将现有的 Azure Gen1 vm 升级到受信任启动功能

使用内置 MBR2GPT.exe 实用工具，可以启用 GPT 磁盘布局并添加 Gen2 升级所需的 EFI system partition。

1. 远程连接（使用 RDP 或命令行）到 Gen1 Windows VM 以执行转换。

2. 运行命令 MBR2GPT /validate /allowFullOS 并确保 Disk layout validation 成功完成。 如果 失败，Disk layout validation请不要继续操作。 有关失败的常见原因和相关解决方法列表，请参阅已知问题。 有关详细信息和故障排除，请参阅 MBR2GPT 故障排除。

3. 运行命令 MBR2GPT /convert /allowFullOS 以执行 MBR 到 GPT 转换。 成功输出示例：

   If conversion is successful the disk can only be booted in GPT mode.
   These changes cannot be undone!
   
   MBR2GPT: Attempting to convert disk 0
   MBR2GPT: Retrieving layout of disk
   MBR2GPT: Validating layout, disk sector size is: 512 bytes
   MBR2GPT: Trying to shrink the OS partition
   MBR2GPT: Creating the EFI system partition
   MBR2GPT: Installing the new boot files
   MBR2GPT: Performing the layout conversion
   MBR2GPT: Migrating default boot entry
   MBR2GPT: Adding recovery boot entry
   MBR2GPT: Fixing drive letter mapping
   MBR2GPT: Conversion completed successfully
   MBR2GPT: Before the new system can boot properly you need to switch the firmware to boot to UEFI mode!
   

使用认可的发行版（Canonical 公司、SUSE）映像创建的 Azure Gen1 Linux VM 在 Azure 市场中不需要对来宾操作系统的卷进行任何更改。 也就是说，它们已经配置了 GPT 磁盘布局和 EFI system partition。 对于需要此升级支持的其他 Azure Gen1 Linux VM（包括 Azure Linux 和 Debian），请在 Linux Gen1 到受信任启动升级支持中提交注册。

使用以下命令验证来宾 OS 卷进行受信任启动升级的就绪情况。 如果任何验证步骤失败，请勿继续执行受信任启动升级。

1. SSH 或远程连接到 Gen1 Linux VM 以执行验证命令。

2. 标识启动设备并存储在变量中。
   bootDevice=$(echo "/dev/$(sudo lsblk -no pkname $(sudo df /boot | awk 'NR==2 {print $1}'))")

3. 检查启动设备的磁盘类型。 命令的输出应返回 gpt。
   sudo blkid $bootDevice -o value -s PTTYPE

4. 验证 EFI system partition 在启动卷上是否可用。 命令的输出应返回特定的分区，例如 \dev\sda3。
   sudo fdisk -l $bootDevice | grep EFI | awk '{print $1}'

5. 验证是否已配置 EFI 装入点。 命令的输出应返回 /boot/efi present in /etc/fstab
sudo grep -qs '/boot/efi' /etc/fstab && echo '/boot/efi present in /etc/fstab' || echo '/boot/efi missing in /etc/fstab'

确保安装最新的 Azure PowerShell 并使用 Connect-AzAccount 登录到 Azure 帐户。

按照这些步骤将现有 Gen1 VM 升级到 Gen2，并通过 Azure PowerShell 启用受信任启动。

1. 登录到 VM Azure 订阅。

   Connect-AzAccount -Environment AzureChinaCloud -SubscriptionId 00000000-0000-0000-0000-000000000000
   

2. 解除分配 VM。

   Stop-AzVM -ResourceGroupName myResourceGroup -Name myVm
   

3. 通过将 -SecurityType 设置为 TrustedLaunch 启用受信任启动。

   Get-AzVM -ResourceGroupName myResourceGroup -VMName myVm `
       | Update-AzVM -SecurityType TrustedLaunch `
           -EnableSecureBoot $true -EnableVtpm $true
   

4. 在更新的 VM 配置中验证 securityProfile。

   # Following command output should be `TrustedLaunch`
   
   (Get-AzVM -ResourceGroupName myResourceGroup -VMName myVm `
       | Select-Object -Property SecurityProfile `
           -ExpandProperty SecurityProfile).SecurityProfile.SecurityType
   
   # Following command output should return `SecureBoot` and `vTPM` settings
   (Get-AzVM -ResourceGroupName myResourceGroup -VMName myVm `
       | Select-Object -Property SecurityProfile `
           -ExpandProperty SecurityProfile).SecurityProfile.Uefisettings
   
   

5. 启动 VM。

   Start-AzVM -ResourceGroupName myResourceGroup -Name myVm
   

6. 启动已升级的受信任启动虚拟机。 验证是否可以使用 RDP（对于 Windows VM）或 SSH（对于 Linux VM）登录到 VM。

按照这些步骤将现有 Gen1 VM 升级到 Gen2，并通过 Azure CLI 启用受信任启动。

确保安装最新的 Azure CLI 并使用 az login 登录到 Azure 帐户。

1. 登录到 VM Azure 订阅。

   az cloud set -n AzureChinaCloud
   az login
   
   az account set --subscription 00000000-0000-0000-0000-000000000000
   

2. 解除分配 VM。

   az vm deallocate \
      --resource-group myResourceGroup --name myVm
   

3. 通过将 --security-type 设置为 TrustedLaunch 启用受信任启动。

   az vm update \
       --resource-group myResourceGroup --name myVm \
       --security-type TrustedLaunch \
       --enable-secure-boot true --enable-vtpm true
   

4. 验证上一个命令的输出。 确保命令输出返回 securityProfile 配置。

   {
     "securityProfile": {
       "securityType": "TrustedLaunch",
       "uefiSettings": {
         "secureBootEnabled": true,
         "vTpmEnabled": true
       }
     }
   }
   

5. 启动 VM。

   az vm start \
       --resource-group myResourceGroup --name myVm
   

6. 启动已升级的受信任启动虚拟机。 验证是否可以使用 RDP（对于 Windows VM）或 SSH（对于 Linux VM）登录到 VM。

按照步骤使用 ARM 模板在现有 Azure 第 2 代 VM 上启用受信任启动。

Azure 资源管理器模板是一个 JavaScript 对象表示法（JSON）文件，用于定义项目的基础结构和配置。 模板使用声明性语法。 你可以在不编写用于创建部署的编程命令序列的情况下，描述预期部署。

1. 查看模板。

   {
       "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
       "contentVersion": "1.0.0.0",
       "parameters": {
           "vmsToUpgrade": {
               "type": "object",
               "metadata": {
                   "description": "Specifies the list of Azure virtual machines to be upgraded to Trusted launch."
               }
           },
           "vTpmEnabled": {
               "type": "bool",
               "defaultValue": true,
               "metadata": {
                   "description": "Specifies whether vTPM should be enabled on the virtual machine."
               }
           }
       },
       "resources": [
           {
               "type": "Microsoft.Compute/virtualMachines",
               "apiVersion": "2022-11-01",
               "name": "[parameters('vmsToUpgrade').virtualMachines[copyIndex()].vmName]",
               "location": "[parameters('vmsToUpgrade').virtualMachines[copyIndex()].location]",
               "properties": {
                   "securityProfile": {
                       "uefiSettings": {
                           "secureBootEnabled": "[parameters('vmsToUpgrade').virtualMachines[copyIndex()].secureBootEnabled]",
                           "vTpmEnabled": "[parameters('vTpmEnabled')]"
                       },
                       "securityType": "TrustedLaunch"
                   }
               },
               "copy": {
                   "name": "vmCopy",
                   "count": "[length(parameters('vmsToUpgrade').virtualMachines)]"
               }
           }
       ]
   }
   

2. 编辑要更新为 parameters 安全类型的 VM 的 TrustedLaunch JSON 文件。

   {
       "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
       "contentVersion": "1.0.0.0",
       "parameters": {
           "vmsToUpgrade": {
               "value": {
                   "virtualMachines": [
                       {
                           "vmName": "myVm01",
                           "location": "chinanorth3",
                           "secureBootEnabled": true
                       },
                       {
                           "vmName": "myVm02",
                           "location": "chinanorth3",
                           "secureBootEnabled": true
                       }
                   ]
               }
           }
       }
   }
   

   参数文件定义

   资产	属性说明	示例模板值
   vmName	Azure VM 的名称。	myVm
   位置	Azure VM 的位置。	chinanorth3
   启用了安全启动	使用“受信任启动”安全类型启用安全启动。	true

3. 解除分配要更新的所有 Azure VM。

   Stop-AzVM -ResourceGroupName myResourceGroup -Name myVm01
   

4. 运行 ARM 模板部署。

   $resourceGroupName = "myResourceGroup"
   $parameterFile = "folderPathToFile\parameters.json"
   $templateFile = "folderPathToFile\template.json"
   
   New-AzResourceGroupDeployment `
       -ResourceGroupName $resourceGroupName `
       -TemplateFile $templateFile -TemplateParameterFile $parameterFile
   

   

   

5. 启动已升级的受信任启动虚拟机。 验证是否可以使用 RDP（对于 Windows VM）或 SSH（对于 Linux VM）登录到 VM。