Instâncias Blindadas

As instâncias blindadas usam a combinação de Inicialização Segura, Inicialização Medida e o Trusted Platform Module para aumentar a segurança do firmware em suas instâncias.

Lembre-se das seguintes informações:

• As instâncias blindadas não suportam migração ao vivo ou migração de reinicialização. Consulte Migrando Instâncias Blindadas para obter mais detalhes.
• Se você ativar o TPM de hardware em uma instância bare metal, a instância não poderá ser migrada porque o TPM de hardware não é migrável.
• Não há suporte para imagens personalizadas.
• Não há suporte para a computação confidencial.
• Não há suporte para a atualização de Bancos de Dados de Assinaturas Proibidas (DBX) em instâncias de VM blindadas. Um DBX mantém um banco de dados de inicialização seguro de assinaturas que não estão autorizadas a serem executadas na plataforma. A aplicação de atualizações do DBX em uma instância de VM blindada pode impedir a inicialização da instância. Para atualizar o DBX, crie uma nova instância de VM blindada com uma imagem que inclua as atualizações do DBX.
• Quando você encerra uma instância, todas as Chaves do Proprietário da Máquina (MOK) são excluídas. Se você tiver usado um kernel assinado por uma MOK para inicializar e a instância tiver sido encerrada, ao criar uma nova instância com a Inicialização Segura, será necessário usar um kernel que seja inicializado por uma chave de banco de dados segura UEFI padrão. Depois que a instância for inicializada, adicione as Chaves do Proprietário da Máquina e, em seguida, reinicialize no kernel assinado pela MOK.
• Quando você cria uma instância blindada usando o Linux 7.x e depois reinicializa a instância, os valores do PCR podem mudar, fazendo com que o escudo vermelho apareça. Consulte Os valores de PCR mudam após a reinicialização no Linux 7.x.
• Quando você edita uma instância blindada, somente o nome da instância pode ser alterado. Você não pode alterar a forma da instância depois que ela é iniciada e não pode alterar as definições de migração.

Ao criar uma instância, você especifica se ela é blindada.

A Inicialização Medida aumenta a segurança da inicialização armazenando as medidas de componentes de inicialização, como carregadores de inicialização, drivers e sistemas operacionais. Após as medições iniciais serem realizadas, quando o sistema é inicializado, os novos dados de inicialização são comparados com a medição de linha de base para verificar se cada inicialização é idêntica. As medições de linha de base são conhecidas como medidas confiáveis.

Para obter informações gerais sobre migração de instâncias, consulte Live, Reboot e Migração Manual: Movendo uma Instância de Computação para um Novo Host. Quando a instância é migrada para um novo hardware, as chaves de Inicialização Segura e as medidas de inicialização são retomadas na nova instância.

As instâncias blindadas têm as seguintes limitações na migração de instâncias.

Se a validação da Inicialização Segura falhar, você não poderá conectar-se via SSH na sua instância ou a instância não será iniciada. Se a validação da Inicialização Medida falhar, a página Detalhes da Instância exibirá um escudo vermelho.

Em caso de falha na Inicialização Segura, você poderá encontrar mais detalhes sobre a causa da falha nos dados da console serial. Se quiser solucionar problemas de falhas, não encerre a instância. Observe o OCID da instância e capture os arquivos de log da console serial.

Após uma inicialização bem-sucedida, uma mensagem semelhante à seguinte aparecerá nos dados do histórico da console:

SB_EVENT: { "Secure_Boot_Overall_Status" : 0, "status" : "Pass", "msg" : "SB_Event on Exit Boot Services" }

Se você tiver a Inicialização Segura ativada e a assinatura do firmware assinado não estiver correta, a instância não será iniciada. Se a Inicialização Segura falhar porque a imagem não está assinada ou é inválida, uma mensagem semelhante à seguinte aparecerá nos dados do histórico da console:

SB_EVENT: { "status": "Fail", "msg": "The EFI executable failed to load.
It's not signed, or the signature (or hash) did not match entries in DB", "EFI_Image_Type" : "FromOpROM", "EFI_Image_Path":
 
"PciRoot(0x0)/Pci(0x2,0x0)/Offset(0x10A00,0x245FF)",
 
"SB_Variable_Match" : "NO_CERT_MATCH" }

Se a Inicialização Segura falhar porque um kernel não suportado foi carregado, escolha um kernel suportado e tente novamente. Se um kernel não suportado tiver sido carregado, você não poderá conectar-se via SSH na sua instância e uma mensagem semelhante à seguinte aparecerá nos dados do histórico da console:

SB_EVENT: { "status": "Pass", "msg": "The EFI executable loaded successfully", "EFI_Image_Type" : "FromFixedMedia", "EFI_Image_Path" : "PciRoot(0x0)/Pci(0x12,0x7)/Pci(0x0 ... 2000)//EFI/redhat/shimx64.efi", "SB_Variable_Match" : "DB_CERT_MATCH", "CertSubject" : "Microsoft Corporation UEFI CA 2011", "ImageDigest" : "DD35B574D149AA48E3611FFCC336ACD76FDE79AD817B081FE5CC093789B92E90" }
error:
../../grub-core/loader/i386/efi/linux.c:215:(hd0,gpt2)/vmlinuz-5.14.0-1.el8uek.
rc2.x86_64 has invalid signature.
error: ../../grub-core/loader/i386/efi/linux.c:94:you need to load the kernel
first.

Se você tiver a Inicialização Medida ativada e a sequência de inicialização não estiver correta, a instância será inicializada, mas um escudo vermelho será exibido na página Detalhes da Instância. Se você tiver a Inicialização Medida ativada e novos valores de PCR tiverem sido adicionados, a instância será inicializada e um escudo amarelo será exibido na página Detalhes da Instância. Se você obtiver uma falha de Inicialização Medida e os valores do PCR estiverem corretos ou se novos valores tiverem sido adicionados, será possível redefinir as medidas confiáveis.