Démarrage sécurisé et vTPM

Le démarrage sécurisé est une fonctionnalité de l’Unified Extensible Firmware Interface (UEFI), qui est responsable du démarrage du système. Il garantit que seul un logiciel de confiance est chargé pendant le processus de démarrage.

Le Trusted Platform Module (TPM) est une puce matérielle qui fournit un stockage sécurisé pour les clés cryptographiques et d’autres données sensibles. Un Virtual Trusted Platform Module (vTPM) exécute les mêmes fonctions qu’un TPM, mais il exécute les capacités de coprocesseur cryptographique dans un logiciel. Bien que le TPM puisse améliorer la sécurité, ce n’est pas une exigence pour le démarrage sécurisé.

Consultez les informations suivantes pour en savoir plus sur les hyperviseurs pris en charge :

• Démarrage sécurisé et NitroTPM dans AWS
• Démarrage sécurisé et vTPM dans Google Cloud Platform
• Démarrage sécurisé et vTPM dans Microsoft Azure
• Démarrage sécurisé et vTPM dans Nutanix Prism Central
• vTPM dans VMware
• Démarrage sécurisé et vTPM pour XenServer®

Démarrage sécurisé et NitroTPM dans AWS

Dans les environnements AWS, vous pouvez sélectionner une image principale (AMI) avec NitroTPM et/ou le démarrage sécurisé UEFI activé. En conséquence, les machines virtuelles provisionnées dans le catalogue sont également activées avec NitroTPM et/ou le démarrage sécurisé UEFI. Cette implémentation garantit que les machines virtuelles sont sécurisées et fiables. Pour plus d’informations sur NitroTPM et le démarrage sécurisé UEFI, consultez la documentation Amazon. Pour créer un catalogue activé avec NitroTPM et le démarrage sécurisé UEFI, consultez Activer NitroTPM et le démarrage sécurisé UEFI pour les instances de VM.

Démarrage sécurisé et vTPM dans Google Cloud Platform

Vous pouvez provisionner des machines virtuelles blindées sur Google Cloud Platform (GCP). L’intégrité vérifiable des machines virtuelles blindées est obtenue en utilisant les fonctionnalités suivantes :

• Démarrage sécurisé
• Démarrage mesuré compatible vTPM
• Surveillance de l’intégrité

Pour plus d’informations sur l’utilisation de PowerShell pour créer un catalogue avec une VM protégée, consultez Utilisation de PowerShell pour créer un catalogue avec une VM protégée.

Remarque :

Si vous installez Windows 11 sur l’image principale, vous devez activer le vTPM pendant le processus de création de l’image principale. De plus, si vous utilisez un profil de machine pour créer le catalogue, vous devez activer le vTPM sur la source du profil de machine (VM ou modèle d’instance). Pour plus d’informations sur la création de VM Windows 11 sur le nœud à locataire unique, consultez Créer des VM Windows 11 sur le nœud à locataire unique.

Secure Boot et vTPM dans Microsoft Azure

Dans les environnements Azure, vous pouvez créer des catalogues de machines activés avec le lancement sécurisé (Trusted Launch). Azure propose le lancement sécurisé comme un moyen transparent d’améliorer la sécurité des VM de génération 2. Le lancement sécurisé protège contre les techniques d’attaque avancées et persistantes. Pour activer le lancement sécurisé, utilisez une configuration de catalogue basée sur un profil de machine. À la base du lancement sécurisé se trouve le Secure Boot pour votre VM. Le lancement sécurisé utilise également le vTPM pour effectuer une attestation à distance par le cloud. Ceci est utilisé pour les vérifications de l’état de la plateforme et pour prendre des décisions basées sur la confiance. Vous pouvez activer individuellement Secure Boot et vTPM. Pour plus d’informations sur la création d’un catalogue de machines avec le lancement sécurisé, consultez Catalogues de machines avec lancement sécurisé.

Secure Boot et vTPM dans Nutanix Prism Central

MCS prend en charge la création d’un catalogue de machines avec vTPM, UEFI et Secure Boot avec Nutanix Prism Central. Vous pouvez sélectionner une image principale (modèle) avec vTPM et UEFI Secure Boot activés.

Dans Nutanix Prism Central, UEFI Secure Boot ne nécessite pas de vTPM. Cependant, pour lier un vTPM à une VM, la VM doit être démarrée en UEFI, que Secure Boot soit activé ou non.

De plus, les VM avec vTPM, UEFI et Secure Boot activés peuvent être importées depuis Nutanix Prism Central et peuvent être gérées en termes d’alimentation par Citrix Virtual Apps and Desktops.

Nutanix prend en charge le vTPM et UEFI Secure Boot. Voir :

• Prise en charge du vTPM (Virtual Trusted Platform Module) sur AHV.
• Prise en charge de Secure Boot pour les VM
• Sécurisation des VM AHV avec un module de plateforme sécurisée virtuel

vTPM dans VMware

MCS prend en charge la création d’un catalogue de machines avec vTPM. Si Windows 11 est installé sur l’image principale, il est nécessaire d’activer le vTPM pour l’image principale. Si la configuration basée sur un profil de machine est utilisée et que le vTPM est activé, les machines virtuelles du catalogue héritent du même contenu vTPM du modèle de machine virtuelle. Si le profil de machine n’est pas utilisé et que le vTPM est activé sur l’image principale, les machines virtuelles du catalogue ont un vTPM vide. Pour plus d’informations, consultez Créer un catalogue de machines à l’aide d’un profil de machine.

Démarrage sécurisé et vTPM pour XenServer®

XenServer fournit le démarrage sécurisé UEFI sur certains de ses systèmes d’exploitation de machines virtuelles pris en charge. Le démarrage sécurisé empêche l’exécution de binaires non signés, mal signés ou modifiés pendant le démarrage. Sur une machine virtuelle compatible UEFI qui applique le démarrage sécurisé, tous les pilotes doivent être signés. Pour plus d’informations, consultez UEFI invité et démarrage sécurisé.

Dans XenServer 8, le vTPM n’est pas requis pour le démarrage sécurisé UEFI. Cependant, pour lier un vTPM à une machine virtuelle, cette machine virtuelle doit être démarrée en UEFI, que le démarrage sécurisé soit activé ou non. Une machine virtuelle Windows 11 nécessite un vTPM lié et celui-ci est créé automatiquement lorsque la machine virtuelle Windows 11 est créée à partir du modèle fourni. Pour les autres systèmes d’exploitation, un vTPM est facultatif. Pour plus d’informations, consultez vTPM.