Instances protégées

Les instances protégées combinent l'initialisation sécurisée, l'initialisation mesurée et le module de plate-forme sécurisée pour renforcer la sécurité du microprogramme sur les instances.

Tenez compte des informations suivantes :

• Les instances protégées ne prennent pas en charge la migration en direct et la migration au redémarrage. Pour plus d'informations, reportez-vous à Migration d'instances protégées.
• Si vous activez le module de plate-forme sécurisée matériel sur une instance Bare Metal, celle-ci ne peut pas être migrée, car le module de plate-forme sécurisée matériel n'est pas migrable.
• Les images personnalisées ne sont pas prises en charge.
• Le calcul confidentiel n'est pas pris en charge.
• La mise à jour des bases de données de signatures interdites (DBX) sur les instances de machine virtuelle protégées n'est pas prise en charge. Une base de données DBX gère une base de données d'initialisation sécurisée des signatures dont l'exécution sur la plate-forme n'est pas autorisée. L'application de mises à jour de DBX sur une instance de machine virtuelle protégée peut empêcher l'initialisation de l'instance. Pour mettre à jour la base de données DBX, créez une instance de machine virtuelle protégée avec une image qui inclut les mises à jour de DBX.
• Lorsque vous mettez fin à une instance, toutes les clés de propriétaire de machine (MOK) sont supprimées. Si vous avez utilisé un noyau signé par une clé MOK pour l'initialisation et que l'instance a pris fin, lorsque vous créez une instance avec l'initialisation sécurisée, vous devez utiliser un noyau initialisé à partir d'une clé de base de données sécurisée UEFI standard. Après l'initialisation de l'instance, ajoutez les clés de propriétaire de machine, puis procédez au redémarrage dans le noyau signé par la clé MOK.
• Lorsque vous créez une instance protégée avec Linux 7.x, puis que vous redémarrez l'instance, les valeurs du registre de configuration de plate-forme peuvent changer, ce qui entraîne l'affichage du bouclier rouge. Reportez-vous à Les valeurs du registre de configuration de plate-forme changent après le redémarrage sous Linux 7.x.
• Lorsque vous modifiez une instance protégée, seul son nom peut être modifié. Vous ne pouvez pas modifier la forme de l'instance après son lancement, ni les paramètres de migration.

Lorsque vous créez une instance, vous indiquez si elle est éclatable.

L'initialisation mesurée renforce la sécurité de l'initialisation en stockant les mesures des composants d'initialisation, comme les programmes de chargement d'initialisation, les pilotes et les systèmes d'exploitation. Une fois les mesures initiales effectuées, lors de chaque initialisation du système, les nouvelles données d'initialisation sont comparées aux mesures de référence pour vérifier qu'il n'existe pas de différence. Les mesures de référence servent de valeurs de référence.

Pour obtenir des informations générales sur la migration d'instance, reportez-vous à Live, Reboot, and Manual Migration : Moving a Compute Instance to a New Host. Lorsque l'instance est migrée vers un nouveau matériel, les clés d'initialisation sécurisée et les mesures d'initialisation sont reprises sur la nouvelle instance.

Les instances protégées sont soumises aux restrictions suivantes en matière de migration.

Si la validation de l'initialisation sécurisée échoue, vous ne pouvez pas accéder via le protocole SSH à l'instance ou l'instance ne démarre pas. Si la validation de l'initialisation mesurée échoue, la page Détails de l'instance affiche un bouclier rouge.

En cas d'échec de l'initialisation sécurisée, vous trouverez peut-être plus de détails sur la cause de l'échec dans les données de la console série. Pour résoudre les échecs, ne mettez pas fin à l'instance. Notez l'OCID de l'instance et capturez les fichiers journaux de la console série.

Une fois l'initialisation réussie, un message semblable au suivant s'affiche dans les données de l'historique de la console :

SB_EVENT: { "Secure_Boot_Overall_Status" : 0, "status" : "Pass", "msg" : "SB_Event on Exit Boot Services" }

Si l'initialisation sécurisée est activée et que la signature du microprogramme signé n'est pas correcte, l'instance ne démarre pas. Si l'initialisation sécurisée échoue car l'image n'est pas signée ou n'est pas valide, un message semblable au suivant apparaît dans les données de l'historique de la console :

SB_EVENT: { "status": "Fail", "msg": "The EFI executable failed to load.
It's not signed, or the signature (or hash) did not match entries in DB", "EFI_Image_Type" : "FromOpROM", "EFI_Image_Path":
 
"PciRoot(0x0)/Pci(0x2,0x0)/Offset(0x10A00,0x245FF)",
 
"SB_Variable_Match" : "NO_CERT_MATCH" }

Si l'initialisation sécurisée échoue car un noyau non pris en charge a été chargé, choisissez un noyau pris en charge et réessayez. Si un noyau non pris en charge a été chargé, vous ne pouvez pas accéder via le protocole SSH à l'instance et un message semblable au suivant apparaît dans les données de l'historique de la console :

SB_EVENT: { "status": "Pass", "msg": "The EFI executable loaded successfully", "EFI_Image_Type" : "FromFixedMedia", "EFI_Image_Path" : "PciRoot(0x0)/Pci(0x12,0x7)/Pci(0x0 ... 2000)//EFI/redhat/shimx64.efi", "SB_Variable_Match" : "DB_CERT_MATCH", "CertSubject" : "Microsoft Corporation UEFI CA 2011", "ImageDigest" : "DD35B574D149AA48E3611FFCC336ACD76FDE79AD817B081FE5CC093789B92E90" }
error:
../../grub-core/loader/i386/efi/linux.c:215:(hd0,gpt2)/vmlinuz-5.14.0-1.el8uek.
rc2.x86_64 has invalid signature.
error: ../../grub-core/loader/i386/efi/linux.c:94:you need to load the kernel
first.

Si vous avez activé l'initialisation mesurée et que la séquence d'initialisation n'est pas correcte, l'instance est initialisée, mais un bouclier rouge apparaît sur la page Détails de l'instance. Si vous avez activé l'initialisation mesurée et que de nouvelles valeurs de registre de configuration de plate-forme ont été ajoutées, l'instance est initialisée et un bouclier jaune apparaît sur la page Détails de l'instance. Si l'initialisation mesurée échoue alors que les valeurs de registre de configuration de plate-forme sont correctes ou si de nouvelles valeurs ont été ajoutées, vous pouvez réinitialiser les mesures de référence.