PowerFlex: Aktivér Secure Boot Enforcement for PowerFlex-beregningsnoder

For at aktivere sikker start på Dell PowerFlex-beregningsnoder skal du opfylde følgende forudsætninger:

• Starttilstand skal indstilles til UEFI (Unified Extensible Firmware Interface) i startindstillingerne for systemets BIOS-indstillinger>.

  Bemærk: Hvis værten ikke er i denne tilstand, kan du muligvis ikke ændre den uden at geninstallere operativsystemet.
• Serveren skal have Trusted Platform Module (TPM) 2.0 installeret.
• BIOS skal have den påkrævede version til den specifikke PowerEdge-model for at understøtte aktivering af sikker start. Du kan finde oplysninger på Dells supportwebsted.
• RPQ er påkrævet for at aktivere Secure Boot. Kontakt din Dell Technologies-kontorepræsentant for at evaluere og aktivere Secure Boot-indstillingen for PowerFlex-noder gennem en RPQ-proces (anmodning om produktkvalifikation).
• Sikker start skal være deaktiveret i iDRAC, før der udføres implementeringer med PowerFlex Manager. Hvis den er aktiveret, mislykkes installationen. Sikker start bør kun aktiveres efter implementering.

Konfigurer Dell PowerEdge iDRAC til sikker start:

1. Log på iDRAC-webgrænsefladen , og gå til Konfiguration > af BIOS-indstillinger > Systemsikkerhed
2. Indstil TPM-sikkerhed til Til
3. Udvid Avancerede TPM-indstillinger , og indstil Valg af TPM2-algoritme til SHA256
4. Indstil Sikker start til Aktiveret

5. Klik på Anvend nederst på skærmen med systemets sikkerhedsindstillinger .
6. Klik på knappen Anvend og genstart i nederste venstre hjørne af skærmen.

Aktivér sikker opstart for ESXi:

Delvis support: Pålidelig start med attestering.

• UEFI Sikker start: Bekræfter opstartsindlæsnings- og kernemoduler ved opstart
• TPM-målinger: Gemmer målinger af starthash i TPM PCR er (bruges til attestering)
• TPM-understøttet kryptering: VM, vSAN og Core Dump
• vCenter-attestering: Registrerer, om værten er startet op i en manipuleret eller upålidelig tilstand
• vTPM-understøttelse på VM'er: VM er kan tildeles en virtuel TPM til gæstesikkerhedsfunktioner (kræver også vCenter KMS-server)

Fuld support: Låsning af udførelseskontrol

• Omfatter alle funktioner i delvis support
• Underskrevet VIB-håndhævelse: Sikrer, at VIB er ikke manipuleres
  • Kun VMware-signerede VIB er kan installeres
  • Signerede VIB er kan kun indlæses under ESXi-start

Aktivér delvis understøttelse i ESXi:

For PowerFlex-rack- og enhedsnoder skal sikker start være aktiveret, når PowerFlex Manager har implementeret noderne. Hvis den er aktiveret på forhånd, mislykkes implementeringer ved hjælp af PowerFlex Manager. 

Aktivér delvis understøttelse, følg disse trin:

1. Kør valideringsscriptet: /usr/lib/vmware/secureboot/bin/secureBoot.py -c

   • Hvis den består, vises meddelelsen "Sikker opstart KAN aktiveres".
   • Hvis det mislykkes, vises usignerede VIB er. Du skal fjerne disse, før du fortsætter, ellers oplever værten en lilla skærm ved næste opstart.
2. Aktivér SSH på ESXi-værten, og brug en SSH-klient til at oprette forbindelse til ESXi-værten ved hjælp af rodbrugeren.
3. Bekræft sikkerhedsniveauet: 

esxcli system settings encryption get

3. • Outputtet skal vise: 
     • Tilstand: Ingen
     • Installerede VIB er: Forkert
     • Kræv sikker opstart: Forkert
4. Aktivér TPM-tilstand: 

esxcli system settings encryption set --mode=TPM --require-secure-boot=true

5. Genstart værten.
6. Når værten er online igen, skal du kontrollere sikkerhedsniveauet: 

esxcli system settings encryption get

6. • Outputtet bør nu vise:
     • Tilstand: TPM
     • Installerede VIB er: Forkert
     • Sikker start: Sandt
7. Synkroniser konfigurationen til Bootbank: 

/bin/backup.sh 0

Aktivér fuld understøttelse i ESXi:

1. Aktivér SSH på ESXi-værten, og brug en SSH-klient til at oprette forbindelse til ESXi-værten ved hjælp af rodbrugeren .
2. Bekræft sikkerhedsniveauet:
   • Outputtet skal vise: 
     • Tilstand: TPM
     • Installerede VIB er: Forkert
     • Kræv sikker opstart: Sandt
3. Hvis outputtet ikke stemmer overens med ovenstående, skal du aktivere delvis support ved at følge instruktionerne ovenfor, før du fortsætter.
   1. Få de aktuelle indstillinger ved at køre:

esxcli system settings encryption get

1. 2. Tillad kerne at acceptere VIB-håndhævelse:

esxcli system settings kernel set -s execInstalledOnly -v TRUE

1. 3. Sluk for værten, og tænd derefter værten (brug ikke genstart).
   4. Aktivér VIB-gennemtvingelsen ved at køre: 

esxcli system settings encryption set --require-exec-installed-only=T

1. 5. Genstart noden for at gennemtvinge signerede VIB er.
   6. Når noden er online igen, skal du kontrollere sikkerhedsniveauet: esxcli system settings encryption get
   7. Synkroniser den kørende konfiguration til Bootbank: 

/bin/backup.sh 0

Sikkerhedskopieringsnøgler og konfigurationer:

1. SSH til ESXi-værten som root
2. Vis sikkerhedskopieringsnøglen, og kopiér til en sikker placering uden for noden 

esxcli system settings encryption recovery list

3. • Kopier genoprettelsesnøglen (anden kolonne), og indsæt den i en tekstfil, der skal gemmes til senere genoprettelse. Genoprettelses-id kan udelades.
4. Generer en sikkerhedskopipakke på værtsniveau:

vim-cmd hostsvc/firmware/backup_config

5. Kopiér den webadresse, der blev angivet for at downloade sikkerhedskopipakken. Opbevar denne pakke på samme placering som tekstfilen til sikkerhedskopiering af genoprettelsesnøglen. 

Aktivér sikker opstart til Linux:

1. SSH til din Linux-vært som root, og valider, at sikker opstart er aktiveret på din maskine: 

mokutil --sb-stat

1. • Outputtet skal have SecureBoot aktiveret
2. Hvis SDC allerede er installeret, skal du fortsætte til trin 4.
3. Hvis SDC ikke er installeret, skal du installere SDC RPM. Installationen skulle lykkes, men scini Driveren bør ikke kunne indlæses. Du bør få fejlmeddelelsen "scini service failed because the control process exited with error code".
   • Sådan kontrollerer du for at få flere oplysninger om fejlen:
     • Kør 

systemctl status scini.service

• • • Kør

journalctl -xe

3. • Hvis du tjekker dmesg, bør du se: Indlæsning af modul med utilgængelig nøgle afvises
4. Skift mappe til /bin/emc/scaleio/scini_sync/certs/. I denne mappe finder du SDC-certifikaterne.
5. Kør følgende kommando for at bekræfte, at de er gyldige og ikke udløbet

openssl x509 -in <.pem file from directory> -noout -enddate | cut -d= -f2

6. Hvis certifikatet er gyldigt, skal du bruge ikonet mokutil took Sådan importerer du .der Fil. Du skal generere en passwor

mokutil --import <.der file from directory> (Example: emc_scaleio2026.der)

7. Hvis certifikatet, der fulgte med SDC-pakken, er udløbet, kan du få udleveret et certifikat i .pem format, som du skal konvertere til .der Formater ved hjælp af følgende kommando:

openssl x509 -in /usr/src/<file.pem> -outform DER -out /usr/src/<file.der>

 Kontakt om nødvendigt Dells supportteam for at hente den nye signerede SDC-pakke og relaterede certifikater 

8. Genstart værten.
9. Ved opstart, før Linux OS starter, skal du gå ind i menuen Udfør MOK-styring . Gå ind i MOK-administrationen, og vælg Tilmeld MOK.

10. Log på værten efter genstart, og kør denne kommando for at validere, at SDC kører:

systemctl status scini.service