Azure Kubernetes 服务（AKS）的受信任启动

• Azure CLI 版本 2.66.0 或更高版本。 可通过运行 az --version 查找版本，运行 az upgrade 升级版本。 如果需要进行安装或升级，请参阅安装 Azure CLI。

1. 使用 az aks create 命令创建 AKS 群集。 在运行命令之前，请查看以下参数：

   • --name：输入 AKS 群集的唯一名称，例如 myAKSCluster。
   • --resource-group：输入用于托管 AKS 群集资源的现有资源组的名称。
   • --enable-secure-boot：启用安全启动来验证由受信任的发布者签名的映像。
   • --enable-vtpm：通过测量 VM 的整个启动链来启用 vTPM 并执行证明。

   注意

   安全启动需要已签名的启动加载程序、OS 内核和驱动程序。 如果启用安全启动后节点未启动，则可以验证哪些启动组件导致了 Azure Linux 虚拟机中的安全启动失败。 请参阅验证安全启动失败。

   以下示例使用 myResourceGroup 中的 一个节点创建了名为 myAKSCluster的群集，并启用了安全启动和 vTPM：

   az aks create \
       --name myAKSCluster \
       --resource-group myResourceGroup \
       --node-count 1 \
       --enable-secure-boot \
       --enable-vtpm \
       --generate-ssh-keys
   

2. 运行以下命令以获取 Kubernetes 群集的访问凭据。 使用 az aks get-credentials 命令，并替换群集名称和资源组名称的值。

   az aks get-credentials --resource-group myResourceGroup --name myAKSCluster
   

1. 使用受信任的启动参数创建模板。 在创建模板之前，请查看以下参数：

   • enableSecureBoot：启用安全启动来验证由受信任的发布者签名的映像。
   • enableVTPM：通过测量 VM 的整个启动链来启用 vTPM 并执行证明。

   在模板中，为 enableVTPM 和 enableSecureBoot 提供值。 用于 CLI 部署的同一架构也存在于 "properties" 下的 Microsoft.ContainerService/managedClusters/agentPools 定义中，如以下示例所示：

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": "true",
           "enableSecureBoot": "true",
       }
   }
   

2. 使用 vTPM 部署模板，并在群集上启用安全启动。 有关详细说明，请参阅 使用 ARM 模板部署 AKS 群集 。

1. 使用 az aks nodepool add 命令添加启用了“受信任启动”的节点池。 在运行命令之前，请查看以下参数：

   • --cluster-name：输入 AKS 群集的名称。
   • --resource-group：输入用于托管 AKS 群集资源的现有资源组的名称。
   • --name：输入节点池的唯一名称。 节点池的名称只能包含小写字母数字字符，并且必须以小写字母开头。 对于 Linux 节点池，长度必须介于 1 到 11 个字符之间。
   • --node-count：Kubernetes 代理池中的节点数。 默认值为 3。
   • --enable-secure-boot：启用安全启动，以便验证由受信任发布者签名的映像。
   • --enable-vtpm：通过测量 VM 的整个启动链来启用 vTPM 并执行证明。

   注意

   安全启动需要已签名的启动加载程序、OS 内核和驱动程序。 如果启用安全启动后节点未启动，则可以验证哪些启动组件导致了 Azure Linux 虚拟机中的安全启动失败。 请参阅验证安全启动失败。

   以下示例演示如何在名为 myAKSCluster 且具有三个节点的群集上部署启用了 vTPM 和安全启动的节点池：

   az aks nodepool add --resource-group myResourceGroup --cluster-name myAKSCluster --name mynodepool --node-count 3 --enable-vtpm --enable-secure-boot
   

2. 检查节点池是否正在使用受信任的启动映像。

   受信任的启动节点具有以下输出：

   • 包含 "TL" 的节点映像版本，例如 "AKSUbuntu-2204-gen2TLcontainerd"。
   • "Security-type" 应为 "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. 使用受信任的启动参数创建模板。 在创建模板之前，请查看以下参数：

   • enableSecureBoot：启用安全启动来验证由受信任的发布者签名的映像。
   • enableVTPM：通过测量 VM 的整个启动链来启用 vTPM 并执行证明。

   在模板中，为 enableVTPM 和 enableSecureBoot 提供值。 用于 CLI 部署的相同架构也存在于 "properties" 下的 Microsoft.ContainerService/managedClusters/agentPools 定义中，如下例所示：

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": "true",
           "enableSecureBoot": "true",
       }
   }
   

2. 使用 vTPM 部署模板，并在群集上启用安全启动。 有关详细说明，请参阅 使用 ARM 模板部署 AKS 群集 。

1. 使用 az aks nodepool add 命令添加启用可信启动和 FIPS 的节点池。 在运行命令之前，请查看以下参数：

   • --cluster-name：输入 AKS 群集的名称。
   • --resource-group：输入用于托管 AKS 群集资源的现有资源组的名称。
   • --name：输入节点池的唯一名称。 节点池的名称只能包含小写字母数字字符，并且必须以小写字母开头。 对于 Linux 节点池，长度必须介于 1 到 11 个字符之间。
   • --node-count：Kubernetes 代理池中的节点数。 默认值为 3。
   • --enable-secure-boot：启用安全启动，以便验证由受信任发布者签名的映像。
   • --enable-vtpm：通过测量 VM 的整个启动链来启用 vTPM 并执行证明。
   • --enable-fips-image：为节点池启用符合 FIPS 的节点映像。

   注意

   安全启动需要已签名的启动加载程序、OS 内核和驱动程序。 如果启用安全启动后节点未启动，则可以验证哪些启动组件导致了 Azure Linux 虚拟机中的安全启动失败。 请参阅验证安全启动失败。

   以下示例部署在名为 myAKSCluster 的群集上启用了 vTPM、安全启动和 FIPS 的节点池，其中包含三个节点：

   az aks nodepool add --resource-group myResourceGroup --cluster-name myAKSCluster --name mynodepool --node-count 3 --enable-vtpm --enable-secure-boot --enable-fips-image
   

2. 检查节点池是否使用受信任的启动映像。

   受信任的启动节点具有以下输出：

   • 包含 "TL" 和 "FIPS" 的节点镜像版本。
   • "Security-type" 是 "Trusted Launch"。

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. 使用可信启动和 FIPS 参数创建模板。 在创建模板之前，请查看以下参数：

   • enableSecureBoot：启用安全启动来验证由受信任的发布者签名的映像。
   • enableVTPM：通过测量 VM 的整个启动链来启用 vTPM 并执行证明。
   • enableFips：为节点池启用符合 FIPS 的节点映像。

   在你的模板中，提供 enableVTPM、enableSecureBoot、enableFips 的值。 用于 CLI 部署的同一架构也存在于 "properties" 下的 Microsoft.ContainerService/managedClusters/agentPools 定义中，如下例所示：

   "properties": {
       ...,
       "osSKU": "Ubuntu",
       "enableFips": true,
       "securityProfile": {
           "enableVTPM": "true",
           "enableSecureBoot": "true",
       }
   }
   

2. 在您的集群上部署启用了 vTPM、安全启动和 FIPS 的模板。 有关详细说明，请参阅 使用 ARM 模板部署 AKS 群集 。

1. 检查节点池是否正在使用受信任的启动映像。

   受信任的启动节点具有以下输出：

   • 包含 "TL" 的节点镜像版本，例如 "AKSUbuntu-2204-gen2TLcontainerd"。
   • "Security-type" 应为 "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

   如果节点池当前没有受信任的启动映像，则无法更新节点池以启用安全启动或 vTPM。

2. 使用 az aks nodepool update 命令更新启用“受信任启动”的节点池。 在运行命令之前，请查看以下参数：

   • --resource-group：输入托管现有 AKS 群集的现有资源组的名称。
   • --cluster-name：输入 AKS 群集的唯一名称，例如 myAKSCluster。
   • --name：输入节点池的名称，例如 mynodepool。
   • --enable-secure-boot：使安全启动能够验证映像是否已由受信任的发布者签名。
   • --enable-vtpm：通过测量 VM 的整个启动链来启用 vTPM 并执行证明。

   注意

   安全启动需要已签名的启动加载程序、OS 内核和驱动程序。 如果启用安全启动后节点未启动，则可以验证哪些启动组件导致了 Azure Linux 虚拟机中的安全启动失败。 请参阅验证安全启动失败。

   以下示例更新 myResourceGroup 中 myAKSCluster 上的节点池 mynodepool，并启用 vTPM。 在此方案中，在创建节点池期间启用了安全启动：

   az aks nodepool update --cluster-name myCluster --resource-group myResourceGroup --name mynodepool --enable-vtpm 
   

   以下示例更新 myResourceGroup 中 myAKSCluster 上的节点池 mynodepool，并启用安全启动。 在此方案中，在创建节点池期间启用了 vTPM：

   az aks nodepool update --cluster-name myCluster --resource-group myResourceGroup --name mynodepool --enable-secure-boot
   

1. 检查节点池是否正在使用受信任的启动映像。

   受信任的启动节点具有以下输出：

   • 包含 "TL"的节点映像版本，例如 "AKSUbuntu-2204-gen2TLcontainerd"。
   • "Security-type" 应为 "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

   如果节点池当前没有受信任的启动映像，则无法更新节点池以启用安全启动或 vTPM。

2. 使用受信任的启动参数创建模板。 在创建模板之前，请查看以下参数：

   • enableSecureBoot：启用安全启动来验证由受信任的发布者签名的映像。
   • enableVTPM：通过测量 VM 的整个启动链来启用 vTPM 并执行证明。

   在模板中，为 enableVTPM 和 enableSecureBoot 提供值。 用于 CLI 部署的相同架构也存在于 "properties" 下的 Microsoft.ContainerService/managedClusters/agentPools 定义中，如以下示例所示：

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": "true",
           "enableSecureBoot": "true",
       }
   }
   

3. 使用 vTPM 部署模板，并在群集上启用安全启动。 有关详细说明，请参阅 使用 ARM 模板部署 AKS 群集 。

更新节点池以使用 az aks nodepool update 命令禁用安全启动或 vTPM。 在运行命令之前，请查看以下参数：

• --resource-group：输入托管现有 AKS 群集的现有资源组的名称。
• --cluster-name：输入 AKS 群集的唯一名称，例如 myAKSCluster。
• --name：输入节点池的名称，例如 mynodepool。
• --enable-secure-boot：使安全启动能够验证映像是否已由受信任的发布者签名。
• --enable-vtpm：通过测量 VM 的整个启动链来启用 vTPM 并执行证明。

若要在现有节点池上禁用 vTPM，请执行以下作：

az aks nodepool update --cluster-name myCluster --resource-group myResourceGroup --name mynodepool --disable-vtpm

若要对现有节点池禁用安全启动，请执行以下操作：

az aks nodepool update --cluster-name myCluster --resource-group myResourceGroup --name mynodepool --disable-secure-boot 

1. 使用受信任的启动参数创建模板。 在创建模板之前，请查看以下参数：

   • enableSecureBoot：启用安全启动来验证由受信任的发布者签名的映像。
   • enableVTPM：通过测量 VM 的整个启动链来启用 vTPM 并执行证明。

   在你的模板中，为 enableVTPM 和 enableSecureBoot 提供值。 用于 CLI 部署的相同架构也存在于 "properties" 下的 Microsoft.ContainerService/managedClusters/agentPools 定义中，如以下示例所示：

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": "false",
           "enableSecureBoot": "false",
       }
   }
   

2. 使用 vTPM 部署模板，并在群集上禁用安全启动。 有关详细说明，请参阅 使用 ARM 模板部署 AKS 群集 。