PowerFlex: Aktiver sikker oppstartshåndhevelse for PowerFlex-databehandlingsnoder

Hvis du vil aktivere sikker oppstart på Dell PowerFlex-databehandlingsnoder, må du oppfylle følgende forutsetninger:

• Oppstartsmodus må være angitt til Unified Extensible Firmware Interface (UEFI) i oppstartsinnstillingene for system-BIOS-innstillingene>.

  Merk: Hvis verten ikke er i denne modusen, kan du kanskje ikke endre den uten å installere operativsystemet på nytt.
• Serveren må ha Trusted Platform Module (TPM) 2.0 installert.
• BIOS bør være den nødvendige versjonen for den bestemte PowerEdge-modellen for å støtte aktivering av sikker oppstart. Du finner informasjon på Dells nettsted for kundestøtte.
• RPQ kreves for å aktivere sikker oppstart. Ta kontakt med kontorepresentanten din hos Dell Technologies for å evaluere og aktivere alternativet for sikker oppstart for PowerFlex-noder gjennom en prosess som ber om produktkvalifisering (RPQ).
• Sikker oppstart må være deaktivert i iDRAC før implementering utføres med PowerFlex Manager. Hvis den er aktivert, vil distribusjonen mislykkes. Sikker oppstart skal bare aktiveres etter implementering.

Konfigurere Dell PowerEdge iDRAC for sikker oppstart:

1. Logg på iDRAC-nettgrensesnittet, og gå til Systemsikkerhet for konfigurasjons-BIOS-innstillinger >>
2. Sett TPM-sikkerhet til På
3. Utvid Avanserte TPM-innstillinger , og angi valg av TPM2-algoritme til SHA256
4. Sett sikker oppstart til Aktivert

5. Klikk på Bruk nederst på skjermbildet for systemsikkerhetsinnstillinger .
6. Klikk på Bruk og start på nytt-knappen nederst til venstre på skjermen.

Aktiver sikker oppstart for ESXi:

Delvis støtte: Pålitelig oppstart med attestasjon.

• UEFI Secure Boot: Bekrefter oppstartslaster og kjernemoduler ved oppstart
• TPM-målinger: Lagrer oppstartshimpmålinger i TPM-PCR (brukes til attestering)
• TPM-støttet kryptering: VM, vSAN og Core Dump
• vCenter Attestation: Oppdager om verten har startet opp i en manipulert eller ikke klarert tilstand
• vTPM-støtte på VM-er: VM-er kan gis en virtuell TPM for sikkerhetsfunksjoner i gjester (krever også vCenter KMS-server)

Full støtte: Låsing av utførelseskontroll

• Inkluderer alle funksjoner for delvis støtte
• Signert VIB-håndhevelse: Sikrer at VIB-er ikke tukles med
  • Bare VMware-signerte VIB-er kan installeres
  • Signerte VIB-er kan bare lastes inn under ESXi-oppstart

Aktiver delvis støtte i ESXi:

For PowerFlex Rack- og apparatnoder må sikker oppstart aktiveres etter at PowerFlex Manager distribuerer nodene. Hvis det er aktivert på forhånd, mislykkes implementeringer ved hjelp av PowerFlex Manager. 

Aktiver delvis støtte, og følg disse trinnene:

1. Kjør valideringsskriptet: /usr/lib/vmware/secureboot/bin/secureBoot.py -c

   • Hvis det består, ser du «Sikker oppstart KAN aktiveres».
   • Hvis det mislykkes, viser det usignerte VIB-er. Du må fjerne disse før du fortsetter, ellers opplever verten en lilla skjerm ved neste oppstart.
2. Aktiver SSH på ESXi-verten, og bruk en hvilken som helst SSH-klient til å koble til ESXi-verten ved hjelp av rotbrukeren.
3. Bekreft sikkerhetsnivået: 

esxcli system settings encryption get

3. • Utdataene skal vise: 
     • Modus: None
     • Installerte VIB-er: Usann
     • Krev sikker oppstart: Usann
4. Aktiver TPM-modus: 

esxcli system settings encryption set --mode=TPM --require-secure-boot=true

5. Start verten på nytt.
6. Når verten er tilkoblet igjen, bekrefter du sikkerhetsnivået: 

esxcli system settings encryption get

6. • Utdataene skal nå vise:
     • Modus: TPM
     • Installerte VIB-er: Usann
     • Sikker oppstart: Sant
7. Synkroniser konfigurasjonen til Bootbank: 

/bin/backup.sh 0

Aktiver full støtte i ESXi:

1. Aktiver SSH på ESXi-verten, og bruk en hvilken som helst SSH-klient til å koble til ESXi-verten ved hjelp av rotbrukeren .
2. Bekreft sikkerhetsnivået:
   • Utdataene skal vise: 
     • Modus: TPM
     • Installerte VIB-er: Usann
     • Krev sikker oppstart: Sant
3. Hvis utdataene ikke samsvarer med ovenstående, aktiverer du delvis støtte ved å følge instruksjonene ovenfor før du fortsetter.
   1. Få gjeldende innstillinger ved å kjøre:

esxcli system settings encryption get

1. 2. Tillat kjernen å godta VIB-håndheving:

esxcli system settings kernel set -s execInstalledOnly -v TRUE

1. 3. Slå av verten og slå deretter på verten (ikke bruk omstart).
   4. Aktiver VIB-håndhevelse ved å kjøre: 

esxcli system settings encryption set --require-exec-installed-only=T

1. 5. Start noden på nytt for å håndheve signerte VIB-er.
   6. Når noden er tilkoblet igjen, kontrollerer du sikkerhetsnivået: esxcli system settings encryption get
   7. Synkroniser den kjørende konfigurasjonen til Bootbank: 

/bin/backup.sh 0

Sikkerhetskopinøkler og konfigurasjoner:

1. SSH til ESXi-verten som root
2. Vis sikkerhetskopinøkkelen, og kopier til en sikker plassering utenfor noden 

esxcli system settings encryption recovery list

3. • Kopier gjenopprettingsnøkkelen (andre kolonne) og lim den inn i en tekstfil for å lagre for fremtidig gjenoppretting. Gjenopprettings-ID kan utelates.
4. Generer en pakke med sikkerhetskopiering på vertsnivå:

vim-cmd hostsvc/firmware/backup_config

5. Kopier nettadressen du oppga, for å laste ned sikkerhetskopipakken. Lagre denne pakken på samme sted som tekstfilen for sikkerhetskopien av gjenopprettingsnøkkelen. 

Aktiver sikker oppstart for Linux:

1. SSH til Linux-verten din som root og validere sikker oppstart er aktivert på maskinen din: 

mokutil --sb-stat

1. • Utdataene skal ha SecureBoot enabled
2. Hvis SDC allerede er installert, fortsetter du til trinn 4.
3. Hvis SDC ikke er installert, installerer du SDC RPM. Installasjonen skal være vellykket, men scini Driveren skal ikke lastes inn. Du skal få feilmeldingen "scini service failed because the control process exited with error code".
   • Slik ser du etter detaljer om feilen:
     • Kjør 

systemctl status scini.service

• • • Kjør

journalctl -xe

3. • Hvis du sjekker dmesg, bør du se: Lasting av modul med utilgjengelig nøkkel avvises
4. Endre katalog til /bin/emc/scaleio/scini_sync/certs/. I denne katalogen finner du SDC-sertifikatene.
5. Kjør følgende kommando for å bekrefte at de er gyldige og ikke utløpt

openssl x509 -in <.pem file from directory> -noout -enddate | cut -d= -f2

6. Hvis sertifikatet er gyldig, bruker du mokutil took Slik importerer du .der Filen. Du må generere en passwor

mokutil --import <.der file from directory> (Example: emc_scaleio2026.der)

7. Hvis sertifikatet som fulgte med SDC-pakken, er utløpt, kan du få tilsendt et sertifikat i .pem format som du må konvertere til .der Formater ved hjelp av følgende kommando:

openssl x509 -in /usr/src/<file.pem> -outform DER -out /usr/src/<file.der>

 Kontakt om nødvendig Dells kundestøtteteam for å få den nye signerte SDC-pakken og relaterte sertifikater 

8. Start verten på nytt.
9. Ved oppstart, før Linux OS starter, må du gå inn i Utfør MOK-administrasjonsmenyen . Angi MOK-administrasjon, og velg Registrer MOK.

10. Logg på verten etter omstart, og kjør denne kommandoen for å bekrefte at SDC er oppe og går:

systemctl status scini.service