PowerFlex: Aktivera säker start för PowerFlex-beräkningsnoder

Om du vill aktivera säker start på Dell PowerFlex Compute-noder måste du uppfylla följande krav:

• Startläget måste vara inställt på UEFI (Unified Extensible Firmware Interface) i startinställningarna för system-BIOS>.

  Obs! Om värden inte är i det här läget kanske du inte kan ändra den utan att installera om operativsystemet.
• Servern måste ha Trusted Platform Module 2.0 (TPM) installerat.
• BIOS bör vara på den version som krävs för den specifika PowerEdge-modellen för att stödja aktivering av säker start. Information finns på Dells supportwebbplats.
• RPQ krävs för att aktivera säker uppstart. Kontakta din kontorepresentant på Dell Technologies för att utvärdera och aktivera alternativet för säker start för PowerFlex-noder genom en process för produktkvalificering (RPQ).
• Säker start måste avaktiveras i iDRAC innan driftsättningar utförs med PowerFlex Manager. Om det är aktiverat misslyckas distributionen. Säker start bör endast aktiveras efter distribution.

Konfigurera Dell PowerEdge iDRAC för säker start:

1. Logga in på iDRAC-webbgränssnittet och gå till Konfiguration > BIOS-inställningar > Systemsäkerhet
2. Ställ in TPM Security på På
3. Expandera Avancerade TPM-inställningar och ställ in TPM2-algoritmval på SHA256
4. Ställ in säker uppstart på Aktiverad

5. Klicka på Verkställ längst ned på skärmen med systemsäkerhetsinställningar .
6. Klicka på knappen Verkställ och starta om längst ned till vänster på skärmen.

Aktivera säker uppstart för ESXi:

Delvis stöd: Betrodd start med attestering.

• UEFI Secure Boot: Verifierar starthanteraren och kernelmodulerna vid uppstart
• TPM-mått: Lagrar starthash-mått i TPM-PCR:er (används för attestering)
• TPM-stödd kryptering: VM-, vSAN- och kärndump
• vCenter-attestering: Upptäcker om värden har startat i ett manipulerat eller ej betrott tillstånd
• vTPM-stöd på virtuella datorer: Virtuella datorer kan ges en virtuell TPM för gästsäkerhetsfunktioner (kräver även vCenter KMS-server)

Fullt stöd: Låsning av körningskontroll

• Inkluderar alla funktioner i partiellt stöd
• Signerad VIB-verkställighet: Säkerställer att VIB:er inte manipuleras
  • Endast VMware-signerade VIB:er kan installeras
  • Signerade VIB:er kan endast läsas in under ESXi-start

Aktivera partiellt stöd i ESXi:

För PowerFlex rack- och enhetsnoder måste säker start aktiveras efter att PowerFlex Manager har driftsatt noderna. Om det är aktiverat i förväg misslyckas distributioner med PowerFlex Manager. 

Aktivera partiellt stöd, följ dessa steg:

1. Kör valideringsskriptet: /usr/lib/vmware/secureboot/bin/secureBoot.py -c

   • Om det godkänns visas "Säker start KAN aktiveras".
   • Om det misslyckas visas osignerade VIB:er. Du måste ta bort dessa innan du fortsätter. Annars visas en lila skärm vid nästa start.
2. Aktivera SSH på ESXi-värden och använd valfri SSH-klient för att ansluta till ESXi-värden med rotanvändaren.
3. Kontrollera säkerhetsnivån: 

esxcli system settings encryption get

3. • Utdata bör visa: 
     • Läge: Inget
     • Installerade VIB:er: Falskt
     • Kräv säker start: Falskt
4. Aktivera TPM-läge: 

esxcli system settings encryption set --mode=TPM --require-secure-boot=true

5. Starta om värden.
6. Kontrollera säkerhetsnivån när värden är online igen: 

esxcli system settings encryption get

6. • Utdata bör nu visa:
     • Läge: TPM
     • Installerade VIB:er: Falskt
     • Säker start: Sant
7. Synkronisera konfigurationen till startbanken: 

/bin/backup.sh 0

Aktivera fullt stöd i ESXi:

1. Aktivera SSH på ESXi-värden och använd valfri SSH-klient för att ansluta till ESXi-värden med rotanvändaren .
2. Kontrollera säkerhetsnivån:
   • Utdata bör visa: 
     • Läge: TPM
     • Installerade VIB:er: Falskt
     • Kräv säker start: Sant
3. Om utdata inte matchar ovanstående, aktivera partiellt stöd genom att följa instruktionerna ovan innan du fortsätter.
   1. Få de aktuella inställningarna genom att köra:

esxcli system settings encryption get

1. 2. Tillåt kerneln att acceptera VIB-tvingande:

esxcli system settings kernel set -s execInstalledOnly -v TRUE

1. 3. Stäng av värden och slå sedan på värden (använd inte omstart).
   4. Aktivera tvingande VIB genom att köra: 

esxcli system settings encryption set --require-exec-installed-only=T

1. 5. Starta om noden för att framtvinga signerade VIB:er.
   6. När noden är online igen kontrollerar du säkerhetsnivån: esxcli system settings encryption get
   7. Synkronisera den aktiva konfigurationen till startbanken: 

/bin/backup.sh 0

Säkerhetskopieringsnycklar och konfigurationer:

1. SSH till ESXi-värden som rot
2. Visa säkerhetskopieringsnyckeln och kopiera den till en säker plats utanför noden 

esxcli system settings encryption recovery list

3. • Kopiera återställningsnyckeln (andra kolumnen) och klistra in den i en textfil för att spara den för framtida återställning. Återställnings-ID kan utelämnas.
4. Generera ett säkerhetskopieringspaket på värdnivå:

vim-cmd hostsvc/firmware/backup_config

5. Kopiera webbadressen för att ladda ned säkerhetspaketet. Lagra det här paketet på samma plats som säkerhetskopieringstextfilen för återställningsnyckeln. 

Aktivera säker start för Linux:

1. SSH-anslut till Linux-värden som rot och bekräfta att säker start är aktiverat på datorn: 

mokutil --sb-stat

1. • Utdata ska ha SecureBoot enabled
2. Om SDC redan är installerat fortsätter du till steg 4.
3. Om SDC inte är installerat, installera SDC RPM. Installationen bör lyckas, men scini Drivrutinen bör inte kunna laddas. Du bör få felmeddelandet "scini service failed because the control process exited with error code".
   • Så här söker du efter information om felet:
     • Kör 

systemctl status scini.service

• • • Kör

journalctl -xe

3. • Om du markerar dmesgbör du se: Inläsning av modul med otillgänglig nyckel nekades
4. Ändra katalog till /bin/emc/scaleio/scini_sync/certs/. I den här katalogen hittar du SDC-certifikaten.
5. Kör följande kommando för att bekräfta att de är giltiga och inte har upphört att gälla

openssl x509 -in <.pem file from directory> -noout -enddate | cut -d= -f2

6. Om certifikatet är giltigt använder du mokutil took för att importera .der Filen. Du måste skapa ett lösenord

mokutil --import <.der file from directory> (Example: emc_scaleio2026.der)

7. Om certifikatet som medföljde SDC-paketet har upphört att gälla kan du få ett certifikat i .pem format som du måste konvertera till .der format med följande kommando:

openssl x509 -in /usr/src/<file.pem> -outform DER -out /usr/src/<file.der>

 Om det behövs, kontakta Dells supportteam för att få det nya signerade SDC-paketet och relaterade certifikat 

8. Starta om värden.
9. Vid uppstart, innan Linux-operativsystemet startar, måste du gå in i menyn Utför MOK-hantering . Gå in i MOK-hanteringen och välj Registrera MOK.

10. Logga in på värden efter omstart och kör det här kommandot för att validera att SDC körs:

systemctl status scini.service