Istanze schermate

Le istanze schermate utilizzano la combinazione di Secure Boot, Measured Boot e Trusted Platform Module per rafforzare la sicurezza del firmware nelle istanze.

Tenere presenti le seguenti informazioni:

• Le istanze schermate non supportano la migrazione attiva o la migrazione al riavvio. Per ulteriori dettagli, vedere Migrazione delle istanze schermate.
• Se si abilita il TPM hardware su un'istanza Bare Metal, non sarà possibile eseguire la migrazione dell'istanza perché il TPM hardware non è migrabile.
• Le immagini personalizzate non sono supportate.
• La computazione riservata non è supportata.
• L'aggiornamento dei database DBX (Forbidden Signatures) sulle istanze VM schermate non è supportato. Un DBX gestisce un database di avvio sicuro di firme non autorizzate per l'esecuzione sulla piattaforma. L'applicazione degli aggiornamenti DBX su un'istanza VM schermata potrebbe impedire l'avvio dell'istanza. Per aggiornare il DBX, creare una nuova istanza VM schermata con un'immagine che includa gli aggiornamenti DBX.
• Quando si interrompe un'istanza, tutte le chiavi MOK (Machine Owner Keys) vengono eliminate. Se è stato utilizzato un kernel firmato da un MOK per l'avvio e l'istanza è stata interrotta, quando si crea una nuova istanza con Avvio sicuro, è necessario utilizzare un kernel che si avvia da una chiave di database sicura UEFI standard. Dopo l'avvio dell'istanza, aggiungere le chiavi proprietario macchina, quindi riavviare nel kernel firmato MOK.
• Quando crei un'istanza schermata utilizzando Linux 7.x e riavvii l'istanza, i valori PCR potrebbero cambiare, facendo apparire lo scudo rosso. Vedere Modifica dei valori PCR dopo il reboot in Linux 7.x.
• Quando si modifica un'istanza schermata, è possibile modificare solo il nome dell'istanza. Non è possibile modificare la forma dell'istanza dopo che è stata avviata e non è possibile modificare le impostazioni di migrazione.

Quando si crea un'istanza, è necessario specificare se l'istanza è un'istanza schermata.

L'avvio misurato migliora la sicurezza di boot memorizzando le misurazioni dei componenti di boot, ad esempio bootloader, driver e sistemi operativi. Dopo aver effettuato le misurazioni iniziali, al boot del sistema, i nuovi dati di avvio vengono confrontati con la misurazione di base per verificare che ogni avvio sia identico. Le misurazioni di base sono note come misurazioni auree.

Per informazioni generali sulla migrazione delle istanze, vedere Migrazione attiva, di riavvio e manuale: spostamento di un'istanza di computazione in un nuovo host. Quando viene eseguita la migrazione dell'istanza nel nuovo hardware, le chiavi di avvio sicuro e le misurazioni di avvio vengono recuperate nella nuova istanza.

Le istanze schermate hanno le seguenti limitazioni per la migrazione delle istanze.

Se la convalida dell'avvio sicuro non riesce, non sarà possibile eseguire l'accesso SSH all'istanza o l'istanza non verrà avviata. Se la convalida dell'avvio misurato non riesce, nella pagina Dettagli istanza viene visualizzato uno scudo rosso.

Se si verifica un errore durante il boot sicuro, è possibile trovare maggiori dettagli sulla causa dell'errore nei dati della console seriale. Se si desidera risolvere gli errori, non arrestare l'istanza. Prendere nota dell'OCID dell'istanza e acquisire i file di log della console seriale.

Dopo il boot, nei dati della cronologia della console viene visualizzato un messaggio simile al seguente:

SB_EVENT: { "Secure_Boot_Overall_Status" : 0, "status" : "Pass", "msg" : "SB_Event on Exit Boot Services" }

Se l'avvio sicuro è abilitato e la firma del firmware firmato non è corretta, l'istanza non viene avviata. Se Secure Boot non riesce perché l'immagine non è firmata o non è valida, nei dati della cronologia della console viene visualizzato un messaggio simile al seguente:

SB_EVENT: { "status": "Fail", "msg": "The EFI executable failed to load.
It's not signed, or the signature (or hash) did not match entries in DB", "EFI_Image_Type" : "FromOpROM", "EFI_Image_Path":
                    
"PciRoot(0x0)/Pci(0x2,0x0)/Offset(0x10A00,0x245FF)",
                    
"SB_Variable_Match" : "NO_CERT_MATCH" }

Se Secure Boot non riesce perché è stato caricato un kernel non supportato, scegliere un kernel supportato e riprovare. Se è stato caricato un kernel non supportato, non sarà possibile eseguire l'accesso SSH all'istanza e nei dati della cronologia della console verrà visualizzato un messaggio simile al seguente:

SB_EVENT: { "status": "Pass", "msg": "The EFI executable loaded successfully", "EFI_Image_Type" : "FromFixedMedia", "EFI_Image_Path" : "PciRoot(0x0)/Pci(0x12,0x7)/Pci(0x0 ... 2000)//EFI/redhat/shimx64.efi", "SB_Variable_Match" : "DB_CERT_MATCH", "CertSubject" : "Microsoft Corporation UEFI CA 2011", "ImageDigest" : "DD35B574D149AA48E3611FFCC336ACD76FDE79AD817B081FE5CC093789B92E90" }
error:
../../grub-core/loader/i386/efi/linux.c:215:(hd0,gpt2)/vmlinuz-5.14.0-1.el8uek.
rc2.x86_64 has invalid signature.
error: ../../grub-core/loader/i386/efi/linux.c:94:you need to load the kernel
first.

Se l'avvio misurato è abilitato e la sequenza di avvio non è corretta, l'istanza viene avviata, ma nella pagina Dettagli istanza viene visualizzato uno scudo rosso. Se l'avvio misurato è abilitato e sono stati aggiunti nuovi valori PCR, l'istanza viene avviata e viene visualizzata una schermata gialla nella pagina Dettagli istanza. Se si verifica un errore di avvio misurato e i valori PCR sono corretti o se sono stati aggiunti nuovi valori, è possibile reimpostare i valori di base.