Distribuera en virtuell dator med betrodd start aktiverat

1. Logga in på Azure-portalen.

2. Sök efter virtuella datorer.

3. Under Tjänster väljer du Virtuella datorer.

4. På sidan Virtuella datorer väljer du Lägg till och sedan Virtuell dator.

5. Under Projektinformation kontrollerar du att rätt prenumeration har valts.

6. Välj Skapa ny under Resursgrupp. Ange ett namn för resursgruppen eller välj en befintlig resursgrupp i listrutan.

7. Under Instansinformation anger du ett namn för namnet på den virtuella datorn och väljer en region som stöder betrodd start.

8. Som Säkerhetstyp väljer du Betrodda starta virtuella datorer. När alternativen Säker start, vTPM och integritetsövervakning visas väljer du lämpliga alternativ för distributionen. Mer information finns i Betrodda startaktiverade säkerhetsfunktioner.

   

9. Under Bild väljer du en bild från Rekommenderade Gen 2-avbildningar som är kompatibla med betrodd start. En lista finns i Betrodd start.

   Dricks

   Om du inte ser Gen2-versionen av avbildningen som du vill använda i listrutan väljer du Visa alla bilder. Ändra sedan filtret Säkerhetstyp till Betrodd start.

10. Välj en VM-storlek som stöder betrodd start. Mer information finns i listan över storlekar som stöds.

11. Fyll i administratörskontoinformationen och sedan regler för inkommande portar.

12. Längst ned på sidan väljer du Granska + Skapa.

13. På sidan Skapa en virtuell dator kan du se information om den virtuella dator som du ska distribuera. När verifieringen visas som godkänd väljer du Skapa.

Det tar några minuter innan den virtuella datorn distribueras.

Kontrollera att du kör den senaste versionen av Azure CLI.

1. Logga in på Azure med hjälp az loginav .

   az login 
   

2. Skapa en virtuell dator med betrodd start.

   az group create -n myresourceGroup -l eastus 
   
   az vm create \
      --resource-group myResourceGroup \
      --name myVM \
      --image Canonical:UbuntuServer:18_04-lts-gen2:latest \
      --admin-username azureuser \
      --generate-ssh-keys \
      --security-type TrustedLaunch \
      --enable-secure-boot true \ 
      --enable-vtpm true 
   

3. För befintliga virtuella datorer kan du aktivera eller inaktivera inställningar för säker start och vTPM. Om du uppdaterar den virtuella datorn med säker start och vTPM-inställningar utlöses automatisk omstart.

   az vm update \
      --resource-group myResourceGroup \
      --name myVM \
      --enable-secure-boot true \
      --enable-vtpm true 
   

Mer information om hur du installerar övervakning av startintegritet via gästattesteringstillägget finns i Startintegritet.

Om du vill etablera en virtuell dator med betrodd start måste den först aktiveras med parametern TrustedLaunch med hjälp av cmdleten Set-AzVmSecurityProfile . Sedan kan du använda cmdleten Set-AzVmUefi för att ange vTPM- och Secure Boot-konfigurationen. Använd följande kodfragment som en snabbstart. Kom ihåg att ersätta värdena i det här exemplet med dina egna.

$rgName = "myResourceGroup"
$location = "West US"
$vmName = "myTrustedVM"
$vmSize = Standard_B2s
$publisher = "MicrosoftWindowsServer"
$offer = "WindowsServer"
$sku = "2019-datacenter-gensecond"
$version = latest
$cred = Get-Credential `
   -Message "Enter a username and password for the virtual machine."

$vm = New-AzVMConfig -VMName $vmName -VMSize $vmSize 

$vm = Set-AzVMOperatingSystem `
   -VM $vm -Windows `
   -ComputerName $vmName `
   -Credential $cred `
   -ProvisionVMAgent `
   -EnableAutoUpdate 

$vm = Add-AzVMNetworkInterface -VM $vm `
   -Id $NIC.Id 

$vm = Set-AzVMSourceImage -VM $vm `
   -PublisherName $publisher `
   -Offer $offer `
   -Skus $sku `
   -Version $version 

$vm = Set-AzVMOSDisk -VM $vm `
   -StorageAccountType "StandardSSD_LRS" `
   -CreateOption "FromImage" 

$vm = Set-AzVmSecurityProfile -VM $vm `
   -SecurityType "TrustedLaunch" 

$vm = Set-AzVmUefi -VM $vm `
   -EnableVtpm $true `
   -EnableSecureBoot $true 

New-AzVM -ResourceGroupName $rgName -Location $location -VM $vm 

Du kan distribuera betrodda virtuella startdatorer med hjälp av en snabbstartsmall.

Linux

Windows

1. Logga in på Azure-portalen.
2. Sök efter och välj VM-avbildningsversioner i sökfältet.
3. På sidan VM-avbildningsversioner väljer du Skapa.
4. På sidan Skapa vm-avbildningsversion på fliken Grundläggande:
   1. Välj Azure-prenumerationen.
   2. Välj en befintlig resursgrupp eller skapa en ny resursgrupp.
   3. Välj Azure-regionen.
   4. Ange ett avbildningsversionsnummer.
   5. För Källa väljer du antingen Lagringsblobar (VHD) eller Hanterad avbildning eller en annan version av vm-avbildningen.
   6. Om du har valt Storage Blobs (VHD) anger du en virtuell hårddisk för os-disk (utan gästtillståndet för den virtuella datorn). Se till att använda en VHD för Gen2.
   7. Om du har valt Hanterad avbildning väljer du en befintlig hanterad avbildning av en virtuell Gen2-dator.
   8. Om du har valt vm-avbildningsversion väljer du en befintlig galleriavbildningsversion av en virtuell Gen2-dator.
   9. För Target Azure Compute Gallery väljer eller skapar du ett galleri för att dela avbildningen.
   10. För Operativsystemtillstånd väljer du antingen Generaliserad eller Specialiserad beroende på ditt användningsfall. Om du använder en hanterad avbildning som källa väljer du alltid Generaliserad. Om du använder en lagringsblob (VHD) och vill välja Generaliserad följer du stegen för att generalisera en virtuell Linux-hårddisk eller generalisera en virtuell Windows-hårddisk innan du fortsätter. Om du använder en befintlig version av vm-avbildningen väljer du antingen Generaliserad eller Specialiserad baserat på vad som används i definitionen av vm-källavbildningen.
   11. För Avbildningsdefinition för virtuell måldator väljer du Skapa ny.
   12. I fönstret Skapa en VM-avbildningsdefinition anger du ett namn för definitionen. Kontrollera att säkerhetstypen är inställd på Trustedlaunch Supported (Betroddstart stöds). Ange information om utgivare, erbjudande och SKU. Välj sedan OK.
5. På fliken Replikering anger du antalet replikerings- och målregioner för bildreplikering om det behövs.
6. På fliken Kryptering anger du SSE-krypteringsrelaterad information om det behövs.
7. Välj Granska + skapa.
8. När konfigurationen har verifierats väljer du Skapa för att slutföra skapandet av avbildningen.
9. När avbildningsversionen har skapats väljer du Skapa virtuell dator.
10. På sidan Skapa en virtuell dator går du till Resursgrupp och väljer Skapa ny. Ange ett namn för resursgruppen eller välj en befintlig resursgrupp i listrutan.
11. Under Instansinformation anger du ett namn för namnet på den virtuella datorn och väljer en region som stöder betrodd start.
12. Som Säkerhetstyp väljer du Betrodda starta virtuella datorer. Kryssrutan Säker start och vTPM är aktiverade som standard.
13. Fyll i administratörskontoinformationen och sedan regler för inkommande portar.
14. Granska informationen om den virtuella datorn på verifieringssidan.
15. När valideringen har slutförts väljer du Skapa för att slutföra skapandet av den virtuella datorn.

Kontrollera att du kör den senaste versionen av Azure CLI.

1. Logga in på Azure med hjälp az loginav .

   az login 
   

2. Skapa en bilddefinition med TrustedLaunchSupported säkerhetstypen.

   az sig image-definition create --resource-group MyResourceGroup --location eastus \ 
   --gallery-name MyGallery --gallery-image-definition MyImageDef \ 
   --publisher TrustedLaunchPublisher --offer TrustedLaunchOffer --sku TrustedLaunchSku \ 
   --os-type Linux --os-state Generalized \ 
   --hyper-v-generation V2 \ 
   --features SecurityType=TrustedLaunchSupported
   

3. Använd en virtuell hårddisk för operativsystemdiskar för att skapa en avbildningsversion. Se till att den virtuella Linux-hårddisken generaliserades innan du laddar upp den till en Azure Storage-kontoblob med hjälp av stegen i Förbereda Linux för avbildning i Azure.

   az sig image-version create --resource-group MyResourceGroup \
   --gallery-name MyGallery --gallery-image-definition MyImageDef \
   --gallery-image-version 1.0.0 \
   --os-vhd-storage-account /subscriptions/00000000-0000-0000-0000-00000000xxxx/resourceGroups/imageGroups/providers/Microsoft.Storage/storageAccounts/mystorageaccount \
   --os-vhd-uri https://mystorageaccount.blob.core.windows.net/container/path_to_vhd_file
   

4. Skapa en betrodd virtuell dator för start från föregående avbildningsversion.

   adminUsername=linuxvm
   az vm create --resource-group MyResourceGroup \
       --name myTrustedLaunchVM \
       --image "/subscriptions/00000000-0000-0000-0000-00000000xxxx/resourceGroups/MyResourceGroup/providers/Microsoft.Compute/galleries/MyGallery/images/MyImageDef" \
       --size Standard_D2s_v5 \
       --security-type TrustedLaunch \
       --enable-secure-boot true \ 
       --enable-vtpm true \
       --admin-username $adminUsername \
       --generate-ssh-keys
   

1. Skapa en bilddefinition med TrustedLaunchSupported säkerhetstypen.

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "eastus"
   $publisherName = "TrustedlaunchPublisher"
   $offerName = "TrustedlaunchOffer"
   $skuName = "TrustedlaunchSku"
   $description = "My gallery"
   $SecurityType = @{Name='SecurityType';Value='TrustedLaunchSupported'}
   $features = @($SecurityType)
   New-AzGalleryImageDefinition -ResourceGroupName $rgName -GalleryName $galleryName -Name $galleryImageDefinitionName -Location $location -Publisher $publisherName -Offer $offerName -Sku $skuName -HyperVGeneration "V2" -OsState "Generalized" -OsType "Windows" -Description $description -Feature $features
   

2. Om du vill skapa en avbildningsversion kan du använda en befintlig Gen2-galleribildversion som generaliserades när den skapades.

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "eastus"
   $galleryImageVersionName = "1.0.0"
   $sourceImageId = "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myVMRG/providers/Microsoft.Compute/galleries/MyGallery/images/Gen2VMImageDef/versions/0.0.1"
   New-AzGalleryImageVersion -ResourceGroupName $rgName -GalleryName $galleryName -GalleryImageDefinitionName $galleryImageDefinitionName -Name $galleryImageVersionName -Location $location -SourceImageId $sourceImageId
   

3. Skapa en betrodd virtuell dator för start från föregående avbildningsversion.

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "eastus"
   $vmName = "myVMfromImage"
   $vmSize = "Standard_D2s_v5"
   $imageDefinition = Get-AzGalleryImageDefinition `
      -GalleryName $galleryName `
      -ResourceGroupName $rgName `
      -Name $galleryImageDefinitionName
   $cred = Get-Credential `
      -Message "Enter a username and password for the virtual machine"
   # Network pieces
   $subnetConfig = New-AzVirtualNetworkSubnetConfig `
      -Name mySubnet `
      -AddressPrefix 192.168.1.0/24
   $vnet = New-AzVirtualNetwork `
      -ResourceGroupName $rgName `
      -Location $location `
      -Name MYvNET `
      -AddressPrefix 192.168.0.0/16 `
      -Subnet $subnetConfig
   $pip = New-AzPublicIpAddress `
      -ResourceGroupName $rgName `
      -Location $location `
     -Name "mypublicdns$(Get-Random)" `
     -AllocationMethod Static `
     -IdleTimeoutInMinutes 4
   $nsgRuleRDP = New-AzNetworkSecurityRuleConfig `
      -Name myNetworkSecurityGroupRuleRDP  `
      -Protocol Tcp `
     -Direction Inbound `
      -Priority 1000 `
      -SourceAddressPrefix * `
      -SourcePortRange * `
      -DestinationAddressPrefix * `
      -DestinationPortRange 3389 `
      -Access Deny
   $nsg = New-AzNetworkSecurityGroup `
      -ResourceGroupName $rgName `
      -Location $location `
     -Name myNetworkSecurityGroup `
     -SecurityRules $nsgRuleRDP
   $nic = New-AzNetworkInterface `
      -Name myNic `
      -ResourceGroupName $rgName `
      -Location $location `
     -SubnetId $vnet.Subnets[0].Id `
     -PublicIpAddressId $pip.Id `
     -NetworkSecurityGroupId $nsg.Id
   $vm = New-AzVMConfig -vmName $vmName -vmSize $vmSize | `
         Set-AzVMOperatingSystem -Windows -ComputerName $vmName -Credential $cred | `
         Set-AzVMSourceImage -Id $imageDefinition.Id | `
         Add-AzVMNetworkInterface -Id $nic.Id
   $vm = Set-AzVMSecurityProfile -SecurityType "TrustedLaunch" -VM $vm
   $vm = Set-AzVmUefi -VM $vm `
      -EnableVtpm $true `
      -EnableSecureBoot $true 
   New-AzVM `
      -ResourceGroupName $rgName `
      -Location $location `
      -VM $vm
   

1. Logga in på Azure-portalen.
2. Om du vill skapa en Azure Compute-galleriavbildning från en virtuell dator öppnar du en befintlig betrodd startdator och väljer Avbilda.
3. På sidan Skapa en avbildning tillåter du att avbildningen delas till galleriet som en vm-avbildningsversion. Skapande av hanterade avbildningar stöds inte för betrodda virtuella startdatorer.
4. Skapa ett nytt Azure Compute-målgalleri eller välj ett befintligt galleri.
5. Välj operativsystemets tillstånd som generaliserad eller specialiserad. Om du vill skapa en generaliserad avbildning kontrollerar du att du generaliserar den virtuella datorn för att ta bort datorspecifik information innan du väljer det här alternativet. Om Bitlocker-baserad kryptering är aktiverad på den virtuella Windows-datorn för betrodd start kanske du inte kan generalisera samma sak.
6. Skapa en ny avbildningsdefinition genom att ange information om namn, utgivare, erbjudande och SKU. Säkerhetstyp för avbildningsdefinitionen bör redan vara inställd på Betrodd start.
7. Ange ett versionsnummer för avbildningsversionen.
8. Ändra replikeringsalternativ om det behövs.
9. Längst ned på sidan Skapa en bild väljer du Granska + Skapa. När verifieringen visas som godkänd väljer du Skapa.
10. När avbildningsversionen har skapats går du direkt till avbildningsversionen. Du kan också gå till den avbildningsversion som krävs via bilddefinitionen.
11. På sidan version av vm-avbildning väljer du + Skapa virtuell dator för att gå till sidan Skapa en virtuell dator .
12. På sidan Skapa en virtuell dator går du till Resursgrupp och väljer Skapa ny. Ange ett namn för resursgruppen eller välj en befintlig resursgrupp i listrutan.
13. Under Instansinformation anger du ett namn för namnet på den virtuella datorn och väljer en region som stöder betrodd start.
14. Avbildningen och säkerhetstypen är redan ifyllda baserat på den valda avbildningsversionen. Kryssrutan Säker start och vTPM är aktiverade som standard.
15. Fyll i administratörskontoinformationen och sedan regler för inkommande portar.
16. Längst ned på sidan väljer du Granska + Skapa.
17. Granska informationen om den virtuella datorn på verifieringssidan.
18. När valideringen har slutförts väljer du Skapa för att slutföra skapandet av den virtuella datorn.

Om du vill använda antingen en hanterad disk eller en ögonblicksbild av en hanterad disk som källa till avbildningsversionen (i stället för en betrodd virtuell startdator) följer du dessa steg.

1. Logga in på Azure-portalen.
2. Sök efter VM-avbildningsversioner och välj Skapa.
3. Ange versionsnumret för prenumeration, resursgrupp, region och bild.
4. Välj källan som Diskar och/eller Ögonblicksbilder.
5. Välj OS-disken som en hanterad disk eller en ögonblicksbild av en hanterad disk i listrutan.
6. Välj ett Azure Compute-målgalleri för att skapa och dela avbildningen. Om det inte finns något galleri skapar du ett nytt galleri.
7. Välj operativsystemets tillstånd som generaliserad eller specialiserad. Om du vill skapa en generaliserad avbildning kontrollerar du att du generaliserar disken eller ögonblicksbilden för att ta bort datorspecifik information.
8. För Avbildningsdefinition för virtuell måldator väljer du Skapa ny. I fönstret som öppnas väljer du ett bilddefinitionsnamn och ser till att säkerhetstypen är inställd på Betrodd start. Ange information om utgivare, erbjudande och SKU och välj OK.
9. Fliken Replikering kan användas för att ange antal replikering och målregioner för bildreplikering om det behövs.
10. Fliken Kryptering kan också användas för att tillhandahålla SSE-krypteringsrelaterad information om det behövs.
11. Välj Skapa på fliken Granska + skapa för att skapa avbildningen.
12. När avbildningsversionen har skapats väljer du + Skapa virtuell dator för att gå till sidan Skapa en virtuell dator .
13. Följ steg 12 till 18 som tidigare nämnts för att skapa en betrodd virtuell dator för start med hjälp av den här avbildningsversionen.

Kontrollera att du kör den senaste versionen av Azure CLI.

1. Logga in på Azure med hjälp az loginav .

   az login 
   

2. Skapa en bilddefinition med TrustedLaunch säkerhetstypen.

   az sig image-definition create --resource-group MyResourceGroup --location eastus \ 
   --gallery-name MyGallery --gallery-image-definition MyImageDef \ 
   --publisher TrustedLaunchPublisher --offer TrustedLaunchOffer --sku TrustedLaunchSku \ 
   --os-type Linux --os-state Generalized \ 
   --hyper-v-generation V2 \ 
   --features SecurityType=TrustedLaunch
   

3. Om du vill skapa en avbildningsversion kan du avbilda en befintlig Linux-baserad virtuell dator med betrodd start. Generalisera den virtuella datorn för betrodd start innan du skapar avbildningsversionen.

   az sig image-version create --resource-group MyResourceGroup \
   --gallery-name MyGallery --gallery-image-definition MyImageDef \
   --gallery-image-version 1.0.0 \
   --managed-image /subscriptions/00000000-0000-0000-0000-00000000xxxx/resourceGroups/MyResourceGroup/providers/Microsoft.Compute/virtualMachines/myVM
   

   Om en hanterad disk eller en ögonblicksbild av en hanterad disk måste användas som avbildningskälla för avbildningsversionen ersätter --managed-image du i föregående kommando med --os-snapshot och anger disken eller resursnamnet för ögonblicksbilden.

4. Skapa en betrodd virtuell dator för start från föregående avbildningsversion.

   adminUsername=linuxvm
   az vm create --resource-group MyResourceGroup \
       --name myTrustedLaunchVM \
       --image "/subscriptions/00000000-0000-0000-0000-00000000xxxx/resourceGroups/MyResourceGroup/providers/Microsoft.Compute/galleries/MyGallery/images/MyImageDef" \
       --size Standard_D2s_v5 \
       --security-type TrustedLaunch \
       --enable-secure-boot true \ 
       --enable-vtpm true \
       --admin-username $adminUsername \
       --generate-ssh-keys
   

1. Skapa en bilddefinition med TrustedLaunch säkerhetstypen.

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "eastus"
   $publisherName = "TrustedlaunchPublisher"
   $offerName = "TrustedlaunchOffer"
   $skuName = "TrustedlaunchSku"
   $description = "My gallery"
   $SecurityType = @{Name='SecurityType';Value='TrustedLaunch'}
   $features = @($SecurityType)
   New-AzGalleryImageDefinition -ResourceGroupName $rgName -GalleryName $galleryName -Name $galleryImageDefinitionName -Location $location -Publisher $publisherName -Offer $offerName -Sku $skuName -HyperVGeneration "V2" -OsState "Generalized" -OsType "Windows" -Description $description -Feature $features
   

2. Om du vill skapa en avbildningsversion kan du avbilda en befintlig Windows-baserad virtuell dator med betrodd start. Generalisera den virtuella datorn för betrodd start innan du skapar avbildningsversionen.

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "eastus"
   $galleryImageVersionName = "1.0.0"
   $sourceImageId = "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myVMRG/providers/Microsoft.Compute/virtualMachines/myVM"
   New-AzGalleryImageVersion -ResourceGroupName $rgName -GalleryName $galleryName -GalleryImageDefinitionName $galleryImageDefinitionName -Name $galleryImageVersionName -Location $location -SourceImageId $sourceImageId
   

3. Skapa en betrodd virtuell dator för start från föregående avbildningsversion.

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "eastus"
   $vmName = "myVMfromImage"
   $vmSize = "Standard_D2s_v5"
   $imageDefinition = Get-AzGalleryImageDefinition `
      -GalleryName $galleryName `
      -ResourceGroupName $rgName `
      -Name $galleryImageDefinitionName
   $cred = Get-Credential `
      -Message "Enter a username and password for the virtual machine"
   # Network pieces
   $subnetConfig = New-AzVirtualNetworkSubnetConfig `
      -Name mySubnet `
      -AddressPrefix 192.168.1.0/24
   $vnet = New-AzVirtualNetwork `
      -ResourceGroupName $rgName `
      -Location $location `
      -Name MYvNET `
      -AddressPrefix 192.168.0.0/16 `
      -Subnet $subnetConfig
   $pip = New-AzPublicIpAddress `
      -ResourceGroupName $rgName `
      -Location $location `
     -Name "mypublicdns$(Get-Random)" `
     -AllocationMethod Static `
     -IdleTimeoutInMinutes 4
   $nsgRuleRDP = New-AzNetworkSecurityRuleConfig `
      -Name myNetworkSecurityGroupRuleRDP  `
      -Protocol Tcp `
     -Direction Inbound `
      -Priority 1000 `
      -SourceAddressPrefix * `
      -SourcePortRange * `
      -DestinationAddressPrefix * `
      -DestinationPortRange 3389 `
      -Access Deny
   $nsg = New-AzNetworkSecurityGroup `
      -ResourceGroupName $rgName `
      -Location $location `
     -Name myNetworkSecurityGroup `
     -SecurityRules $nsgRuleRDP
   $nic = New-AzNetworkInterface `
      -Name myNic `
      -ResourceGroupName $rgName `
      -Location $location `
     -SubnetId $vnet.Subnets[0].Id `
     -PublicIpAddressId $pip.Id `
     -NetworkSecurityGroupId $nsg.Id
   $vm = New-AzVMConfig -vmName $vmName -vmSize $vmSize | `
         Set-AzVMOperatingSystem -Windows -ComputerName $vmName -Credential $cred | `
         Set-AzVMSourceImage -Id $imageDefinition.Id | `
         Add-AzVMNetworkInterface -Id $nic.Id
   $vm = Set-AzVMSecurityProfile -SecurityType "TrustedLaunch" -VM $vm
   $vm = Set-AzVmUefi -VM $vm `
      -EnableVtpm $true `
      -EnableSecureBoot $true 
   New-AzVM `
      -ResourceGroupName $rgName `
      -Location $location `
      -VM $vm