PowerFlex: Ota suojattu käynnistys käyttöön PowerFlex-laskentasolmuissa

Jotta voit ottaa käyttöön suojatun käynnistyksen Dell PowerFlex -laskentasolmuissa, sinun on täytettävä seuraavat edellytykset:

• Käynnistystilaksi on asetettava UEFI (Unified Extensible Firmware Interface) järjestelmän BIOS-asetusten >käynnistysasetuksissa.

  Huomautus: Jos isäntä ei ole tässä tilassa, et ehkä voi muuttaa sitä asentamatta käyttöjärjestelmää uudelleen.
• Palvelimessa on oltava asennettuna Trusted Platform Module (TPM) 2.0.
• BIOSin on oltava PowerEdge-mallin edellyttämä, jotta se tukee suojattua käynnistystä. Lisätietoja on Dellin tukisivustossa.
• Secure Bootin käyttöönotto edellyttää RPQ:ta. Ota yhteyttä Dell Technologies -asiakasedustajaasi arvioidaksesi ja ottaakseen käyttöön PowerFlex-solmujen suojatun käynnistysvaihtoehdon tuotteen hyväksymispyyntöprosessin (RPQ) kautta.
• Secure Boot on poistettava käytöstä iDRACissa ennen PowerFlex Manager -käyttöönottoa. Jos se on käytössä, käyttöönotto epäonnistuu. Secure Boot voidaan ottaa käyttöön vasta käyttöönoton jälkeen.

Dell PowerEdge iDRACin määrittäminen suojattua käynnistystä varten:

1. Kirjaudu iDRAC-verkkokäyttöliittymään ja siirry kokoonpanon > BIOS-asetuksiin > Järjestelmän suojaus
2. Aseta TPM Security -asetukseksi Käytössä
3. Laajenna TPM-lisäasetukset ja määritä TPM2-algoritmin valinnaksi SHA256
4. Aseta suojattu käynnistys -asetukseksi käytössä

5. Valitse Järjestelmän suojausasetukset -näytön alareunassa Käytä.
6. Napsauta Käytä ja käynnistä uudelleen -painiketta näytön vasemmassa alakulmassa.

Ota suojattu käynnistys käyttöön ESXi:ssä:

Osittainen tuki: Trusted Boot ja Attestation.

• UEFI Secure Boot: Tarkistaa käynnistysohjelman ja ytimen moduulit käynnistyksen yhteydessä
• TPM-mittaukset: Tallentaa käynnistyksen hajautusmittaukset TPM PCR:inä (käytetään vahvistukseen)
• TPM-tuettu salaus: VM, vSAN ja Core Dump
• vCenter-todistus: Havaitsee, käynnistyikö isäntä peukaloidussa tai epäluotettavassa tilassa
• vTPM-tuki virtuaalikoneissa: Virtuaalikoneille voidaan määrittää virtuaalinen TPM vieraiden suojaustoimintoja varten (vaatii myös vCenter KMS -palvelimen)

Täysi tuki: Suorituksen hallinnan lukitus

• Sisältää kaikki osittaisen tuen ominaisuudet
• Allekirjoitettu VIB-täytäntöönpano: Varmistaa, ettei VIB-levyjä ole peukaloitu
  • Vain VMwaren allekirjoittamia VIB-paketteja voi asentaa
  • Allekirjoitetut VIB-paketit voi ladata vain ESXi-käynnistyksen yhteydessä

Ota osittainen tuki käyttöön ESXi:ssä:

PowerFlexin kehikko- ja laitesolmuissa suojattu käynnistys on otettava käyttöön, kun PowerFlex Manager on ottanut solmut käyttöön. Jos se on otettu käyttöön etukäteen, PowerFlex Manageria käyttävät käyttöönotot epäonnistuvat. 

Ota osittainen tuki käyttöön seuraavasti:

1. Suorita vahvistuskomentosarja: /usr/lib/vmware/secureboot/bin/secureBoot.py -c

   • Jos se läpäisee, näet "Suojattu käynnistys VOIDAAN ottaa käyttöön".
   • Jos se epäonnistuu, allekirjoittamattomat VIB-paketit luetellaan. Nämä on poistettava ennen jatkamista, tai isännän näyttö muuttuu violetiksi seuraavassa käynnistyksessä.
2. Ota SSH käyttöön ESXi-isännässä ja muodosta millä tahansa SSH-asiakkaalla yhteys ESXi-isäntään pääkäyttäjänä.
3. Tarkista suojaustaso: 

esxcli system settings encryption get

3. • Tulosteen pitäisi näkyä: 
     • Tila: None
     • Asennetut VIB:t: Epätosi
     • Vaadi suojattu käynnistys: Epätosi
4. Ota TPM-tila käyttöön: 

esxcli system settings encryption set --mode=TPM --require-secure-boot=true

5. Käynnistä isäntä uudelleen.
6. Kun isäntä on palannut online-tilaan, tarkista suojaustaso: 

esxcli system settings encryption get

6. • Tulosteen pitäisi nyt näkyä:
     • Tila: TPM
     • Asennetut VIB:t: Epätosi
     • Suojattu käynnistys: Totta
7. Synkronoi määritykset käynnistyspankkiin: 

/bin/backup.sh 0

Ota täysi tuki käyttöön ESXi:ssä:

1. Ota SSH käyttöön ESXi-isännässä ja muodosta millä tahansa SSH-asiakkaalla yhteys ESXi-isäntään pääkäyttäjänä .
2. Tarkista suojaustaso:
   • Tulosteen pitäisi näkyä: 
     • Tila: TPM
     • Asennetut VIB:t: Epätosi
     • Vaadi suojattu käynnistys: Totta
3. Jos tulos ei vastaa edellä mainittua, ota osittainen tuki käyttöön yllä olevien ohjeiden mukaisesti ennen jatkamista.
   1. Saat nykyiset asetukset suorittamalla komennon:

esxcli system settings encryption get

1. 2. Salli ytimen hyväksyä VIB-pakotus:

esxcli system settings kernel set -s execInstalledOnly -v TRUE

1. 3. Sammuta isäntä ja käynnistä isäntä (älä käytä uudelleenkäynnistystä).
   4. Ota VIB-pakotus käyttöön suorittamalla komento: 

esxcli system settings encryption set --require-exec-installed-only=T

1. 5. Ota allekirjoitetut VIB-asennukset käyttöön käynnistämällä solmu uudelleen.
   6. Kun solmu on taas toiminnassa, tarkista suojaustaso: esxcli system settings encryption get
   7. Synkronoi käytettävät määritykset käynnistyspankkiin: 

/bin/backup.sh 0

Vara-avaimet ja määritykset:

1. Muodosta SSH-yhteys ESXi-isäntään pääkäyttäjänä
2. Näytä varmuuskopioavain ja kopioi se turvalliseen sijaintiin solmun ulkopuolella 

esxcli system settings encryption recovery list

3. • Kopioi palautusavain (toinen sarake) ja liitä se tekstitiedostoon myöhempää palautusta varten. Palautustunnus voidaan jättää pois.
4. Luo palvelintason varmuuskopiopaketti:

vim-cmd hostsvc/firmware/backup_config

5. Kopioi varmuuskopiopaketin lataamiseen annettu URL-osoite. Tallenna tämä paketti samaan sijaintiin kuin palautusavaimen varmuuskopiotekstitiedosto. 

Ota suojattu käynnistys käyttöön Linuxille:

1. Muodosta SSH-yhteys Linux-isäntään pääkäyttäjänä ja varmista, että suojattu käynnistys on käytössä tietokoneessasi: 

mokutil --sb-stat

1. • Tuotoksessa pitäisi olla SecureBoot enabled
2. Jos SDC on jo asennettu, jatka vaiheeseen 4.
3. Jos SDC:tä ei ole asennettu, asenna SDC RPM. Asennuksen pitäisi onnistua, mutta scini Ohjaimen lataaminen ei onnistu. Sinun pitäisi saada virheilmoitus "scini service failed because the control process exited with error code".
   • Voit tarkistaa virheen tiedot seuraavasti:
     • Suorita 

systemctl status scini.service

• • • Suorita

journalctl -xe

3. • Jos valitset dmesg, sinun pitäisi nähdä: Moduulin lataaminen avain, joka ei ole käytettävissä, hylätään
4. Vaihda hakemistoksi /bin/emc/scaleio/scini_sync/certs/. Tästä hakemistosta löydät SDC-varmenteet.
5. Tarkista seuraavalla komennolla, että ne ovat kelvollisia ja vanhentuneita

openssl x509 -in <.pem file from directory> -noout -enddate | cut -d= -f2

6. Jos varmenne on voimassa, käytä mokutil took Voit tuoda .der Tiedosto. Sinun on luotava salasana

mokutil --import <.der file from directory> (Example: emc_scaleio2026.der)

7. Jos SDC-paketin mukana toimitettu varmenne on vanhentunut, sinulle voidaan toimittaa varmenne .pem muoto, johon sinun on muunnettava .der Muotoile seuraavalla komennolla:

openssl x509 -in /usr/src/<file.pem> -outform DER -out /usr/src/<file.der>

 Ota tarvittaessa yhteyttä Dellin tukitiimiin uuden allekirjoitetun SDC-paketin ja siihen liittyvien varmenteiden hankkimiseksi 

8. Käynnistä isäntä uudelleen .
9. Käynnistyksen yhteydessä, ennen kuin Linux-käyttöjärjestelmä käynnistyy, sinun on siirryttävä Perform MOK management -valikkoon. Anna MOK-hallinta ja valitse Rekisteröi MOK.

10. Kirjaudu isäntään uudelleenkäynnistyksen jälkeen ja tarkista seuraavalla komennolla, että SDC on toiminnassa:

systemctl status scini.service