(プレビュー) 既存の Azure 第 1 世代 VM をトラステッド起動にアップグレードする

組み込みの MBR2GPT.exe ユーティリティを使用すると、GPT ディスク レイアウトを有効にして、第 2 世代へのアップグレードに必要な EFI system partition を追加できます。

1. 変換を実行するために、RDP またはリモートで第 1 世代 Windows VM に接続します。

2. コマンド MBR2GPT /validate /allowFullOS を実行し、Disk layout validation が正常に完了したことを確認します。 Disk layout validation が失敗した場合には、続行しないでください。 一般的な原因とエラーに関する解決策の一覧については、「既知の問題」を参照してください。 詳細とトラブルシューティングについては、「MBR2GPT のトラブルシューティング」を参照してください。

3. コマンド MBR2GPT /convert /allowFullOS を実行して、MBR から GPT への変換を実施します。 成功した出力の例:

   If conversion is successful the disk can only be booted in GPT mode.
   These changes cannot be undone!
   
   MBR2GPT: Attempting to convert disk 0
   MBR2GPT: Retrieving layout of disk
   MBR2GPT: Validating layout, disk sector size is: 512 bytes
   MBR2GPT: Trying to shrink the OS partition
   MBR2GPT: Creating the EFI system partition
   MBR2GPT: Installing the new boot files
   MBR2GPT: Performing the layout conversion
   MBR2GPT: Migrating default boot entry
   MBR2GPT: Adding recovery boot entry
   MBR2GPT: Fixing drive letter mapping
   MBR2GPT: Conversion completed successfully
   MBR2GPT: Before the new system can boot properly you need to switch the firmware to boot to UEFI mode!
   

Azure Marketplace で発行された、保証済みディストリビューション (Canonical、RHEL、SUSE) イメージを使用して作成された Azure 第 1 世代 Linux VM では、ゲスト オペレーティング システム ボリュームに変更を加える必要はありません。 つまり、これらには既に GPT ディスク レイアウトが含まれ、EFI system partition が構成済みだということです。 Azure Linux および Debian を含め、このアップグレード サポートを必要とする他の Azure 第 1 世代 Linux VM については、Linux 第 1 世代からトラステッド起動へのアップグレードのサポートに登録を提出してください。

次のコマンドを使用して、トラステッド起動アップグレードについての、ゲスト オペレーティング システム ボリュームの準備状況を検証します。 検証手順のいずれかが失敗した場合は、トラステッド起動へのアップグレードを続行しないでください。

1. 検証コマンドを実行するために、SSH またはリモートで第 1 世代 Linux VM に接続します。

2. ブート デバイスを特定し、変数に格納します。
   bootDevice=$(echo "/dev/$(sudo lsblk -no pkname $(sudo df /boot | awk 'NR==2 {print $1}'))")

3. ブート デバイスのディスクの種類を確認します。 コマンドの出力には、gpt が返されている必要があります。
   sudo blkid $bootDevice -o value -s PTTYPE

4. ブート ボリュームで EFI system partition が使用可能かどうかを確認します。 コマンドの出力には、\dev\sda3 などの特定のパーティションが返されている必要があります。
   sudo fdisk -l $bootDevice | grep EFI | awk '{print $1}'

5. EFI マウントポイントが構成されていることを確認します。 コマンドの出力には、/boot/efi present in /etc/fstab が返されている必要があります
   sudo grep -qs '/boot/efi' /etc/fstab && echo '/boot/efi present in /etc/fstab' || echo '/boot/efi missing in /etc/fstab'

Azure PowerShell の最新版がインストールされていること、および Connect-AzAccount で Azure アカウントにサインイン済みであることを確認します。

既存の第 1 世代 VM を第 2 世代 にアップグレードし、Azure PowerShell を使用してトラステッド起動を有効にするための手順に従います。

1. VM の Azure サブスクリプションにサインインします。

   Connect-AzAccount -SubscriptionId 00000000-0000-0000-0000-000000000000
   

2. VM の割り当てを解除します。

   Stop-AzVM -ResourceGroupName myResourceGroup -Name myVm
   

3. -SecurityType を TrustedLaunch に設定して、トラステッド起動を有効にします。

   Get-AzVM -ResourceGroupName myResourceGroup -VMName myVm `
       | Update-AzVM -SecurityType TrustedLaunch `
           -EnableSecureBoot $true -EnableVtpm $true
   

4. 更新された VM 構成で securityProfile を検証します。

   # Following command output should be `TrustedLaunch`
   
   (Get-AzVM -ResourceGroupName myResourceGroup -VMName myVm `
       | Select-Object -Property SecurityProfile `
           -ExpandProperty SecurityProfile).SecurityProfile.SecurityType
   
   # Following command output should return `SecureBoot` and `vTPM` settings
   (Get-AzVM -ResourceGroupName myResourceGroup -VMName myVm `
       | Select-Object -Property SecurityProfile `
           -ExpandProperty SecurityProfile).SecurityProfile.Uefisettings
   
   

5. VM を起動します。

   Start-AzVM -ResourceGroupName myResourceGroup -Name myVm
   

6. アップグレードされたトラステッド起動 VM を起動します。 RDP (Windows VM の場合) または SSH (Linux VM の場合) を使用して VM にサインインできることを確認します。

既存の第 1 世代 VM を第 2 世代 にアップグレードし、Azure CLI を使用してトラステッド起動を有効にするための手順に従います。

Azure CLI の最新版がインストールされていること、および az login で Azure アカウントにサインイン済みであることを確認します。

1. VM の Azure サブスクリプションにサインインします。

   az login
   
   az account set --subscription 00000000-0000-0000-0000-000000000000
   

2. VM の割り当てを解除します。

   az vm deallocate \
      --resource-group myResourceGroup --name myVm
   

3. --security-type を TrustedLaunch に設定して、トラステッド起動を有効にします。

   az vm update \
       --resource-group myResourceGroup --name myVm \
       --security-type TrustedLaunch \
       --enable-secure-boot true --enable-vtpm true
   

4. 前のコマンドの出力を確認します。 securityProfile 構成がコマンド出力と共に返されることを確認します。

   {
     "securityProfile": {
       "securityType": "TrustedLaunch",
       "uefiSettings": {
         "secureBootEnabled": true,
         "vTpmEnabled": true
       }
     }
   }
   

5. VM を起動します。

   az vm start \
       --resource-group myResourceGroup --name myVm
   

6. アップグレードされたトラステッド起動 VM を起動します。 RDP (Windows VM の場合) または SSH (Linux VM の場合) を使用して VM にサインインできることを確認します。

ARM テンプレートを使って、既存の Azure 第 2 世代 VM でトラステッド起動を有効にするには、次の手順に従います。

Azure Resource Manager テンプレートは JavaScript Object Notation (JSON) ファイルであり、プロジェクトのインフラストラクチャと構成が定義されています。 このテンプレートでは、宣言型の構文が使用されています。 デプロイしようとしているものを、デプロイを作成する一連のプログラミング コマンドを記述しなくても記述できます。

1. テンプレートを確認します。

   {
       "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
       "contentVersion": "1.0.0.0",
       "parameters": {
           "vmsToUpgrade": {
               "type": "object",
               "metadata": {
                   "description": "Specifies the list of Azure virtual machines to be upgraded to Trusted launch."
               }
           },
           "vTpmEnabled": {
               "type": "bool",
               "defaultValue": true,
               "metadata": {
                   "description": "Specifies whether vTPM should be enabled on the virtual machine."
               }
           }
       },
       "resources": [
           {
               "type": "Microsoft.Compute/virtualMachines",
               "apiVersion": "2022-11-01",
               "name": "[parameters('vmsToUpgrade').virtualMachines[copyIndex()].vmName]",
               "___location": "[parameters('vmsToUpgrade').virtualMachines[copyIndex()].___location]",
               "properties": {
                   "securityProfile": {
                       "uefiSettings": {
                           "secureBootEnabled": "[parameters('vmsToUpgrade').virtualMachines[copyIndex()].secureBootEnabled]",
                           "vTpmEnabled": "[parameters('vTpmEnabled')]"
                       },
                       "securityType": "TrustedLaunch"
                   }
               },
               "copy": {
                   "name": "vmCopy",
                   "count": "[length(parameters('vmsToUpgrade').virtualMachines)]"
               }
           }
       ]
   }
   

2. TrustedLaunch のセキュリティの種類で更新される VM を含む parameters JSON ファイルを編集します。

   {
       "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
       "contentVersion": "1.0.0.0",
       "parameters": {
           "vmsToUpgrade": {
               "value": {
                   "virtualMachines": [
                       {
                           "vmName": "myVm01",
                           "___location": "westus3",
                           "secureBootEnabled": true
                       },
                       {
                           "vmName": "myVm02",
                           "___location": "westus3",
                           "secureBootEnabled": true
                       }
                   ]
               }
           }
       }
   }
   

   パラメータ ファイルの定義

   プロパティ	プロパティの説明	テンプレート値の例
   vmName	Azure VM の名前。	myVm
   ___location	Azure VM の場所。	westus3
   secureBootEnabled	トラステッド起動のセキュリティの種類でセキュア ブートを有効にする。	true

3. 更新するすべての Azure VM の割り当てを解除します。

   Stop-AzVM -ResourceGroupName myResourceGroup -Name myVm01
   

4. ARM テンプレートのデプロイを実行します。

   $resourceGroupName = "myResourceGroup"
   $parameterFile = "folderPathToFile\parameters.json"
   $templateFile = "folderPathToFile\template.json"
   
   New-AzResourceGroupDeployment `
       -ResourceGroupName $resourceGroupName `
       -TemplateFile $templateFile -TemplateParameterFile $parameterFile
   

   

   

5. アップグレードされたトラステッド起動 VM を起動します。 RDP (Windows VM の場合) または SSH (Linux VM の場合) を使用して VM にサインインできることを確認します。