Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

安全地启动虚拟机

本文档介绍了如何在 Google Distributed Cloud (GDC) 气隙设备中的虚拟机 (VM) 实例上启用安全启动或虚拟化可信平台模块 (vTPM)。

本文档适用于平台管理员或应用运维人员组中的开发者，这些开发者需要在 GDC 网闸隔离配置设备环境中配置虚拟机的安全启动和 vTPM。

安全启动简介

安全启动是一项功能，它会验证所有启动组件的数字签名，并在验证失败时停止相应进程，从而确保系统仅运行正版软件。它使用统一可扩展固件接口 (UEFI) 固件来管理制造商用于为系统固件、引导加载程序和加载的二进制文件签名的证书和密钥。

在每次启动时，UEFI 固件会针对存储的已批准密钥验证每个组件的数字签名，并阻止任何未签名或签名不正确的组件。如需在虚拟机实例上启用安全启动，您必须将虚拟机的 bootloader 类型设置为 uefi。

如需查看官方 UEFI 文档，请访问 https://uefi.org/sites/default/files/resources/UEFI_Secure_Boot_in_Modern_Computer_Security_Solutions_2013.pdf。

虚拟可信平台模块简介

vTPM 是一种专用虚拟计算机芯片，用于保护用于对系统访问进行身份验证的密钥和证书。如需详细了解 vTPM，请访问 https://trustedcomputinggroup.org/trusted-platform-module-tpm-summary/。

您还可以使用 vTPM 通过安全强化或密封功能来保护密钥。如需详细了解密封存储，请参阅 https://en.wikipedia.org/wiki/Trusted_Computing#SEALED-STORAGE。如需查看如何使用 vTPM 实现此目的的 Go 语言示例，请参阅 GitHub 上的 Go-TPM 项目 - https://github.com/google/go-tpm。

准备工作

如需使用 gdcloud 命令行界面 (CLI) 命令，请确保您已下载、安装并配置 gdcloud CLI。GDC 网闸隔离配置设备的全部命令都使用 gdcloud 或 kubectl CLI，并且需要操作系统 (OS) 环境。

获取 kubeconfig 文件路径

如需针对 Management API 服务器运行命令，请确保您拥有以下资源：

找到 Management API 服务器名称，或咨询平台管理员 (PA) 服务器名称。
登录并生成 Management API 服务器的 kubeconfig 文件（如果您还没有）。
使用该路径替换这些说明中的 MANAGEMENT_API_SERVER{"</var>"}}。

申请 IAM 角色

如需在虚拟机上启用安全启动或 vTPM，请与项目 IAM 管理员联系，请求授予 Project VirtualMachine Admin (project-vm-admin) 角色。

所有虚拟机角色都必须绑定到虚拟机所在项目的命名空间。按照相关步骤验证您的访问权限。

启用安全启动

为虚拟机启用安全启动。请按照以下说明操作，以处理项目命名空间 (PROJECT_NAMESPACE) 中名为 VM_NAME 的虚拟机。

更新虚拟机自定义资源以启用安全启动：

kubectl --kubeconfig MANAGEMENT_API_SERVER patch virtualmachines.virtualmachine.gdc.goog VM_NAME -n PROJECT_NAMESPACE --type merge --patch $'
spec:
 shieldConfig:
   bootType: uefi
   enableSecureBoot: true
'

如果虚拟机正在运行，请按照重启虚拟机的说明重启它。
验证您是否已启用安全启动。与虚拟机建立 SSH 连接，然后运行以下命令：
```
mokutil --sb-state
```
如果您已成功启用安全启动，该命令会返回 SecureBoot enabled。

如果 mokutil 工具报告您尚未启用安全启动，请按照排查安全启动配置问题部分中的步骤操作。

排查安全启动配置问题

在编辑器中打开虚拟机自定义资源：

kubectl --kubeconfig MANAGEMENT_API_SERVER edit virtualmachines.virtualmachine.gdc.goog VM_NAME -n PROJECT_NAMESPACE

查找缺失的字段或值，如“运行以下命令”中的 spec 字段所示。这些是必需的。
如果缺少任何字段或有任何字段不正确，请修改 spec 以添加缺少的字段并更正错误的值。
保存文件。
按照重启虚拟机中的步骤操作。

如果上述步骤无法解决您的问题，请查看与虚拟机的操作系统 (OS) 对应的文档，验证该操作系统版本是否支持安全启动。

启用虚拟可信平台模块 (vTPM)

为虚拟机启用 vTPM。针对项目命名空间 (PROJECT_NAMESPACE) 中名为 VM_NAME 的虚拟机，请按照以下说明操作。

更新虚拟机自定义资源以启用 vTPM：

kubectl --kubeconfig MANAGEMENT_API_SERVER patch virtualmachines.virtualmachine.gdc.goog VM_NAME -n PROJECT_NAMESPACE --type merge --patch $'
spec:
   shieldConfig:
      enableVtpm: true
'

如果虚拟机正在运行，请按照重启虚拟机的说明重启该虚拟机。
验证您是否已启用 vTPM。与虚拟机建立 SSH 连接，然后运行以下命令：
```
dmesg | grep -i tpm
```
如果您已成功启用 vTPM，该命令会返回作为 ACPI 表一部分的 TPM 模块。输出类似于以下内容：
```
[    7.620985] tpm_tis MSFT0101:00: 2.0 TPM (device-id 0x1, rev-id 1)
```
如果 ACPI tables 未显示 TPM 模块，请按照排查 vTPM 配置问题部分中的步骤操作。

排查 vTPM 配置问题