在現有的 Azure Gen2 VM 上啟用可信啟動

適用於： ✔️ Linux 虛擬機 ✔️ Windows 虛擬機

Azure 虛擬機器支援藉由升級至可信啟動安全性類型，在現有的 Azure 第 2 代虛擬機器 (VM) 上啟用 Azure 可信啟動。

信任啟動是在 Azure 第 2 代 VM 上啟用基礎計算安全性的方法，並防止開機套件和 Rootkit 等進階和持續性攻擊技術。其方式是結合 VM 上的安全開機、虛擬信賴平台模組 (vTPM) 和開機完整性監視等基礎結構技術。

Important

可取得在現有 Azure 第一代 VM 上啟用可信啟動的支援。請參考「升級現有 Azure Gen1 虛擬機以升級至 Gen2-Trusted Launch 啟動」。

Prerequisites

Azure VM 已設定為：

支援可信啟動的大小系列。
可信啟動支作業系統 (OS) 版本。針對自訂 OS 映像或磁碟，基底映像應能夠啟用可信啟動。
對於 Arm64 虛擬機，請使用 Azure Marketplace 提供的具有受信任啟動功能的 Arm64 映像檔，以及支援的 Arm64 規格系列。支援受信任啟動的 Cobalt 100 系列 Arm64 大小。
Azure VM 沒有使用可信啟動目前不支援的功能。
如果已為 VM 啟用 Azure 備份，則應該使用增強備份原則進行設定。無法針對配置有 Standard policy 備份保護的 VM 啟用信任啟動安全類型。
- 現有的 Azure VM 備份可以從標準移轉至 增強型 原則。請遵循將 Azure VM 備份從標準移轉至增強原則 (預覽) 中所述的步驟。
如果啟用了 Azure Site Recovery (ASR)，在將 Gen2 虛擬機升級為可信任啟動前，應該先停用。升級後，ASR 可依需求重新啟用與重新配置。更多細節請參閱文件《將 Azure Site Recovery 保護的 Azure 第二代虛擬機遷移到受信任的虛擬機》。

最佳做法

在測試第 2 代 VM 上啟用可信啟動，並在與實際執行工作負載相關聯的第 2 代 VM 上啟用可信啟動之前，確認是否需要進行任何變更才能符合必要條件。
啟用可信啟動安全性類型之前，為與實際執行工作負載相關聯的 Azure 第 2 代 VM 建立還原點。您可以使用還原點來重新建立具有先前已知狀態的磁碟和第 2 代 VM。
針對 Linux VM，請使用工具驗證 SBInfo 安全開機相容性。請參閱 Linux 受信任啟動安全開機驗證以取得基於發行版本的安裝指令。

在現有的 VM 上啟用可信啟動

下列步驟同時適用於使用支援受信任啟動映像時的 x64 與 Arm64 第 2 代虛擬機器。

Note

這些步驟同樣適用於 x64 和 Arm64 Gen2 虛擬機。
vTPM 預設為啟用。
預設不會啟用安全開機。如果您未使用自定義未簽署的核心或驅動程式，強烈建議您啟用安全開機。安全開機會保留開機完整性，並啟用 VM 的基礎安全性。

使用 Azure 入口網站，在現有的 Azure 第 2 代 VM 上啟用可信啟動。

登入 Azure 入口網站。
確認 VM 世代為 V2 ，然後選取 VM 的 [停止 ]。
在 VM 屬性下的概觀頁面中，選取安全類型，選擇標準。 VM 的 [ 組態 ] 頁面隨即開啟。
在 [ 設定 ] 頁面的 [ 安全性類型 ] 區段下，選取 [ 安全性類型 ] 下拉式清單。
在下拉式清單下，選取 [受信任的啟動]。 選取核取方塊以啟用 安全開機 和 vTPM。進行變更之後，請選取 [儲存]。
Note
- 使用 Azure Compute Gallery (ACG)、受控映像或 OS 磁碟所建立的第 2 代 VM，無法使用入口網站升級至可信啟動。請確定可信啟動支援 OS 版本。使用 PowerShell、Azure CLI 或 Azure Resource Manager 範本 (ARM 範本) 來執行升級。
更新成功完成之後，請關閉 [ 組態 ] 頁面。在 VM 屬性的 [ 概觀 ] 頁面上，確認 [ 安全性類型 ] 設定。
啟動已升級的可信啟動 VM。確認您可以使用適用於 Windows VM 的遠端桌面通訊協定 (RDP) 或適用於 Linux VM 的安全殼層通訊協定 (SSH) 來登入 VM。

請遵循步驟，使用 Azure CLI 在現有的 Azure 第 2 代 VM 上啟用可信啟動。

請確定您已安裝最新的 Azure CLI ，並使用 az login 登入 Azure 帳戶。

登入 VM Azure 訂用帳戶。

az login

az account set --subscription 00000000-0000-0000-0000-000000000000

解除配置 VM。

az vm deallocate \
   --resource-group myResourceGroup --name myVm

將 --security-type 設定為 TrustedLaunch，以啟用可信啟動。

az vm update \
    --resource-group myResourceGroup --name myVm \
    --security-type TrustedLaunch \
    --enable-secure-boot true --enable-vtpm true

驗證上一個命令的輸出。確定 securityProfile 設定隨著命令輸出一起傳回。

{
  "securityProfile": {
    "securityType": "TrustedLaunch",
    "uefiSettings": {
      "secureBootEnabled": true,
      "vTpmEnabled": true
    }
  }
}

啟動 VM。

az vm start \
    --resource-group myResourceGroup --name myVm

啟動已升級的可信啟動 VM。確認您可以使用 RDP (適用於 Windows VM) 或 SSH (適用於 Linux VM) 來登入 VM。

請遵循步驟，使用 Azure PowerShell 在現有的 Azure 第 2 代 VM 上啟用可信啟動。

請確定您已安裝最新的 Azure PowerShell ，並使用 Connect-AzAccount 登入 Azure 帳戶。

登入 VM Azure 訂用帳戶。

Connect-AzAccount -SubscriptionId 00000000-0000-0000-0000-000000000000

解除配置 VM。

Stop-AzVM -ResourceGroupName myResourceGroup -Name myVm

將 -SecurityType 設定為 TrustedLaunch，以啟用可信啟動。

Get-AzVM -ResourceGroupName myResourceGroup -VMName myVm `
    | Update-AzVM -SecurityType TrustedLaunch `
        -EnableSecureBoot $true -EnableVtpm $true

在更新的 VM 設定中驗證 securityProfile。

# Following command output should be `TrustedLaunch`

(Get-AzVM -ResourceGroupName myResourceGroup -VMName myVm `
    | Select-Object -Property SecurityProfile `
        -ExpandProperty SecurityProfile).SecurityProfile.SecurityType

# Following command output should return `SecureBoot` and `vTPM` settings
(Get-AzVM -ResourceGroupName myResourceGroup -VMName myVm `
    | Select-Object -Property SecurityProfile `
        -ExpandProperty SecurityProfile).SecurityProfile.Uefisettings

啟動 VM。

Start-AzVM -ResourceGroupName myResourceGroup -Name myVm

啟動已升級的可信啟動 VM。確認您可以使用 RDP (適用於 Windows VM) 或 SSH (適用於 Linux VM) 來登入 VM。

請遵循步驟，使用 ARM 範本在現有的 Azure 第 2 代 VM 上啟用可信啟動。

Azure Resource Manager 範本是一個 JavaScript 物件標記法 (JSON) 檔案，會定義專案的基礎結構和設定。範本會使用宣告式語法。您可以描述預期的部署，而不需要撰寫程式設計命令順序來建立部署。

檢閱範本。

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "vmsToUpgrade": {
            "type": "object",
            "metadata": {
                "description": "Specifies the list of Azure virtual machines to be upgraded to Trusted launch."
            }
        },
        "vTpmEnabled": {
            "type": "bool",
            "defaultValue": true,
            "metadata": {
                "description": "Specifies whether vTPM should be enabled on the virtual machine."
            }
        }
    },
    "resources": [
        {
            "type": "Microsoft.Compute/virtualMachines",
            "apiVersion": "2022-11-01",
            "name": "[parameters('vmsToUpgrade').virtualMachines[copyIndex()].vmName]",
            "location": "[parameters('vmsToUpgrade').virtualMachines[copyIndex()].location]",
            "properties": {
                "securityProfile": {
                    "uefiSettings": {
                        "secureBootEnabled": "[parameters('vmsToUpgrade').virtualMachines[copyIndex()].secureBootEnabled]",
                        "vTpmEnabled": "[parameters('vTpmEnabled')]"
                    },
                    "securityType": "TrustedLaunch"
                }
            },
            "copy": {
                "name": "vmCopy",
                "count": "[length(parameters('vmsToUpgrade').virtualMachines)]"
            }
        }
    ]
}

編輯要更新成 parameters 安全性類型的虛擬機器的 TrustedLaunch JSON 檔案。

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "vmsToUpgrade": {
            "value": {
                "virtualMachines": [
                    {
                        "vmName": "myVm01",
                        "location": "westus3",
                        "secureBootEnabled": true
                    },
                    {
                        "vmName": "myVm02",
                        "location": "westus3",
                        "secureBootEnabled": true
                    }
                ]
            }
        }
    }
}

參數檔案定義

Property	屬性描述	範例範本值
vmName	Azure 第 2 代 VM 的名稱。	`myVm`
位置	Azure 第 2 代 VM 的位置。	`westus3`
secureBootEnabled	啟用可信啟動安全性類型的安全開機。	`true`

解除配置所有要更新的 Azure 第 2 代 VM。

Stop-AzVM -ResourceGroupName myResourceGroup -Name myVm01

執行 ARM 範本部署。

$resourceGroupName = "myResourceGroup"
$parameterFile = "folderPathToFile\parameters.json"
$templateFile = "folderPathToFile\template.json"

New-AzResourceGroupDeployment `
    -ResourceGroupName $resourceGroupName `
    -TemplateFile $templateFile -TemplateParameterFile $parameterFile

此螢幕擷取畫面顯示 VM 的可信啟動屬性。

啟動已升級的可信啟動 VM。確認您可以使用 RDP (適用於 Windows VM) 或 SSH (適用於 Linux VM) 來登入 VM。

復原

若要將可信啟動的變更回滾到先前 Gen2 已知的良好組態，請將 VM 的securityType設定為標準。

Important

將受信任啟動回復為 Gen2（非受信任啟動）組態是單向操作。回滾回 Gen2（非可信啟動）設定後，無法在同一台虛擬機上重新啟用可信啟動。

Azure 入口網站目前不支援將信任啟動回復為 Gen2（非信任啟動）設定。

若要將變更從受信任啟動復原為先前已知良好的組態，請設定 securityProfile 為標準，如用於執行受信任啟動升級的範例範本所示。

Note

使用 Microsoft.Compute API 2025-11-01+ 版本，將變更從可信啟動復原為 Gen2 (非可信啟動) 組態。

"securityProfile": {
    "securityType": "Standard",
    "uefiSettings": "[null()]"
}

請遵循使用 Azure CLI 在現有的 Azure 第 2 代 VM 上停用受信任啟動的步驟。

請確定您已安裝最新的 Azure CLI ，並使用 az login 登入 Azure 帳戶。

Note

使用 Azure CLI 2.86.0 或更新版本，將變更從可信啟動復原為 Gen2 (非可信啟動) 組態。

登入 VM Azure 訂用帳戶。

az login

az account set --subscription 00000000-0000-0000-0000-000000000000

解除配置 VM。

az vm deallocate \
   --resource-group myResourceGroup --name myVm

透過設定 --security-type 為 Standard來停用受信任啟動。

az vm update \
    --resource-group myResourceGroup --name myVm \
    --security-type Standard

驗證上一個命令的輸出。確定 securityProfile 設定隨著命令輸出一起傳回。
```
{
  "securityProfile": {
    "securityType": null,
    "uefiSettings": null
  }
}
```

啟動 VM。

az vm start \
    --resource-group myResourceGroup --name myVm

若要將可信啟動的變更復原至先前已知的良好設定，請將 -SecurityType 設定為 Standard，如下所示。

Note

使用 Azure PowerShell 15.6.1 版或更新版本，將設定從受信任啟動（Trusted launch）復原為 Gen2（非受信任啟動）組態。

登入 VM Azure 訂用帳戶。

Connect-AzAccount -SubscriptionId 00000000-0000-0000-0000-000000000000

解除配置 VM。

Stop-AzVM -ResourceGroupName myResourceGroup -Name myVm

透過設定 -SecurityType 為 Standard來停用受信任啟動。

Get-AzVM -ResourceGroupName myResourceGroup -VMName myVm `
    | Update-AzVM -SecurityType Standard

在更新的 VM 設定中驗證 securityProfile。

# Following command output should be `null`

(Get-AzVM -ResourceGroupName myVm -VMName myResourceGroup `
    | Select-Object -Property SecurityProfile `
        -ExpandProperty SecurityProfile).SecurityProfile.SecurityType

啟動 VM。

Start-AzVM -ResourceGroupName myResourceGroup -Name myVm

Azure Advisor 建議

Azure Advisor 會填入啟用可信啟動基礎卓越，以及針對現有第 2 代 VM 的現代安全性的營運卓越建議，讓現有第 2 代 VM 採用可信啟動，為 Azure VM 提供更高的安全性狀態，而不需要額外的成本。請確定第 2 代 VM 具有移轉至可信啟動的所有必要條件，請遵循所有最佳做法，包括驗證 OS 映像、VM 大小，以及建立還原點。若要將 Advisor 建議視為已完成，請遵循在現有 VM 上啟用可信啟動所述的步驟，升級虛擬機器安全性類型並啟用可信啟動。

如果有第二代虛擬機不符合可信啟動的前提條件怎麼辦？

對於不符合升級至信任啟動的必要條件的第 2 代 VM，請查看如何滿足必要條件。例如，如果使用不支援的虛擬機器大小，請尋找支援可信啟動的對等可信啟動支援大小。

Note

如果第 2 代虛擬機器已設定使用 VM 大小系列，但這些大小系列目前不支援可信啟動 (例如 MSv2 系列)，請關閉建議。

請參閱部署可信啟動虛擬機器，以便在新的虛擬機器和擴展集部署上啟用可信啟動。
請參閱開機完整性監視，以使用適用於雲端的 Microsoft Defender 來啟用開機完整性監視和監視 VM 的健康情況。
進一步瞭解 Trusted 啟動功能，並查看常見問題。
了解支援 Trusted Launch 的 Cobalt 100 架構 Arm64 虛擬機大小。

意見反應

此頁面對您有幫助嗎？

上次更新時間： 2026-09-24

在現有的 Azure Gen2 VM 上啟用可信啟動

Prerequisites

最佳做法

在現有的 VM 上啟用可信啟動

復原

Azure Advisor 建議

相關內容

意見反應

其他資源