Instances dotées d'une protection maximale

Les instances dotées d'une protection maximale utilisent une combinaison de démarrage sécurisé, de démarrage mesuré et de module de plate-forme sécurisée pour renforcer la sécurité du micrologiciel sur vos instances.

Prenez note de ce qui suit :

• Les instances dotées d'une protection maximale ne prennent pas en charge la migration en direct ou la migration avec redémarrage. Pour plus de détails, voir Migration des instances dotées d'une protection maximale.
• Si vous activez le module TPM du matériel sur une instance sans système d'exploitation, celle-ci ne peut pas être migrée, car le module TPM du matériel ne peut pas être migré.
• Les images personnalisées ne sont pas prises en charge.
• Le calcul confidentiel n'est pas pris en charge.
• La mise à jour des bases de données de signatures interdites sur les instances de machine virtuelle dotées d'une protection maximale n'est pas prise en charge. Une base de données de signatures interdites tient à jour une base de données de démarrage sécurisé des signatures qui ne sont pas autorisées à être exécutées sur la plate-forme. L'application des mises à jour de base de données de signatures interdites sur une instance de machine virtuelle dotées d'une protection maximale peut empêcher le démarrage de l'instance. Pour mettre à jour la base de données de signatures interdites, créez une nouvelle instance de machine virtuelle dotée d'une protection maximale avec une image qui inclut les mises à jour de base de données de signatures interdites.
• Lorsque vous mettez fin à une instance, les clés MOK (clés de responsable de machine) sont supprimées. Si vous avez utilisé un noyau signé par une clé MOK pour démarrer et que l'instance a pris fin, lorsque vous créez une instance avec le démarrage sécurisé, vous devez utiliser un noyau qui démarre à partir d'une clé de base de données sécurisée UEFI standard. Après le démarrage de l'instance, ajoutez les clés MOK, puis redémarrez dans le noyau signé par de telles clés.
• Lorsque vous créez une instance dotée d'une protection maximale à l'aide de Linux 7.x, puis que vous redémarrez l'instance, les valeurs PCR peuvent changer, entraînant l'affichage du bouclier rouge. Voir Les valeurs PCR changent après le redémarrage sous Linux 7.x
• Lorsque vous modifiez une instance dotée d'une protection maximale, seul le nom de l'instance peut être modifié. Vous ne pouvez pas modifier la forme de l'instance après son lancement et vous ne pouvez pas modifier les paramètres de migration.

Lorsque vous créez une instance, vous spécifiez si l'instance est une instance dotée d'une protection maximale.

Le démarrage mesuré améliore la sécurité du démarrage en stockant les mesures des composants de démarrage, tels que les chargeurs de démarrage, les pilotes et les systèmes d'exploitation. Une fois les mesures initiales prises, lorsque le système démarre, les nouvelles données de démarrage sont comparées à la mesure de référence pour vérifier que chaque démarrage est identique. Les mesures de référence sont appelées mesures définitives.

Pour des informations générales sur la migration des instances, voir Migration en direct, au démarrage et manuelle : Déplacement d'une instance de calcul vers un nouvel hôte. Lorsque l'instance est migrée vers un nouveau matériel, les clés de démarrage sécurisé et les mesures de démarrage sont reprises sur la nouvelle instance.

Les instances dotées d'une protection maximale ont les limites suivantes pour la migration d'instance.

Si la validation du démarrage sécurisé échoue, vous ne pourrez pas utiliser SSH dans votre instance ou l'instance ne démarrera pas. Si la validation du démarrage mesuré échoue, la page Détails de l'instance affiche un bouclier rouge.

Si le démarrage sécurisé échoue, vous pourrez peut-être trouver plus de détails sur la cause de l'échec dans les données de la console série. Si vous voulez résoudre les problèmes, ne mettez pas fin à l'instance. Notez l'OCID de l'instance et saisissez les fichiers journaux de la console série.

Après un démarrage réussi, un message similaire à celui qui suit apparaît dans les données d'historique de la console :

SB_EVENT: { "Secure_Boot_Overall_Status" : 0, "status" : "Pass", "msg" : "SB_Event on Exit Boot Services" }

Si le démarrage sécurisé est activé et que la signature du micrologiciel signé est incorrecte, l'instance ne démarre pas. Si le démarrage sécurisé échoue parce que l'image n'est pas signée ou n'est pas valide, un message semblable à celui qui suit apparaît dans les données d'historique de la console :

SB_EVENT: { "status": "Fail", "msg": "The EFI executable failed to load.
It's not signed, or the signature (or hash) did not match entries in DB", "EFI_Image_Type" : "FromOpROM", "EFI_Image_Path":
                    
"PciRoot(0x0)/Pci(0x2,0x0)/Offset(0x10A00,0x245FF)",
                    
"SB_Variable_Match" : "NO_CERT_MATCH" }

Si le démarrage sécurisé échoue parce qu'un noyau non pris en charge a été chargé, sélectionnez un noyau pris en charge et réessayez. Si un noyau non pris en charge a été chargé, vous ne pourrez pas utiliser SSH dans votre instance et un message similaire à celui qui suit s'affiche dans les données d'historique de la console :

SB_EVENT: { "status": "Pass", "msg": "The EFI executable loaded successfully", "EFI_Image_Type" : "FromFixedMedia", "EFI_Image_Path" : "PciRoot(0x0)/Pci(0x12,0x7)/Pci(0x0 ... 2000)//EFI/redhat/shimx64.efi", "SB_Variable_Match" : "DB_CERT_MATCH", "CertSubject" : "Microsoft Corporation UEFI CA 2011", "ImageDigest" : "DD35B574D149AA48E3611FFCC336ACD76FDE79AD817B081FE5CC093789B92E90" }
error:
../../grub-core/loader/i386/efi/linux.c:215:(hd0,gpt2)/vmlinuz-5.14.0-1.el8uek.
rc2.x86_64 has invalid signature.
error: ../../grub-core/loader/i386/efi/linux.c:94:you need to load the kernel
first.

Si le démarrage mesuré est activé et que la séquence de démarrage n'est pas correcte, l'instance démarre, mais un bouclier rouge apparaît dans la page Détails de l'instance. Si le démarrage mesuré est activé et que de nouvelles valeurs PCR ont été ajoutées, l'instance démarre et un bouclier jaune apparaît dans la page Détails de l'instance. Si le démarrage mesuré échoue et que les valeurs PCR sont correctes ou si de nouvelles valeurs ont été ajoutées, vous pouvez réinitialiser les mesures définitives.