Istanze schermate

Le istanze schermate utilizzano la combinazione di Secure Boot, Measured Boot e Trusted Platform Module per rafforzare la sicurezza del firmware nelle istanze.

Tenere presenti le informazioni riportate di seguito.

• Le istanze schermate non supportano la migrazione attiva o la migrazione al riavvio. Per ulteriori dettagli, vedere Migrazione delle istanze schermate.
• Se si abilita il TPM hardware su un'istanza Bare Metal, non sarà possibile eseguire la migrazione dell'istanza, poiché il TPM hardware non è migrabile.
• Le immagini personalizzate non sono supportate.
• La computazione riservata non è supportata.
• L'aggiornamento dei database (DBX) delle firme proibite nelle istanze VM schermate non è supportato. Un DBX gestisce un database di avvio sicuro di firme che non sono autorizzate a eseguire sulla piattaforma. L'applicazione di aggiornamenti DBX su un'istanza VM schermata potrebbe impedire il boot dell'istanza. Per aggiornare il DBX, creare una nuova istanza VM schermata con un'immagine che includa gli aggiornamenti DBX.
• Quando si termina un'istanza, vengono eliminate tutte le chiavi del proprietario del computer (MOK). Se hai utilizzato un kernel firmato da un MOK per il boot e l'istanza è stata interrotta, quando crei una nuova istanza con Secure Boot, devi utilizzare un kernel che si avvia da una chiave di database sicura UEFI standard. Dopo il boot dell'istanza, aggiungere le chiavi del proprietario del computer, quindi eseguire il reboot nel kernel con firma MOK.
• Quando si crea un'istanza schermata utilizzando Linux 7.x e quindi si riavvia l'istanza, i valori PCR potrebbero cambiare, causando la visualizzazione dello scudo rosso. Vedere la modifica dei valori della PCR dopo il reboot su Linux 7.x.
• Quando si modifica un'istanza schermata, è possibile modificare solo il nome dell'istanza. Non è possibile modificare la forma dell'istanza dopo l'avvio e non è possibile modificare le impostazioni di migrazione.

Quando si crea un'istanza, si specifica se l'istanza è un'istanza schermata.

L'avvio misurato migliora la sicurezza dell'avvio memorizzando le misurazioni dei componenti di avvio, come bootloader, driver e sistemi operativi. Dopo aver effettuato le misurazioni iniziali, all'avvio del sistema, i nuovi dati di avvio vengono confrontati con la misurazione della baseline per verificare che ogni avvio sia identico. Le misure di base sono note come misurazioni dorate.

Per informazioni generali sulla migrazione delle istanze, vedere Migrazione attiva, al riavvio e manuale: spostamento di un'istanza di computazione in un nuovo host. Quando l'istanza viene migrata su un nuovo hardware, le chiavi di avvio sicuro e le misure di avvio vengono ripresi nella nuova istanza.

Le istanze schermate hanno le seguenti limitazioni sulla migrazione delle istanze.

Se la convalida di Avvio sicuro non riesce, non sarà possibile eseguire l'accesso SSH all'istanza o l'istanza non verrà avviata. Se la convalida dell'avvio misurato non riesce, nella pagina Dettagli istanza viene visualizzato uno scudo rosso.

Se si verifica un errore di boot sicuro, è possibile trovare ulteriori dettagli sulla causa dell'errore nei dati della console seriale. Se si desidera risolvere gli errori, non arrestare l'istanza. Prendere nota dell'OCID dell'istanza e acquisire i file di log della console seriale.

Dopo un boot corretto, nei dati della cronologia della console viene visualizzato un messaggio simile al seguente:

SB_EVENT: { "Secure_Boot_Overall_Status" : 0, "status" : "Pass", "msg" : "SB_Event on Exit Boot Services" }

Se l'avvio sicuro è abilitato e la firma del firmware firmato non è corretta, l'istanza non viene avviata. Se Secure Boot non riesce perché l'immagine non è firmata o non è valida, nei dati della cronologia della console viene visualizzato un messaggio simile al seguente:

SB_EVENT: { "status": "Fail", "msg": "The EFI executable failed to load.
It's not signed, or the signature (or hash) did not match entries in DB", "EFI_Image_Type" : "FromOpROM", "EFI_Image_Path":
                    
"PciRoot(0x0)/Pci(0x2,0x0)/Offset(0x10A00,0x245FF)",
                    
"SB_Variable_Match" : "NO_CERT_MATCH" }

Se il boot sicuro non riesce perché è stato caricato un kernel non supportato, scegliere un kernel supportato e riprovare. Se è stato caricato un kernel non supportato, non sarà possibile eseguire l'accesso SSH all'istanza e nei dati della cronologia della console viene visualizzato un messaggio simile al seguente:

SB_EVENT: { "status": "Pass", "msg": "The EFI executable loaded successfully", "EFI_Image_Type" : "FromFixedMedia", "EFI_Image_Path" : "PciRoot(0x0)/Pci(0x12,0x7)/Pci(0x0 ... 2000)//EFI/redhat/shimx64.efi", "SB_Variable_Match" : "DB_CERT_MATCH", "CertSubject" : "Microsoft Corporation UEFI CA 2011", "ImageDigest" : "DD35B574D149AA48E3611FFCC336ACD76FDE79AD817B081FE5CC093789B92E90" }
error:
../../grub-core/loader/i386/efi/linux.c:215:(hd0,gpt2)/vmlinuz-5.14.0-1.el8uek.
rc2.x86_64 has invalid signature.
error: ../../grub-core/loader/i386/efi/linux.c:94:you need to load the kernel
first.

Se l'avvio misurato è abilitato e la sequenza di avvio non è corretta, l'istanza viene avviata, ma nella pagina Dettagli istanza viene visualizzato uno scudo rosso. Se l'avvio misurato è abilitato e sono stati aggiunti nuovi valori PCR, l'istanza viene avviata e viene visualizzata una schermata gialla nella pagina Dettagli istanza. Se si verifica un errore di avvio misurato e i valori PCR sono corretti o se sono stati aggiunti nuovi valori, è possibile reimpostare i valori di base.