Voraussetzungen für sicheres Booten

Beachten Sie die folgenden Informationen, wenn Sie sicheres Booten verwenden.

• Vom UEFI-Boot unterstütztes Image

  Die UEFI-Firmware (Unified Extensible Firmware Interface) verwaltet sicher die Zertifikate, die die Schlüssel enthalten, die von den Softwareherstellern verwendet werden, um die Systemfirmware, das Systembootladeprogramm und alle Binärdateien, die sie laden, zu signieren.

• GPT-partitionierte Platte

  Die sichere Boot-Funktion erfordert eine GUID-Partitionierungstabelle (GPT), die das alte Partitionierungsschema Master Boot Record (MBR) ersetzt. Ein GPT-Partitionierungsschema ist erforderlich, um das Image im UEFI-Modus zu booten. Andernfalls wird das Image im BIOS-Modus (Basic Input Output System) gebootet.

Alle wichtigen Betriebssystemdistributionen stellen signierte Bootloader, signierte Kernel und signierte Kernelmodule bereit, die für ein sicheres Booten erforderlich sind, wenn die beiden Voraussetzungen erfüllt sind.

Wenn Sie einen benutzerdefinierten Kernel oder ein benutzerdefiniertes Kernelmodul verwenden, müssen Sie es mit Ihrem eigenen Zertifikat signieren und dieses Zertifikat der Firmware oder dem Machine Owner Key (MOK) bekannt machen. Sie können das Dienstprogramm 'mokutil' verwenden, um Linux-Schlüssel zu verwalten, aber Änderungen an den MOK-Schlüsseln müssen beim Booten direkt von der Konsole bestätigt werden. Daher kann nur ein Benutzer, der in der Konsole vorhanden ist, benutzergenerierte Schlüssel bestätigen, die zum Signieren angepasster Kernel-und angepasster Kernelmodule verwendet werden.

Nachdem der virtuelle Server angehalten und neu gestartet wurde, verschwindet das MOK. Sie müssen das MOK nach jedem Stopp und Start eines virtuellen Servers neu installieren.

In der aktuellen Version von Block Storage for VPC können nur Volumes der ersten Generation aus der Tiered- und Custom-Volume-Profil-Familie als Boot-Volumes für die Confidential-Computing-Instanzen verwendet werden, wenn sicheres Booten erforderlich ist. Boot-Volumes der zweiten Generation mit dem Profil sdp unterstützen keinen sicheren Bootvorgang.

Deaktivieren der Anforderungen für sicheres Booten

Wenn Sie ein vertrauliches Computing-Instanzprofil auswählen, ist die Option für sicheres Booten standardmäßig aktiviert. Sie können das sichere Booten bei der Erstellung der virtuellen Serverinstanz deaktivieren. Um Secure Boot für eine vorhandene virtuelle Serverinstanz zu deaktivieren, müssen Sie die virtuelle Serverinstanz zunächst anhalten. Sie können dann die sichere Boot-Option deaktivieren. Nach der Deaktivierung von Secure Boot können Sie Ihre virtuelle Serverinstanz neu starten. Weitere Informationen finden Sie unter Verwalten virtueller Serverinstanzen: Deaktivieren oder Aktivieren von Secure Boot.

Einschränkungen

Beachten Sie die folgenden Einschränkungen, wenn Sie Secure Boot verwenden.

• Secure Boot ist nur auf virtuellen Servern der dritten Generation auf Basis von Sapphire Rapids verfügbar, mit Ausnahme der folgenden Profile.
  • mx3d-128x1280
  • mx3d-176x1760
  • bx3d-176x880

Wenn Sie die Größe eines virtuellen Servers, bei dem Secure Boot aktiviert ist, auf ein Profil ändern, bei dem Secure Boot deaktiviert ist (und umgekehrt), ändert sich die Topologie der PCIe-Geräte. Je nach Betriebssystem kann diese Topologieänderung dazu führen, dass Geräte umbenannt und die PCI-Adresse neu ausgerichtet wird. Auch die E/A-Leistung kann sich ändern.

Sicheres Booten bietet unter den folgenden Umständen keinen Schutz.

• Betriebssystembasierte Angriffe
• Angriffe auf physische Hardware
• Böswillige Systemadministratoren

Ein mit Secure Boot aktivierter virtueller Server kann nicht gebootet werden, wenn eine Softwarekomponente im Boot-Pfad nicht signiert ist oder wenn keine signierten Zertifikate geladen werden. Selbst wenn die Bereitstellung erfolgreich ist, kann die Instanz nicht booten, wenn sie nicht signiert ist. Das bedeutet, dass Sie sich weder anmelden noch einen Ping vom virtuellen Server empfangen können. Beachten Sie, dass Sie nicht über einen Bootfehler benachrichtigt werden. Sie müssen die Konsolenprotokolle verwenden, um den Booterfolg zu überprüfen und die Ursache von Bootfehlern zu ermitteln.