部署已启用受信任启动的虚拟机

1. 登录 Azure 门户。

2. 搜索“虚拟机”。

3. 在“服务”下，选择“虚拟机” 。

4. 在“虚拟机”页上选择“添加”，然后选择“虚拟机”。

5. 在“项目详细信息”下，确保选择了正确的订阅。

6. 在“资源组”下，选择“新建”。 输入资源组的名称或从下拉列表中选择一个现有资源组。

7. 在“实例详细信息”下，输入一个名称作为 VM 名称，并选择一个支持受信任启动的区域。

8. 对于“安全类型”，请选择“受信任启动虚拟机”。 当出现“安全启动”、“vTPM”和“完整性监视”选项时，请选择适合你的部署的选项。 有关详细信息，请参阅已启用受信任启动的安全功能。

   

9. 在“映像”下，从“推荐的与受信任启动兼容的第 2 代映像”中选择一个映像。 有关列表，请参阅受信任启动。

   提示

   如果下拉列表中未显示所需的 Gen2 版本映像，请选择“查看所有映像”。 然后将“安全类型”筛选器更改为“受信任启动”。

10. 选择支持受信任启动的 VM 大小。 有关详细信息，请参阅支持的大小的列表。

11. 填写“管理员帐户”信息，然后填写“入站端口规则”。

12. 在页面底部，选择“查看 + 创建”。

13. 在“创建虚拟机”页上，可以查看有关要部署的 VM 的信息。 在验证显示为通过后，选择“创建”。

部署 VM 需要几分钟。

确保运行最新版本的 Azure CLI。

1. 使用 az login 登录到 Azure。

   az cloud set -n AzureChinaCloud
   az login 
   

2. 创建使用受信任启动的 VM。

   az group create -n myresourceGroup -l chinanorth2 
   
   az vm create \
      --resource-group myResourceGroup \
      --name myVM \
      --image Canonical:UbuntuServer:18_04-lts-gen2:latest \
      --admin-username azureuser \
      --generate-ssh-keys \
      --security-type TrustedLaunch \
      --enable-secure-boot true \ 
      --enable-vtpm true 
   

3. 对于现有 VM，可以启用或禁用安全启动和 vTPM 设置。 使用安全启动和 vTPM 设置更新 VM 会触发自动重启。

   az vm update \
      --resource-group myResourceGroup \
      --name myVM \
      --enable-secure-boot true \
      --enable-vtpm true 
   

有关通过来宾证明扩展安装启动完整性监视的详细信息，请参阅《启动完整性》。

若要使用受信任启动预配 VM，首先需要使用 Set-AzVmSecurityProfile cmdlet 为其启用 TrustedLaunch 参数。 然后可以使用 Set-AzVmUefi cmdlet 来设置 vTPM 和安全启动配置。 使用以下代码片段作为快速启动。 请记住用你自己的值替换此示例中的值。

$rgName = "myResourceGroup"
$location = "China North 2"
$vmName = "myTrustedVM"
$vmSize = Standard_B2s
$publisher = "MicrosoftWindowsServer"
$offer = "WindowsServer"
$sku = "2019-datacenter-gensecond"
$version = latest
$cred = Get-Credential `
   -Message "Enter a username and password for the virtual machine."

$vm = New-AzVMConfig -VMName $vmName -VMSize $vmSize 

$vm = Set-AzVMOperatingSystem `
   -VM $vm -Windows `
   -ComputerName $vmName `
   -Credential $cred `
   -ProvisionVMAgent `
   -EnableAutoUpdate 

$vm = Add-AzVMNetworkInterface -VM $vm `
   -Id $NIC.Id 

$vm = Set-AzVMSourceImage -VM $vm `
   -PublisherName $publisher `
   -Offer $offer `
   -Skus $sku `
   -Version $version 

$vm = Set-AzVMOSDisk -VM $vm `
   -StorageAccountType "StandardSSD_LRS" `
   -CreateOption "FromImage" 

$vm = Set-AzVmSecurityProfile -VM $vm `
   -SecurityType "TrustedLaunch" 

$vm = Set-AzVmUefi -VM $vm `
   -EnableVtpm $true `
   -EnableSecureBoot $true 

New-AzVM -ResourceGroupName $rgName -Location $location -VM $vm 

可以使用快速启动模板部署受信任启动 VM。

Linux

Windows

1. 登录到 Azure 门户。
2. 在搜索栏中搜索并选择“VM 映像版本”。
3. 在“VM 映像版本”页上，选择“创建”。
4. 在“创建 VM 映像版本”页上的“基本信息”选项卡上：
   1. 选择 Azure 订阅。
   2. 选择现有资源组或创建新资源组。
   3. 选择 Azure 区域。
   4. 输入映像版本号。
   5. 对于“源”，请选择“存储 Blob (VHD)”或“托管映像”，或选择其他“VM 映像版本”。
   6. 如果选择“存储 Blob (VHD)”，请输入 OS 磁盘 VHD（不包含 VM 来宾状态）。 请确保使用 Gen2 VHD。
   7. 如果选择了“托管映像”，请选择 Gen2 VM 的现有托管映像。
   8. 如果选择了“VM 映像版本”，请选择 Gen2 VM 的现有 Gallery 映像版本。
   9. 对于“目标 Azure Compute Gallery”，选择或创建用于共享映像的库。
   10. 对于“操作系统状态”，选择“通用”或“专用”，具体取决于你的用例。 如果使用托管映像作为源，请始终选择“通用”。 如果使用存储 blob (VHD) 且想要选择“通用”，请按照步骤通用化 Linux VHD 或通用化 Windows VHD，然后再继续操作。 如果你使用的是现有 VM 映像版本，请根据源 VM 映像定义中使用的内容选择“通用”或“专用”。
   11. 对于“目标 VM 映像定义”，选择“新建”。
   12. 在“创建 VM 映像定义”窗格中，输入定义的名称。 确保安全类型设置为“支持 Trustedlaunch”。 输入发布者、产品/服务和 SKU 信息。 然后选择确定。
5. 在“复制”选项卡上，根据需要输入映像复制的副本计数和目标区域。
6. 在“加密”选项卡上，根据需要输入与 SSE 加密相关的信息。
7. 选择“查看 + 创建” 。
8. 成功验证配置后，选择“创建”以完成映像创建。
9. 创建映像版本后，选择“创建 VM”。
10. 在“创建虚拟机”页的“资源组”下，选择“新建”。 输入资源组的名称或从下拉列表中选择一个现有资源组。
11. 在“实例详细信息”下，输入一个名称作为 VM 名称，并选择一个支持受信任启动的区域。
12. 对于“安全类型”，请选择“受信任启动虚拟机”。 默认情况下启用“安全启动”和“vTPM”复选框。
13. 填写“管理员帐户”信息，然后填写“入站端口规则”。
14. 在验证页上，查看 VM 的详细信息。
15. 验证成功后，选择“创建”以完成 VM 创建。

确保运行最新版本的 Azure CLI。

1. 使用 az login 登录到 Azure。

   az cloud set -n AzureChinaCloud
   az login 
   

2. 使用 TrustedLaunchSupported 安全类型创建映像定义。

   az sig image-definition create --resource-group MyResourceGroup --location chinanorth2 \ 
   --gallery-name MyGallery --gallery-image-definition MyImageDef \ 
   --publisher TrustedLaunchPublisher --offer TrustedLaunchOffer --sku TrustedLaunchSku \ 
   --os-type Linux --os-state Generalized \ 
   --hyper-v-generation V2 \ 
   --features SecurityType=TrustedLaunchSupported
   

3. 使用 OS 磁盘 VHD 创建映像版本。 确保在将 Linux VHD 上传到 Azure 存储帐户 blob 之前，已按照准备 Linux 以在 Azure 中进行映像处理中的步骤对 Linux VHD 进行通用化操作。

   az sig image-version create --resource-group MyResourceGroup \
   --gallery-name MyGallery --gallery-image-definition MyImageDef \
   --gallery-image-version 1.0.0 \
   --os-vhd-storage-account /subscriptions/00000000-0000-0000-0000-00000000xxxx/resourceGroups/imageGroups/providers/Microsoft.Storage/storageAccounts/mystorageaccount \
   --os-vhd-uri https://mystorageaccount.blob.core.chinacloudapi.cn/container/path_to_vhd_file
   

4. 从上一映像版本创建受信任启动 VM。

   adminUsername=linuxvm
   az vm create --resource-group MyResourceGroup \
       --name myTrustedLaunchVM \
       --image "/subscriptions/00000000-0000-0000-0000-00000000xxxx/resourceGroups/MyResourceGroup/providers/Microsoft.Compute/galleries/MyGallery/images/MyImageDef" \
       --size Standard_D2s_v5 \
       --security-type TrustedLaunch \
       --enable-secure-boot true \ 
       --enable-vtpm true \
       --admin-username $adminUsername \
       --generate-ssh-keys
   

1. 使用 TrustedLaunchSupported 安全类型创建映像定义。

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "chinanorth2"
   $publisherName = "TrustedlaunchPublisher"
   $offerName = "TrustedlaunchOffer"
   $skuName = "TrustedlaunchSku"
   $description = "My gallery"
   $SecurityType = @{Name='SecurityType';Value='TrustedLaunchSupported'}
   $features = @($SecurityType)
   New-AzGalleryImageDefinition -ResourceGroupName $rgName -GalleryName $galleryName -Name $galleryImageDefinitionName -Location $location -Publisher $publisherName -Offer $offerName -Sku $skuName -HyperVGeneration "V2" -OsState "Generalized" -OsType "Windows" -Description $description -Feature $features
   

2. 若要创建映像版本，可以使用已在创建过程中通用化的现有 Gen2 Gallery 映像版本。

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "chinanorth2"
   $galleryImageVersionName = "1.0.0"
   $sourceImageId = "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myVMRG/providers/Microsoft.Compute/galleries/MyGallery/images/Gen2VMImageDef/versions/0.0.1"
   New-AzGalleryImageVersion -ResourceGroupName $rgName -GalleryName $galleryName -GalleryImageDefinitionName $galleryImageDefinitionName -Name $galleryImageVersionName -Location $location -SourceImageId $sourceImageId
   

3. 从上一映像版本创建受信任启动 VM。

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "chinanorth2"
   $vmName = "myVMfromImage"
   $vmSize = "Standard_D2s_v5"
   $imageDefinition = Get-AzGalleryImageDefinition `
      -GalleryName $galleryName `
      -ResourceGroupName $rgName `
      -Name $galleryImageDefinitionName
   $cred = Get-Credential `
      -Message "Enter a username and password for the virtual machine"
   # Network pieces
   $subnetConfig = New-AzVirtualNetworkSubnetConfig `
      -Name mySubnet `
      -AddressPrefix 192.168.1.0/24
   $vnet = New-AzVirtualNetwork `
      -ResourceGroupName $rgName `
      -Location $location `
      -Name MYvNET `
      -AddressPrefix 192.168.0.0/16 `
      -Subnet $subnetConfig
   $pip = New-AzPublicIpAddress `
      -ResourceGroupName $rgName `
      -Location $location `
     -Name "mypublicdns$(Get-Random)" `
     -AllocationMethod Static `
     -IdleTimeoutInMinutes 4
   $nsgRuleRDP = New-AzNetworkSecurityRuleConfig `
      -Name myNetworkSecurityGroupRuleRDP  `
      -Protocol Tcp `
     -Direction Inbound `
      -Priority 1000 `
      -SourceAddressPrefix * `
      -SourcePortRange * `
      -DestinationAddressPrefix * `
      -DestinationPortRange 3389 `
      -Access Deny
   $nsg = New-AzNetworkSecurityGroup `
      -ResourceGroupName $rgName `
      -Location $location `
     -Name myNetworkSecurityGroup `
     -SecurityRules $nsgRuleRDP
   $nic = New-AzNetworkInterface `
      -Name myNic `
      -ResourceGroupName $rgName `
      -Location $location `
     -SubnetId $vnet.Subnets[0].Id `
     -PublicIpAddressId $pip.Id `
     -NetworkSecurityGroupId $nsg.Id
   $vm = New-AzVMConfig -vmName $vmName -vmSize $vmSize | `
         Set-AzVMOperatingSystem -Windows -ComputerName $vmName -Credential $cred | `
         Set-AzVMSourceImage -Id $imageDefinition.Id | `
         Add-AzVMNetworkInterface -Id $nic.Id
   $vm = Set-AzVMSecurityProfile -SecurityType "TrustedLaunch" -VM $vm
   $vm = Set-AzVmUefi -VM $vm `
      -EnableVtpm $true `
      -EnableSecureBoot $true 
   New-AzVM `
      -ResourceGroupName $rgName `
      -Location $location `
      -VM $vm
   

1. 登录 Azure 门户。
2. 若要从 VM 创建 Azure Compute Gallery 映像，请打开现有的受信任启动 VM 并选择“捕获”。
3. 在“创建映像”页上，允许将该映像作为 VM 映像版本共享到库。 不支持为受信任启动 VM 创建托管映像。
4. 创建新的目标 Azure Compute Gallery 或选择现有库。
5. 将“操作系统状态”选择为“通用”或者“专用”。 若要创建通用映像，请确保在选择此选项之前对 VM 进行通用化操作以删除特定于计算机的信息。 如果在受信任启动 Windows VM 上启用了基于 Bitlocker 的加密，则可能无法对同一 VM 进行通用化操作。
6. 通过提供名称、发布者、产品/服务和 SKU 详细信息创建新的映像定义。 映像定义的“安全类型”应已设置为“受信任启动”。
7. 提供映像版本的版本号。
8. 如果有必要，请修改复制选项。
9. 在“创建映像”页底部，选择“查看 + 创建”。 在验证显示为通过后，选择“创建”。
10. 创建映像版本后，直接转到映像版本。 也可通过映像定义转到所需的映像版本。
11. 在“VM 映像版本”页上，选择“+ 创建 VM”以转到“创建虚拟机”页。
12. 在“创建虚拟机”页的“资源组”下，选择“新建”。 输入资源组的名称或从下拉列表中选择一个现有资源组。
13. 在“实例详细信息”下，输入一个名称作为 VM 名称，并选择一个支持受信任启动的区域。
14. 已根据所选映像版本填充映像和安全类型。 默认情况下启用“安全启动”和“vTPM”复选框。
15. 填写“管理员帐户”信息，然后填写“入站端口规则”。
16. 在页面底部，选择“查看 + 创建”。
17. 在验证页上，查看 VM 的详细信息。
18. 验证成功后，选择“创建”以完成 VM 创建。

若要使用托管磁盘或托管磁盘快照作为映像版本的源（而不使用受信任启动 VM），请按照以下步骤操作。

1. 登录到 Azure 门户。
2. 搜索“VM 映像版本”并选择“创建”。
3. 提供订阅、资源组、区域和映像版本号。
4. 选择“磁盘和/或快照”作为源。
5. 从下拉列表中选择 OS 磁盘作为托管磁盘或托管磁盘快照。
6. 选择目标 Azure Compute Gallery 以创建和共享映像。 如果没有库，新建一个。
7. 将“操作系统状态”选择为“通用”或者“专用”。 若要创建通用映像，请确保对磁盘或快照进行通用化操作以删除特定于计算机的信息。
8. 对于“目标 VM 映像定义”，请选择“新建”。 在打开的窗口中，选择映像定义名称并确保“安全类型”设置为“受信任启动”。 提供发布者、套餐和 SKU 信息，然后选择“确定”。
9. 如果需要，可以使用“复制”选项卡设置映像复制的副本数和目标区域。
10. 还可视需要将“加密”选项卡用于提供与 SSE 加密相关的信息。
11. 在“查看 + 创建”选项卡上选择“创建”以创建映像。
12. 在成功创建映像版本后，选择“+ 创建 VM”以转到“创建虚拟机”页。
13. 执行前面提到的步骤 12 到 18，以使用该映像版本创建受信任启动 VM。

确保运行最新版本的 Azure CLI。

1. 使用 az login 登录到 Azure。

   az cloud set -n AzureChinaCloud
   az login 
   

2. 使用 TrustedLaunch 安全类型创建映像定义。

   az sig image-definition create --resource-group MyResourceGroup --location chinanorth2 \ 
   --gallery-name MyGallery --gallery-image-definition MyImageDef \ 
   --publisher TrustedLaunchPublisher --offer TrustedLaunchOffer --sku TrustedLaunchSku \ 
   --os-type Linux --os-state Generalized \ 
   --hyper-v-generation V2 \ 
   --features SecurityType=TrustedLaunch
   

3. 若要创建映像版本，可以捕获现有的基于 Linux 的受信任启动 VM。 在创建映像版本之前，请通用化受信任启动 VM。

   az sig image-version create --resource-group MyResourceGroup \
   --gallery-name MyGallery --gallery-image-definition MyImageDef \
   --gallery-image-version 1.0.0 \
   --managed-image /subscriptions/00000000-0000-0000-0000-00000000xxxx/resourceGroups/MyResourceGroup/providers/Microsoft.Compute/virtualMachines/myVM
   

   如果需要使用托管磁盘或托管磁盘快照作为映像版本的映像源，请将上述命令中的 --managed-image 替换为 --os-snapshot，并提供磁盘或快照资源名称。

4. 从上一映像版本创建受信任启动 VM。

   adminUsername=linuxvm
   az vm create --resource-group MyResourceGroup \
       --name myTrustedLaunchVM \
       --image "/subscriptions/00000000-0000-0000-0000-00000000xxxx/resourceGroups/MyResourceGroup/providers/Microsoft.Compute/galleries/MyGallery/images/MyImageDef" \
       --size Standard_D2s_v5 \
       --security-type TrustedLaunch \
       --enable-secure-boot true \ 
       --enable-vtpm true \
       --admin-username $adminUsername \
       --generate-ssh-keys
   

1. 使用 TrustedLaunch 安全类型创建映像定义。

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "chinanorth2"
   $publisherName = "TrustedlaunchPublisher"
   $offerName = "TrustedlaunchOffer"
   $skuName = "TrustedlaunchSku"
   $description = "My gallery"
   $SecurityType = @{Name='SecurityType';Value='TrustedLaunch'}
   $features = @($SecurityType)
   New-AzGalleryImageDefinition -ResourceGroupName $rgName -GalleryName $galleryName -Name $galleryImageDefinitionName -Location $location -Publisher $publisherName -Offer $offerName -Sku $skuName -HyperVGeneration "V2" -OsState "Generalized" -OsType "Windows" -Description $description -Feature $features
   

2. 若要创建映像版本，可以捕获现有的基于 Windows 的受信任启动 VM。 在创建映像版本之前，请通用化受信任启动 VM。

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "chinanorth2"
   $galleryImageVersionName = "1.0.0"
   $sourceImageId = "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/myVMRG/providers/Microsoft.Compute/virtualMachines/myVM"
   New-AzGalleryImageVersion -ResourceGroupName $rgName -GalleryName $galleryName -GalleryImageDefinitionName $galleryImageDefinitionName -Name $galleryImageVersionName -Location $location -SourceImageId $sourceImageId
   

3. 从上一映像版本创建受信任启动 VM。

   $rgName = "MyResourceGroup"
   $galleryName = "MyGallery"
   $galleryImageDefinitionName = "MyImageDef"
   $location = "chinanorth2"
   $vmName = "myVMfromImage"
   $vmSize = "Standard_D2s_v5"
   $imageDefinition = Get-AzGalleryImageDefinition `
      -GalleryName $galleryName `
      -ResourceGroupName $rgName `
      -Name $galleryImageDefinitionName
   $cred = Get-Credential `
      -Message "Enter a username and password for the virtual machine"
   # Network pieces
   $subnetConfig = New-AzVirtualNetworkSubnetConfig `
      -Name mySubnet `
      -AddressPrefix 192.168.1.0/24
   $vnet = New-AzVirtualNetwork `
      -ResourceGroupName $rgName `
      -Location $location `
      -Name MYvNET `
      -AddressPrefix 192.168.0.0/16 `
      -Subnet $subnetConfig
   $pip = New-AzPublicIpAddress `
      -ResourceGroupName $rgName `
      -Location $location `
     -Name "mypublicdns$(Get-Random)" `
     -AllocationMethod Static `
     -IdleTimeoutInMinutes 4
   $nsgRuleRDP = New-AzNetworkSecurityRuleConfig `
      -Name myNetworkSecurityGroupRuleRDP  `
      -Protocol Tcp `
     -Direction Inbound `
      -Priority 1000 `
      -SourceAddressPrefix * `
      -SourcePortRange * `
      -DestinationAddressPrefix * `
      -DestinationPortRange 3389 `
      -Access Deny
   $nsg = New-AzNetworkSecurityGroup `
      -ResourceGroupName $rgName `
      -Location $location `
     -Name myNetworkSecurityGroup `
     -SecurityRules $nsgRuleRDP
   $nic = New-AzNetworkInterface `
      -Name myNic `
      -ResourceGroupName $rgName `
      -Location $location `
     -SubnetId $vnet.Subnets[0].Id `
     -PublicIpAddressId $pip.Id `
     -NetworkSecurityGroupId $nsg.Id
   $vm = New-AzVMConfig -vmName $vmName -vmSize $vmSize | `
         Set-AzVMOperatingSystem -Windows -ComputerName $vmName -Credential $cred | `
         Set-AzVMSourceImage -Id $imageDefinition.Id | `
         Add-AzVMNetworkInterface -Id $nic.Id
   $vm = Set-AzVMSecurityProfile -SecurityType "TrustedLaunch" -VM $vm
   $vm = Set-AzVmUefi -VM $vm `
      -EnableVtpm $true `
      -EnableSecureBoot $true 
   New-AzVM `
      -ResourceGroupName $rgName `
      -Location $location `
      -VM $vm