Microsoft Windows：「Windows サーバー2019でのシールドされる VM の機能拡張」

シールドされた VM は、Windows Server 2016 で Microsoft によって導入された独自のセキュリティ機能です。Windows Server 2019では、多くの機能拡張が行われています。この記事では、この機能の改善について説明します。機能の概要と導入の詳細な手順については、次のリンクを参照してください。  

構成証明モード

この機能は当初、Active Directory ベースの構成証明と TPM ベースの構成証明の 2 つの構成証明モードをサポートしていました。TPMベースの構成証明は、信頼のハードウェア ルートとしてトラステッド プラットフォーム モジュール(TPM)を使用するため、セキュリティ保護を強化します。これにより、測定された起動とコードの整合性がサポートされます。キー モード構成証明は、AD ベースの構成証明に代わる新しい追加機能です。ADベースの構成証明は引き続き存在しますが、Windows Server 2019以降では非推奨です。次のリンクには、キー モード構成証明を使用したホスト ガーディアン サービス(HGS)ノードのセットアップに関する情報が含まれています:
https://learn.microsoft.com/en-us/windows-server/security/guarded-fabric-shielded-vm/guarded-fabric-initialize-hgs-key-mode-default
TPMハードウェアが使用できない場合は、キー モードの構成証明が推奨されます。構成は簡単ですが、ハードウェア ルート オブ トラストを伴わないため、セキュリティ リスクが伴います。最も厳格なセキュリティを実現するには、TPM 2.0チップと共にTPMベースの構成証明を使用することをお勧めします。
 

HGSバックアップ機能

HGS クラスターはシールドされた VM ソリューションの重要な部分であるため、Microsoft は HGS URL の 2 番目のセットを組み込むための機能強化を提供しています。プライマリ HGS サーバーが応答しない場合、Hyper-V で保護されたホストは、ダウンタイムなしでシールドされた VM を証明して起動できます。これには、2 つの HGS サーバーを設定し、デプロイ中に両方のサーバーで VM を個別に証明する必要があります。次のコマンドを使用して、両方の HGS クラスターで VM を証明できるようにします。
 

# Replace https://hgs.primary.com and https://hgs.backup.com with your own domain names and protocols
Set-HgsClientConfiguration -KeyProtectionServerUrl 'https://hgs.primary.com/KeyProtection' -AttestationServerUrl 'https://hgs.primary.com/Attestation' -FallbackKeyProtectionServerUrl 'https://hgs.backup.com/KeyProtection' -FallbackAttestationServerUrl 'https://hgs.backup.com/Attestation'

Hyper-V ホストがプライマリ サーバーとフォールバック サーバーの両方で構成証明を渡すには、構成証明情報が両方の HGS クラスターで最新である必要があります。
 

オフラインモード

オフライン モードでは、HGS クラスターにアクセスできない場合でも、シールドされた VM を起動できます。このモードを有効にするには、HGSノードで次のコマンドを実行します。

Set-HgsKeyProtectionConfiguration –AllowKeyMaterialCaching:$true

コマンドを実行した後、すべての VM を再起動して、キャッシュ可能なキー保護機能を有効にします。  

LinuxシールドされたVM

Microsoftは、ゲストOSとしてLinuxを実行しているシールドされたVMをサポートしています。使用できるLinuxディストリビューションとバージョンの詳細については、次のリンクを参照してください。
https://learn.microsoft.com/en-us/windows-server/security/guarded-fabric-shielded-vm/guarded-fabric-create-a-linux-shielded-vm-template

重要なガイドライン

シールドされた VM を展開する際に従うべき重要なガイドラインがいくつかあります。

1. Windows Server 2016からWindows Server 2019にアップグレードする場合は、すべてのセキュリティ構成をクリアします。HGSと保護されたホストでアップグレードした後、ソリューションが問題なく機能するように、それらを再度適用します。
2. テンプレート ディスクは、セキュリティで保護された VM プロビジョニング プロセスでのみ使用できます。テンプレート ディスクを使用して通常の (シールドされていない) VM を起動しようとすると、STOP エラー (ブルー スクリーン) が発生する可能性が高く、サポートされません。