Vertrauenswürdiger Start für Azure Kubernetes Service (AKS)

• Azure CLI-Version 2.66.0 oder höher. Führen Sie az --version aus, um die Version zu finden, und führen Sie az upgrade aus, um ein Upgrade für die Version durchzuführen. Informationen zum Durchführen einer Installation oder eines Upgrades finden Sie bei Bedarf unter Installieren der Azure CLI.

1. Erstellen Sie mit dem Befehl az aks create einen AKS-Cluster. Überprüfen Sie vor dem Ausführen des Befehls die folgenden Parameter:

   • --name: Geben Sie einen eindeutigen Namen für den AKS-Cluster ein, z. B. myAKSCluster.
   • --resource-group: Geben Sie den Namen einer vorhandenen Ressourcengruppe ein, um die AKS-Clusterressource zu hosten.
   • --enable-secure-boot: Aktiviert den sicheren Start, um ein von einem vertrauenswürdigen Herausgeber signiertes Image zu authentifizieren.
   • --enable-vtpm: Aktiviert vTPM und führt einen Nachweis durch Messen der gesamten Startkette Ihrer VM durch.

   Hinweis

   Für den sicheren Start sind signierte Bootloader, Betriebssystemkernels und Treiber erforderlich. Sollten Ihre Knoten nach dem Aktivieren des sicheren Starts nicht mehr starten, können Sie überprüfen, welche Startkomponenten für Fehler beim sicheren Start innerhalb eines virtuellen Azure-Linux-Computers verantwortlich sind. Weitere Informationen finden Sie unter Überprüfen von Fehlern beim sicheren Start.

   Im folgenden Beispiel wird ein Cluster mit dem Namen myAKSCluster mit einem einzelnen Knoten in myResourceGroup erstellt. Außerdem werden sicherer Start und vTPM aktiviert:

   az aks create \
       --name myAKSCluster \
       --resource-group myResourceGroup \
       --node-count 1 \
       --enable-secure-boot \
       --enable-vtpm \
       --generate-ssh-keys
   

2. Führen Sie den folgenden Befehl aus, um Anmeldeinformationen für den Zugriff auf den Kubernetes-Cluster zu erhalten. Verwenden Sie den Befehl az aks get-credentials, und ersetzen Sie die Werte für den Clusternamen und den Ressourcengruppennamen.

   az aks get-credentials --resource-group myResourceGroup --name myAKSCluster
   

1. Erstellen Sie eine Vorlage mit vertrauenswürdigen Startparametern. Überprüfen Sie vor dem Erstellen der Vorlage die folgenden Parameter:

   • enableSecureBoot: Aktiviert den sicheren Start, um ein von einem vertrauenswürdigen Herausgeber signiertes Image zu authentifizieren.
   • enableVTPM: Aktiviert vTPM und führt einen Nachweis durch Messen der gesamten Startkette Ihrer VM durch.

   Geben Sie in Ihrer Vorlage Werte für enableVTPM und enableSecureBoot. Das Schema, das für die CLI-Bereitstellung verwendet wird, ist auch in der Definition Microsoft.ContainerService/managedClusters/agentPools unter "properties" verfügbar, wie im folgenden Beispiel zu sehen:

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": "true",
           "enableSecureBoot": "true",
       }
   }
   

2. Stellen Sie Ihre Vorlage mit vTPM bereit, und aktivieren Sie den sicheren Start auf Ihrem Cluster. Ausführliche Anweisungen finden Sie unter Bereitstellen eines AKS-Clusters mithilfe einer ARM-Vorlage .

1. Fügen Sie einen Knotenpool mit aktiviertem vertrauenswürdigen Start mithilfe des az aks nodepool add Befehls hinzu. Überprüfen Sie vor dem Ausführen des Befehls die folgenden Parameter:

   • --cluster-name: Geben Sie den Namen des AKS-Clusters ein.
   • --resource-group: Geben Sie den Namen einer vorhandenen Ressourcengruppe ein, um die AKS-Clusterressource zu hosten.
   • --name: Geben Sie einen eindeutigen Namen für den Knotenpool ein. Der Name eines Knotenpools darf nur alphanumerische Zeichen in Kleinbuchstaben enthalten und muss mit einem Kleinbuchstaben beginnen. Bei Linux-Knotenpools muss die Länge zwischen 1 und 11 Zeichen betragen.
   • --node-count: Die Anzahl der Knoten im Kubernetes-Agentpool. Die Standardeinstellung ist 3.
   • --enable-secure-boot: Aktiviert den sicheren Start, um das von einem vertrauenswürdigen Herausgeber signierte Image zu authentifizieren.
   • --enable-vtpm: Aktiviert vTPM und führt einen Nachweis durch Messen der gesamten Startkette Ihrer VM durch.

   Hinweis

   Für den sicheren Start sind signierte Bootloader, Betriebssystemkernels und Treiber erforderlich. Sollten Ihre Knoten nach dem Aktivieren des sicheren Starts nicht mehr starten, können Sie überprüfen, welche Startkomponenten für Fehler beim sicheren Start innerhalb eines virtuellen Azure-Linux-Computers verantwortlich sind. Weitere Informationen finden Sie unter Überprüfen von Fehlern beim sicheren Start.

   Im folgenden Beispiel wird ein Knotenpool mit aktiviertem vTPM und sicherem Start in einem Cluster namens myAKSCluster mit drei Knoten bereitgestellt:

   az aks nodepool add --resource-group myResourceGroup --cluster-name myAKSCluster --name mynodepool --node-count 3 --enable-vtpm --enable-secure-boot
   

2. Überprüfen Sie, ob Ihr Knotenpool ein Trusted Launch-Image verwendet.

   Trusted-Launch-Knoten haben folgende Ausgabe:

   • Knoten-Image-Version mit "TL", zum Beispiel "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" sollte sein "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. Erstellen Sie eine Vorlage mit vertrauenswürdigen Startparametern. Überprüfen Sie vor dem Erstellen der Vorlage die folgenden Parameter:

   • enableSecureBoot: Aktiviert den sicheren Start, um ein von einem vertrauenswürdigen Herausgeber signiertes Image zu authentifizieren.
   • enableVTPM: Aktiviert vTPM und führt einen Nachweis durch Messen der gesamten Startkette Ihrer VM durch.

   Geben Sie in Ihrer Vorlage Werte für enableVTPM und enableSecureBoot. Das Schema, das für die CLI-Bereitstellung verwendet wird, ist auch in der Definition Microsoft.ContainerService/managedClusters/agentPools unter "properties" verfügbar, wie im folgenden Beispiel zu sehen:

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": "true",
           "enableSecureBoot": "true",
       }
   }
   

2. Stellen Sie Ihre Vorlage mit vTPM bereit, und aktivieren Sie den sicheren Start auf Ihrem Cluster. Ausführliche Anweisungen finden Sie unter Bereitstellen eines AKS-Clusters mithilfe einer ARM-Vorlage .

1. Fügen Sie einen Knotenpool mit aktiviertem vertrauenswürdigem Start und FIPS mithilfe des az aks nodepool add Befehls hinzu. Überprüfen Sie vor dem Ausführen des Befehls die folgenden Parameter:

   • --cluster-name: Geben Sie den Namen des AKS-Clusters ein.
   • --resource-group: Geben Sie den Namen einer vorhandenen Ressourcengruppe ein, um die AKS-Clusterressource zu hosten.
   • --name: Geben Sie einen eindeutigen Namen für den Knotenpool ein. Der Name eines Knotenpools darf nur alphanumerische Zeichen in Kleinbuchstaben enthalten und muss mit einem Kleinbuchstaben beginnen. Bei Linux-Knotenpools muss die Länge zwischen 1 und 11 Zeichen betragen.
   • --node-count: Die Anzahl der Knoten im Kubernetes-Agentpool. Die Standardeinstellung ist 3.
   • --enable-secure-boot: Aktiviert den sicheren Start, um das von einem vertrauenswürdigen Herausgeber signierte Image zu authentifizieren.
   • --enable-vtpm: Aktiviert vTPM und führt einen Nachweis durch Messen der gesamten Startkette Ihrer VM durch.
   • --enable-fips-image: Aktiviert das FIPS-kompatible Knotenimage für den Knotenpool.

   Hinweis

   Für den sicheren Start sind signierte Bootloader, Betriebssystemkernels und Treiber erforderlich. Sollten Ihre Knoten nach dem Aktivieren des sicheren Starts nicht mehr starten, können Sie überprüfen, welche Startkomponenten für Fehler beim sicheren Start innerhalb eines virtuellen Azure-Linux-Computers verantwortlich sind. Weitere Informationen finden Sie unter Überprüfen von Fehlern beim sicheren Start.

   Im folgenden Beispiel wird ein Knotenpool mit vTPM, sicherer Start und FIPS auf einem Cluster mit dem Namen myAKSCluster mit drei Knoten bereitgestellt:

   az aks nodepool add --resource-group myResourceGroup --cluster-name myAKSCluster --name mynodepool --node-count 3 --enable-vtpm --enable-secure-boot --enable-fips-image
   

2. Überprüfen Sie, ob Ihr Knotenpool ein Trusted-Launch-Image verwendet.

   Trusted-Launch-Knoten haben folgende Ausgabe:

   • Version des Node-Images, die sowohl "TL" als auch "FIPS" enthält.
   • "Security-type" ist "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. Erstellen Sie eine Vorlage mit den Parametern "Trusted Launch" und "FIPS". Überprüfen Sie vor dem Erstellen der Vorlage die folgenden Parameter:

   • enableSecureBoot: Aktiviert den sicheren Start, um ein von einem vertrauenswürdigen Herausgeber signiertes Image zu authentifizieren.
   • enableVTPM: Aktiviert vTPM und führt einen Nachweis durch Messen der gesamten Startkette Ihrer VM durch.
   • enableFips: Aktiviert das FIPS-kompatible Knotenimage für den Knotenpool.

   Geben Sie in Ihrer Vorlage Werte für enableVTPM, enableSecureBoot und enableFips an. Das Schema, das für die CLI-Bereitstellung verwendet wird, ist auch in der Definition Microsoft.ContainerService/managedClusters/agentPools unter "properties" verfügbar, wie im folgenden Beispiel zu sehen:

   "properties": {
       ...,
       "osSKU": "Ubuntu",
       "enableFips": true,
       "securityProfile": {
           "enableVTPM": "true",
           "enableSecureBoot": "true",
       }
   }
   

2. Stellen Sie Ihre Vorlage mit vTPM, sicherem Start und FIPS auf Ihrem Cluster bereit. Ausführliche Anweisungen finden Sie unter Bereitstellen eines AKS-Clusters mithilfe einer ARM-Vorlage .

1. Überprüfen Sie, ob Ihr Knotenpool ein Trusted Launch-Image verwendet.

   Trusted-Launch-Knoten haben folgende Ausgabe:

   • Knoten-Image-Version mit "TL", zum Beispiel "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" sollte sein "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

   Wenn Ihr Knotenpool derzeit kein Trusted Launch-Image verwendet, können Sie den Knotenpool nicht aktualisieren, um Secure Boot oder vTPM zu aktivieren.

2. Aktualisieren Sie einen Knotenpool mit aktiviertem vertrauenswürdigen Start mithilfe des az aks nodepool update Befehls. Überprüfen Sie vor dem Ausführen des Befehls die folgenden Parameter:

   • --resource-group: Geben Sie den Namen einer vorhandenen Ressourcengruppe ein, die Ihren vorhandenen AKS-Cluster hosten soll.
   • --cluster-name: Geben Sie einen eindeutigen Namen für den AKS-Cluster ein, z. B. myAKSCluster.
   • --name: Geben Sie den Namen Ihres Knotenpools ein, z. B. mynodepool.
   • --enable-secure-boot: Aktiviert den sicheren Start, um zu authentifizieren, dass das Image von einem vertrauenswürdigen Herausgeber signiert wurde.
   • --enable-vtpm: Aktiviert vTPM und führt einen Nachweis durch Messen der gesamten Startkette Ihrer VM durch.

   Hinweis

   Für den sicheren Start sind signierte Bootloader, Betriebssystemkernels und Treiber erforderlich. Sollten Ihre Knoten nach dem Aktivieren des sicheren Starts nicht mehr starten, können Sie überprüfen, welche Startkomponenten für Fehler beim sicheren Start innerhalb eines virtuellen Azure-Linux-Computers verantwortlich sind. Weitere Informationen finden Sie unter Überprüfen von Fehlern beim sicheren Start.

   Im folgenden Beispiel wird der Knotenpool mynodepool im myAKSCluster in der myResourceGroup aktualisiert und vTPM aktiviert. In diesem Szenario wurde der sichere Start während der Erstellung des Knotenpools aktiviert:

   az aks nodepool update --cluster-name myCluster --resource-group myResourceGroup --name mynodepool --enable-vtpm 
   

   Im folgenden Beispiel wird der Knotenpool mynodepool im myAKSCluster in der myResourceGroup aktualisiert und der sichere Start aktiviert. In diesem Szenario wurde vTPM während der Erstellung des Knotenpools aktiviert:

   az aks nodepool update --cluster-name myCluster --resource-group myResourceGroup --name mynodepool --enable-secure-boot
   

1. Überprüfen Sie, ob Ihr Knotenpool ein Trusted Launch-Image verwendet.

   Trusted-Launch-Knoten haben folgende Ausgabe:

   • Knoten-Image-Version mit "TL", zum Beispiel "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" sollte sein "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

   Wenn Ihr Knotenpool derzeit kein Trusted Launch-Image verwendet, können Sie den Knotenpool nicht aktualisieren, um Secure Boot oder vTPM zu aktivieren.

2. Erstellen Sie eine Vorlage mit vertrauenswürdigen Startparametern. Überprüfen Sie vor dem Erstellen der Vorlage die folgenden Parameter:

   • enableSecureBoot: Aktiviert den sicheren Start, um ein von einem vertrauenswürdigen Herausgeber signiertes Image zu authentifizieren.
   • enableVTPM: Aktiviert vTPM und führt einen Nachweis durch Messen der gesamten Startkette Ihrer VM durch.

   Geben Sie in Ihrer Vorlage Werte für enableVTPM und enableSecureBoot. Das Schema, das für die CLI-Bereitstellung verwendet wird, ist auch in der Definition Microsoft.ContainerService/managedClusters/agentPools unter "properties" verfügbar, wie im folgenden Beispiel zu sehen:

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": "true",
           "enableSecureBoot": "true",
       }
   }
   

3. Stellen Sie Ihre Vorlage mit vTPM bereit, und aktivieren Sie den sicheren Start auf Ihrem Cluster. Ausführliche Anweisungen finden Sie unter Bereitstellen eines AKS-Clusters mithilfe einer ARM-Vorlage .

Aktualisieren Sie einen Knotenpool, um den sicheren Start oder vTPM mithilfe des az aks nodepool update Befehls zu deaktivieren. Überprüfen Sie vor dem Ausführen des Befehls die folgenden Parameter:

• --resource-group: Geben Sie den Namen einer vorhandenen Ressourcengruppe ein, die Ihren vorhandenen AKS-Cluster hosten soll.
• --cluster-name: Geben Sie einen eindeutigen Namen für den AKS-Cluster ein, z. B. myAKSCluster.
• --name: Geben Sie den Namen Ihres Knotenpools ein, z. B. mynodepool.
• --enable-secure-boot: Aktiviert den sicheren Start, um zu authentifizieren, dass das Image von einem vertrauenswürdigen Herausgeber signiert wurde.
• --enable-vtpm: Aktiviert vTPM und führt einen Nachweis durch Messen der gesamten Startkette Ihrer VM durch.

So deaktivieren Sie vTPM in einem vorhandenen Knotenpool:

az aks nodepool update --cluster-name myCluster --resource-group myResourceGroup --name mynodepool --disable-vtpm

So deaktivieren Sie den sicheren Start in einem vorhandenen Knotenpool:

az aks nodepool update --cluster-name myCluster --resource-group myResourceGroup --name mynodepool --disable-secure-boot 

1. Erstellen Sie eine Vorlage mit vertrauenswürdigen Startparametern. Überprüfen Sie vor dem Erstellen der Vorlage die folgenden Parameter:

   • enableSecureBoot: Aktiviert den sicheren Start, um ein von einem vertrauenswürdigen Herausgeber signiertes Image zu authentifizieren.
   • enableVTPM: Aktiviert vTPM und führt einen Nachweis durch Messen der gesamten Startkette Ihrer VM durch.

   Geben Sie in Ihrer Vorlage Werte für enableVTPM und enableSecureBoot. Das Schema, das für die CLI-Bereitstellung verwendet wird, ist auch in der Definition Microsoft.ContainerService/managedClusters/agentPools unter "properties" verfügbar, wie im folgenden Beispiel zu sehen:

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": "false",
           "enableSecureBoot": "false",
       }
   }
   

2. Stellen Sie Ihre Vorlage mit vTPM bereit, und der sichere Start ist auf Ihrem Cluster deaktiviert. Ausführliche Anweisungen finden Sie unter Bereitstellen eines AKS-Clusters mithilfe einer ARM-Vorlage .