Requisitos de arranque seguro

Tenga en cuenta la siguiente información cuando utilice el arranque seguro.

• Imagen soportada de arranque UEFI

  El firmware UEFI (Unified Extensible Firmware Interface) gestiona de forma segura los certificados que contienen las claves utilizadas por los fabricantes de software para firmar el firmware del sistema, el cargador de arranque del sistema y los archivos binarios que cargan.

• GPT-disco particionado

  La función de arranque seguro requiere una tabla de particionamiento GUID (GPT) que sustituye al antiguo esquema de particionamiento Master Boot Record (MBR). Se requiere un esquema de particionado GPT para arrancar la imagen en modo UEFI. De lo contrario, la imagen arranca en modo BIOS (Basic Input Output System).

Todas las principales distribuciones de sistema operativo proporcionan cargadores de arranque firmados, kernels firmados y módulos de kernel firmados que son necesarios para que el arranque seguro tenga éxito cuando se cumplan los dos requisitos.

Cuando utilices un kernel personalizado o un módulo de kernel personalizado, debes firmarlo con tu propio certificado y dar a conocer ese certificado al firmware o Clave de Propietario de Máquina (MOK). Puede utilizar el programa de utilidad mokutil para ayudar a gestionar claves Linux, pero los cambios en las claves MOK deben confirmarse directamente desde la consola durante el arranque. Por lo tanto, sólo un usuario que esté presente en la consola puede confirmar las claves generadas por el usuario que se utilizan para firmar los módulos de kernel personalizados.

Después de parar y reiniciar el servidor virtual, el MOK desaparece. Debe reinstalar el MOK después de cada parada e inicio de un servidor virtual.

Limitaciones

Tenga en cuenta las siguientes limitaciones cuando utilice el arranque seguro.

• El arranque seguro sólo está disponible en los servidores virtuales basados en Sapphire Rapids de tercera generación, excepto en los siguientes perfiles.
  • mx3d-128x1280
  • mx3d-176x1760
  • bx3d-176x880

Si redimensiona un servidor virtual que tiene el arranque seguro activado a un perfil que tiene el arranque seguro desactivado (y viceversa), la topología de los dispositivos PCIe cambia. Dependiendo del sistema operativo, este cambio de topología puede renombrar los dispositivos y realinear la dirección PCI. El rendimiento de E/S también puede cambiar.

El arranque seguro no proporciona protección en las siguientes circunstancias.

• Ataques basados en el sistema operativo
• Ataques de hardware físico
• Administradores de sistemas maliciosos

Un servidor virtual habilitado para arranque seguro falla al arrancar si cualquier componente de software que esté en la ruta de arranque no está firmado o si no se cargan certificados firmados. Incluso si el despliegue es satisfactorio, si no está firmado, la instancia no puede arrancar. Lo que significa que no puedes iniciar sesión o recibir un ping desde el servidor virtual. Tenga en cuenta que no se le notifica sobre la anomalía de arranque. Debe utilizar los registros de la consola para verificar que el arranque se ha realizado correctamente y para ayudar a identificar la causa de cualquier error de arranque.