Requisitos de inicialização segura

Mantenha as informações a seguir em mente quando você usar a inicialização segura

• Imagem suportada por inicialização UEFI

  O firmware Unified Extensible Firmware Interface (UEFI) gerencia com segurança os certificados que contêm as chaves que são usadas pelos fabricantes de software para assinar o firmware do sistema, o carregador de inicialização do sistema e quaisquer arquivos binários que eles carregam.

• GPT-disco particionado.

  O recurso de inicialização segura requer uma tabela de particionamento GUID (GPT) que substitui o antigo esquema de particionamento Master Boot Record (MBR). É necessário um esquema de particionamento GPT para inicializar a imagem no modo UEFI. Caso contrário, a imagem é inicializada no modo BIOS (Basic Input Output System).

Todas as principais distribuições do S.O. fornecem carregadores de inicialização assinados, kernels assinados e módulos de kernel assinados que são necessários para a inicialização segura ser bem-sucedida quando os dois requisitos forem cumpridos.

Ao usar um kernel personalizado ou um módulo de kernel personalizado, você deve assiná-lo com seu próprio certificado e tornar esse certificado conhecido pelo firmware ou pela Machine Owner Key (MOK). É possível usar o utilitário mokutil para ajudar a gerenciar as chaves do Linux, mas as mudanças nas chaves do MOK devem ser confirmadas diretamente do console no momento da inicialização. Portanto, apenas um usuário que está presente no console pode confirmar as chaves geradas pelo usuário que são usadas para assinar módulos de kernel customizados e customizados.

Depois que o servidor virtual é interrompido e reiniciado, o MOK desaparece. Você deve reinstalar o MOK após cada parada e início de um servidor virtual.

Na versão atual da oferta Block Storage for VPC, somente os volumes de primeira geração das famílias de perfis de volume em camadas e personalizados podem ser usados como volumes de inicialização para as instâncias da Confidential Computing se for necessária uma inicialização segura. Os volumes de inicialização de segunda geração com o perfil sdp não são compatíveis com a inicialização segura.

Desativação dos requisitos de inicialização segura

Quando você seleciona um perfil de instância de computação confidencial, a opção de inicialização segura é ativada por padrão. Você pode optar por desativar a inicialização segura ao criar a instância do servidor virtual. Para desativar a inicialização segura em uma instância de servidor virtual existente, você deve primeiro interromper a instância do servidor virtual. Em seguida, você pode desativar a opção de inicialização segura. Depois de desativar a inicialização segura, você pode reiniciar a instância do servidor virtual. Para obter mais informações, consulte Gerenciamento de instâncias de servidores virtuais: Desativar ou ativar a inicialização segura.

Limitações

Tenha em mente as seguintes limitações ao usar a inicialização segura.

• A inicialização segura está disponível somente em servidores virtuais de terceira geração baseados no Sapphire Rapids, exceto nos seguintes perfis.
  • mx3d-128x1280
  • mx3d-176x1760
  • bx3d-176x880

Se você redimensionar um servidor virtual com a inicialização segura ativada para um perfil com a inicialização segura desativada (e vice-versa), a topologia dos dispositivos PCIe será alterada. Dependendo do sistema operacional, essa mudança de topologia pode renomear dispositivos e realinhar o endereço PCI. O desempenho de E/S também pode mudar.

A inicialização segura não fornece proteção nas circunstâncias a seguir:

• Ataques baseados em sistema operacional
• Ataques físicos de hardware
• Administradores do sistema maliciosos

Um servidor virtual habilitado para inicialização segura falhará na inicialização se qualquer componente de software que estiver no caminho de inicialização não for assinado ou se os certificados assinados não forem carregados. Mesmo se a implementação for bem-sucedida, se ela não estiver assinada, a instância não poderá ser inicializada Isso significa que você não pode fazer login ou receber um ping do servidor virtual. Tenha em mente que você não é notificado sobre falha de inicialização. É necessário usar os logs do console para verificar o sucesso da inicialização e para ajudar a identificar a causa de quaisquer falhas de inicialização