Requisiti di avvio sicuro

Tenere presenti le seguenti informazioni quando si utilizza l'avvio protetto.

• Immagine supportata dall'avvio UEFI

  Il firmware UEFI (Unified Extensible Firmware Interface) gestisce in modo sicuro i certificati che contengono le chiavi utilizzate dai produttori di software per firmare il firmware del sistema, il programma di caricamento di avvio del sistema e tutti i file binari che caricano.

• Disco partizionato GPT

  La funzione di avvio sicuro richiede una tabella di partizionamento GUID (GPT) che sostituisce il vecchio schema di partizionamento Master Boot Record (MBR). Per avviare l'immagine in modalità UEFI è necessario uno schema di partizionamento GPT. Altrimenti, l'immagine viene avviata in modalità BIOS (Basic Input Output System).

Tutte le principali distribuzioni del sistema operativo forniscono i boot loader firmati, i kernel firmati e i moduli del kernel firmati che sono richiesti per il successo dell'avvio sicuro quando i due requisiti sono soddisfatti.

Quando si utilizza un kernel o un modulo del kernel personalizzato, è necessario firmarlo con il proprio certificato e renderlo noto al firmware o alla Machine Owner Key (MOK). Puoi utilizzare il programma di utilità mokutil per gestire le chiavi Linux, ma le modifiche alle chiavi MOK devono essere confermate direttamente dalla console al momento dell'avvio. Pertanto, solo un utente che è presente nella console può confermare le chiavi generate dall'utente che vengono utilizzate per firmare i moduli kernel personalizzati e kernel personalizzati.

Dopo l'arresto e il riavvio del server virtuale, il MOK scompare. È necessario reinstallare il MOK dopo ogni arresto e avvio di un server virtuale.

Nella versione attuale dell'offerta Block Storage for VPC, solo i volumi di prima generazione delle famiglie di profili di volume a livelli e personalizzati possono essere utilizzati come volumi di avvio per le istanze di Computing riservato se è necessario un avvio sicuro. I volumi di avvio di seconda generazione con il profilo sdp non supportano l'avvio sicuro.

Disabilitazione dei requisiti di avvio sicuro

Quando si seleziona un profilo di istanza di calcolo riservato, l'opzione di avvio sicuro è attivata per impostazione predefinita. È possibile scegliere di disabilitare l'avvio sicuro quando si crea l'istanza del server virtuale. Per disabilitare l'avvio sicuro di un'istanza di server virtuale esistente, è necessario prima arrestare l'istanza di server virtuale. È quindi possibile disabilitare l'opzione di avvio sicuro. Dopo aver disabilitato l'avvio sicuro, è possibile riavviare l'istanza del server virtuale. Per ulteriori informazioni, vedere Gestione delle istanze di server virtuale: Disabilitare o abilitare l'avvio sicuro.

Limitazioni

Tenete presente le seguenti limitazioni quando utilizzate l'avvio sicuro.

• L'avvio sicuro è disponibile solo sui server virtuali di terza generazione basati su Sapphire Rapids, ad eccezione dei seguenti profili.
  • mx3d-128x1280
  • mx3d-176x1760
  • bx3d-176x880

Se si ridimensiona un server virtuale con avvio sicuro abilitato in un profilo con avvio sicuro disabilitato (e viceversa), la topologia dei dispositivi PCIe cambia. A seconda del sistema operativo, questa modifica della topologia può rinominare i dispositivi e riallineare l'indirizzo PCI. Anche le prestazioni di I/O possono cambiare.

L'avvio sicuro non fornisce protezione nelle circostanze seguenti.

• Attacchi basati sul sistema operativo
• Attacchi hardware fisici
• Amministratori di sistema dannosi

Un server virtuale abilitato all'avvio sicuro non riesce ad avviarsi se un componente software presente nel percorso di avvio non è firmato o se non vengono caricati certificati firmati. Anche se la distribuzione ha esito positivo, se non è firmata, l'istanza non può essere avviata. Ciò significa che non è possibile accedere o ricevere un ping dal server virtuale. Tieni a mente che non ti viene notificato l'errore di avvio. Devi utilizzare i log della console per verificare l'esito positivo dell'avvio e per identificare la causa di eventuali errori di avvio.