a inicialização segura, a versão da imagem do nó não deverá conter "TL"e "Security-type" não deve ser "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

O provedor Terraform do AzureRM (azurerm) não dá suporte ao Lançamento Confiável porque não expõe as configurações do pool de nós de Inicialização Confiável. Para desabilitar o vTPM ou a inicialização segura em um pool de nós existente, use as instruções CLI do Azure, modelo do ARM ou Bicep neste artigo.

O portal Azure não dá suporte à desabilitação do vTPM ou à inicialização segura em um pool de nós existente. Para desabilitar o vTPM ou a inicialização segura em um pool de nós existente, use as instruções CLI do Azure, modelo do ARM ou Bicep neste artigo.