BitLocker 虛擬機器 資訊安全 資料庫 TPM 加密

啟用vTPM 2.0磁碟防護 加密保全虛擬機器

2019-01-14
想要有效保護主機中各類重要的敏感資料,可藉由各種安全加密機制來做防護。只是當需要保護的對象是虛擬機器而非實體主機時,該怎麼辦呢?且看本文以實戰講解方式說明如何運用vSphere 6.7對於vTPM技術的支援,解決極機密虛擬機器資料的保護需求。

想要在VMware vSphere架構下使用VBS功能,並不需要預先啟用vTPM裝置功能,但是條件除了Guest OS必須是Windows 10或Windows Server 2016外,運行虛擬機器的ESXi主機版本必須至少是6.7以上版本。在虛擬機器配置上,對於新增的虛擬機器可以在設定過程中勾選「虛擬化型安全性」選項。

對於現行的虛擬機器,則可以在關機後開啟「編輯設定」頁面,並在「虛擬機器選項」頁面中勾選「虛擬化型安全性」選項即可。上述設定都可以在VMware Host Client或vSphere Client(HTML)網站中進行。

請注意!當VBS功能啟用後,系統將會自動一併啟用相關必要的虛擬機器設定,包括硬體虛擬化、IOMMU、EFI韌體以及安全開機四項設定。但是當停用VBS功能時,此四項設定必須根據實際需求來自行手動關閉。

完成啟用ESXi 6.7上虛擬機器的VBS功能後,對於相容的Guest OS來說,還必須完成相關配置才能算真正啟用VBS。先在Windows桌面中執行「msinfo.exe」開啟「系統資訊」介面,如圖28所示便會在「系統摘要」頁面中查看到目前是否已經啟用虛擬化型安全性(VBS)功能。


▲圖28 查看系統資訊。

緊接著,執行「gpedit.msc」命令開啟「本機群組原則編輯器」介面。然後,展開至「電腦設定」→「系統管理範本」→「系統」→「Device Guard」節點頁面,連續點選「開啟虛擬化型安全性」,如圖29所示。


▲圖29 使用本機群組原則編輯器,點選「開啟虛擬化型安全性」。

如圖30所示,在「開啟虛擬化型安全性」頁面中先選取「已啟用」,再到「Credential Guard設定」選單中選擇【在包含UEFI鎖定的情況下啟用】選項。若是選擇【在不含鎖定情況下啟用】選項,即表示管理人員透過遠端連線的方式,將程式碼完整性以及虛擬化型保護予以停用,對於講究安全性的資訊單位來說,可能會有安全性的疑慮。


▲圖30 開啟虛擬化型安全性原則設定。

結語

目前在vSphere 6.7的虛擬機器加密保護機制中,無論採用舊版的虛擬機器儲存區原則加密功能,還是新增加的vTPM虛擬機器加密功能,皆需要預先部署好相容的第三方金鑰管理伺服器(KMS)。然而問題來了,由於KMS並非vCenter所內建的服務,因此當vSphere完成升級後,KMS便會因相容問題而發生無法正常運作,導致已被加密的虛擬機器無法正常啟動。因此,筆者認為在未來新版的vSphere設計中,KMS應該直接由官方將它內建於vCenter,如此才能夠隨著版本不斷升級而持續正常運作。

<本文作者:顧武雄, Microsoft MVP 2004-2016、MCITP與MCTS認證專家、台灣微軟Technet、TechDays、Webcast、MVA特約資深顧問講師、VMware vExpert 2016-217、IBM Unified Communications/Notes/Domino/Connections Certified。>


追蹤我們Featrue us

本站使用cookie及相關技術分析來改善使用者體驗。瞭解更多

我知道了!