Create a trusted instance to provide comprehensive trusted protection for the instance - Elastic Compute Service

Cree una instancia de confianza con los permisos obligatorios para reportar información de confianza a Security Center.

Crear una instancia de confianza

Console

La creación de una instancia de confianza sigue los mismos pasos que la de una instancia normal, pero con las configuraciones que se describen a continuación. Para conocer las configuraciones generales, consulte Create an instance using the wizard.

Vaya a ECS console - Instances.
Haga clic en Create Instance.
En la sección Instance and Image, configure los siguientes ajustes.
- Instance: seleccione un tipo de instancia compatible con vTPM. Consulte Instance families that support trusted computing.
- Images:
  1. Seleccione Trusted System.
    
    Nota
    Si selecciona Trusted System, se habilita el sistema de confianza de Alibaba Cloud y este ejecuta una verificación de confianza durante el inicio. Omita este paso si construye su propio sistema de servicio de confianza.
  2. Seleccione una versión de imagen compatible con la familia de su instancia.
En la sección Bandwidth and Security Group, seleccione un security group. Si aparece el cuadro de diálogo Activate KMS, haga clic en Activate.

Es obligatorio activar KMS; de lo contrario, la creación de la instancia falla.
Haga clic en Advanced Options y configure Instance RAM Role .

Si seleccionó Trusted System, asigne un rol de RAM con permisos de servicio de confianza. Alibaba Cloud proporciona el rol AliyunECSInstanceForYundunSysTrustRole. Siga estos pasos para asignarlo:

Nota
Para obtener información sobre roles personalizados, consulte Usage notes.
1. Haga clic en Authorize.
  
  En la sección Instance RAM Role, el sistema muestra el siguiente mensaje: This instance has trusted system services enabled. You must configure RAM role permissions and assign the corresponding RAM role for the instance to access the trusted service system.
2. En el cuadro de diálogo Authorize Access to Cloud Resources, haga clic en Authorize
3. En la nueva ventana, haga clic en Approve.
4. Haga clic en Authorized.
  
  En el cuadro de diálogo Cloud Resource Access Authorization, confirme que el nombre del rol sea AliyunECSInstanceForYundunSysTrustRole. Este rol permite que ECS acceda a los recursos del sistema de confianza (SysTrust).
5. Seleccione el rol de RAM AliyunECSInstanceForYundunSysTrustRole.
  
  Nota
  También puede otorgar la autorización después de crear la instancia. Consulte Instance RAM role.
Complete las configuraciones restantes y cree la instancia.

API

Al llamar a una API para crear una instancia de confianza, tenga en cuenta lo siguiente:

Active KMS primero; de lo contrario, la creación de la instancia falla. Consulte Activate Key Management Service.
Si utiliza el sistema de confianza de Alibaba Cloud, asigne un rol de RAM con permisos de servicio de confianza. Esto permite que la instancia reporte información de confianza a Security Center durante el inicio. Consulte Instance RAM role. Para obtener información sobre roles de RAM personalizados, consulte Usage notes.

Nota
Este rol de RAM no es obligatorio si construye su propio sistema de servicio de confianza.

Llame a RunInstances o CreateInstance para crear una instancia. Configure los siguientes parámetros.

Parámetro	Descripción	Ejemplo
InstanceType	Especifique un tipo de instancia compatible con vTPM. Consulte Instance families that support trusted computing.	ecs.c6t.large
ImageId	Especifique el identificador de una imagen compatible con instancias de confianza. Llame a DescribeImages para consultar los identificadores de imagen.	aliyun_2_1903_x64_20G_secured_alibase_20210325.vhd
SystemDisk.Category	Solo se admiten discos ESSD.	cloud_essd
VSwitchId	Solo se admiten VPC. Especifique el identificador de un vSwitch.	vsw-bp134jzf285qg9u6w****
RamRoleName	Especifique el nombre del rol de RAM. También puede llamar a AttachInstanceRamRole para asignar el rol después de crear la instancia.	AliyunECSInstanceForYundunSysTrustRole
UserData	Especifique el script de instalación del sistema de confianza de Alibaba Cloud codificado en Base64. Para consultar el script en texto plano antes de la codificación en Base64, consulte Script for installing the Alibaba Cloud Trusted System.	IyEvYmluL3NoCkNVUlBBVEg9YHB3ZGAKU0NSSVBUX1BBVEg9Ii9kb3dubG9hZC9saW51eC9zY3JpcHQvVHJ1c3RBZ2VudEluc3RhbGwuc2giClRPS0VOPWBjdXJsIC1zIC1YIFBVVCAtSCAiWC1hbGl5dW4tZWNzLW1ldGFkYXRhLXRva2VuLXR0bC1zZWNvbmRzOiA1IiAiaHR0cDovLzEwMC4xMDAuMTAwLjIwMC9sYXRlc3QvYXBpL3Rva2VuImAKUkVHSU9OX0lEPWBjdXJsIC1zIC1IICJYLWFsaXl1bi1lY3MtbWV0YWRhdGEtdG9rZW46ICRUT0tFTiIgaHR0cDovLzEwMC4xMDAuMTAwLjIwMC9sYXRlc3QvbWV0YS1kYXRhL3JlZ2lvbi1pZGAKVVBEQVRFX1NJVEUxPWh0dHA6Ly90cnVzdGNsaWVudC0ke1JFR0lPTl9JRH0ub3NzLSR7UkVHSU9OX0lEfS1pbnRlcm5hbC5hbGl5dW5jcy5jb20KVVBEQVRFX1NJVEUyPWh0dHA6Ly90cnVzdGNsaWVudC0ke1JFR0lPTl9JRH0ub3NzLSR7UkVHSU9OX0lEfS5hbGl5dW5jcy5jb20KVVBEQVRFX1NJVEUzPWh0dHA6Ly90LXRydXN0Y2xpZW50LSR7UkVHSU9OX0lEfS5vc3MtJHtSRUdJT05fSUR9LWludGVybmFsLmFsaXl1bmNzLmNvbQpNU0dfSU5GTz0iZG93bmxvYWRpbmcgaW5zdGFsbCBzY3JpcHQgZnJvbSBzaXRlIgpNU0dfRVJSPSJkb3dubG9hZCBmaWxlIGVycm9yLiIKTVNHX09LPSJ0cnVzdCBjbGllbnQgaW5pdCBkb25lLiIKCmluc3RhbGwoKQp7CmVjaG8gIiR7TVNHX0lORk99IiIgMS4uLiIKY3VybCAtZnNTTCAiJHtVUERBVEVfU0lURTF9IiIke1NDUklQVF9QQVRIfSJ8c2gKaWYgWyAkPyA9PSAwIF07IHRoZW4KcmV0dXJuIDEKZmkKZWNobyAiJHtNU0dfSU5GT30iIiAyLi4uIgpjdXJsIC1mc1NMICIke1VQREFURV9TSVRFMn0iIiR7U0NSSVBUX1BBVEh9InxzaAppZiBbICQ/ID09IDAgXTsgdGhlbgpyZXR1cm4gMgpmaQplY2hvICIke01TR19JTkZPfSIiIDMuLi4iCmN1cmwgLWZzU0wgIiR7VVBEQVRFX1NJVEUzfSIiJHtTQ1JJUFRfUEFUSH0ifHNoCmlmIFsgJD8gPT0gMCBdOyB0aGVuCnJldHVybiAzCmZpCmVjaG8gIiIgMT4mMgpleGl0IDEKfQoKaW5zdGFsbAplY2hvICIke01TR19PS30iCgpleGl0IDAK
SecurityOptions.TrustedSystemMode	Modo del sistema de confianza. Cuando llame a RunInstances con InstanceType establecido en g7t, c7t o r7t, establezca `SecurityOptions.TrustedSystemMode=vTPM`. De lo contrario, omita este parámetro. Nota Para crear una instancia de ECS con sistema de confianza mediante una API, solo puede llamar a RunInstances. CreateInstance no admite `SecurityOptions.TrustedSystemMode`.	vTPM

Ejemplo de solicitud:

https://ecs.aliyuncs.com/?Action=RunInstances
&RegionId=cn-hangzhou
&InstanceType=ecs.c6t.large
&ImageId=aliyun_2_1903_x64_20G_secured_alibase_20210325.vhd
&SystemDisk.Category=cloud_essd
&VSwitchId=vsw-bp134jzf285qg9u6w****
&SecurityGroupId=sg-bp1c3o8hzd14dovh****
&RamRoleName=AliyunECSInstanceForYundunSysTrustRole
&UserData=IyEvYmluL3NoCkNVUlBBVEg9YHB3ZGAKU0NSSVBUX1BBVEg9Ii9kb3dubG9hZC9saW51eC9zY3JpcHQvVHJ1c3RBZ2VudEluc3RhbGwuc2giClRPS0VOPWBjdXJsIC1zIC1YIFBVVCAtSCAiWC1hbGl5dW4tZWNzLW1ldGFkYXRhLXRva2VuLXR0bC1zZWNvbmRzOiA1IiAiaHR0cDovLzEwMC4xMDAuMTAwLjIwMC9sYXRlc3QvYXBpL3Rva2VuImAKUkVHSU9OX0lEPWBjdXJsIC1zIC1IICJYLWFsaXl1bi1lY3MtbWV0YWRhdGEtdG9rZW46ICRUT0tFTiIgaHR0cDovLzEwMC4xMDAuMTAwLjIwMC9sYXRlc3QvbWV0YS1kYXRhL3JlZ2lvbi1pZGAKVVBEQVRFX1NJVEUxPWh0dHA6Ly90cnVzdGNsaWVudC0ke1JFR0lPTl9JRH0ub3NzLSR7UkVHSU9OX0lEfS1pbnRlcm5hbC5hbGl5dW5jcy5jb20KVVBEQVRFX1NJVEUyPWh0dHA6Ly90cnVzdGNsaWVudC0ke1JFR0lPTl9JRH0ub3NzLSR7UkVHSU9OX0lEfS5hbGl5dW5jcy5jb20KVVBEQVRFX1NJVEUzPWh0dHA6Ly90LXRydXN0Y2xpZW50LSR7UkVHSU9OX0lEfS5vc3MtJHtSRUdJT05fSUR9LWludGVybmFsLmFsaXl1bmNzLmNvbQpNU0dfSU5GTz0iZG93bmxvYWRpbmcgaW5zdGFsbCBzY3JpcHQgZnJvbSBzaXRlIgpNU0dfRVJSPSJkb3dubG9hZCBmaWxlIGVycm9yLiIKTVNHX09LPSJ0cnVzdCBjbGllbnQgaW5pdCBkb25lLiIKCmluc3RhbGwoKQp7CmVjaG8gIiR7TVNHX0lORk99IiIgMS4uLiIKY3VybCAtZnNTTCAiJHtVUERBVEVfU0lURTF9IiIke1NDUklQVF9QQVRIfSJ8c2gKaWYgWyAkPyA9PSAwIF07IHRoZW4KcmV0dXJuIDEKZmkKZWNobyAiJHtNU0dfSU5GT30iIiAyLi4uIgpjdXJsIC1mc1NMICIke1VQREFURV9TSVRFMn0iIiR7U0NSSVBUX1BBVEh9InxzaAppZiBbICQ/ID09IDAgXTsgdGhlbgpyZXR1cm4gMgpmaQplY2hvICIke01TR19JTkZPfSIiIDMuLi4iCmN1cmwgLWZzU0wgIiR7VVBEQVRFX1NJVEUzfSIiJHtTQ1JJUFRfUEFUSH0ifHNoCmlmIFsgJD8gPT0gMCBdOyB0aGVuCnJldHVybiAzCmZpCmVjaG8gIiIgMT4mMgpleGl0IDEKfQoKaW5zdGFsbAplY2hvICIke01TR19PS30iCgpleGl0IDAK
&<Common request parameters>

Ejemplos de respuestas:

Formato XML

<RunInstancesResponse>
      <RequestId>04F0F334-1335-436C-A1D7-6C044FE73368</RequestId>
      <InstanceIdSets>
            <InstanceIdSet>i-bp16byi4f3fti5b3****</InstanceIdSet>
      </InstanceIdSets>
</RunInstancesResponse>

Formato JSON

{
    "RequestId": "BB694A51-7860-4B5C-B906-9B4077798672",
    "InstanceIdSets": {
        "InstanceIdSet": [
            "i-bp16byi4f3fti5b3****"
        ]
    }
}

Notas de uso

Cree una directiva personalizada con los permisos mínimos obligatorios y adjúntela al rol de RAM. Puede usar System Policy (AliyunSysTrustFullAccess) o Custom Policy. La siguiente directiva proporciona permisos detallados para el servicio de confianza:

Importante

Los permisos de RAM implican riesgos de seguridad. Aplique el principio de privilegio mínimo y evite otorgar permisos excesivos. Consulte What is Resource Access Management.

{
  "Statement": [
    {
      "Action": [
        "yundun-systrust:GenerateNonce",
        "yundun-systrust:GenerateAikcert",
        "yundun-systrust:ProduceAikcert",
        "yundun-systrust:RegisterMessage",
        "yundun-systrust:PutMessage",
        "yundun-systrust:QuoteMessage"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ],
  "Version": "1"
}

Script para instalar el sistema de confianza de Alibaba Cloud

#!/bin/sh
CURPATH=`pwd`
SCRIPT_PATH="/download/linux/script/TrustAgentInstall.sh"
TOKEN=`curl -s -X PUT -H "X-aliyun-ecs-metadata-token-ttl-seconds: 5" "http://100.100.100.200/latest/api/token"`
REGION_ID=`curl -s -H "X-aliyun-ecs-metadata-token: $token" http://100.100.100.200/latest/meta-data/region-id`
UPDATE_SITE1=http://trustclient-${REGION_ID}.oss-${REGION_ID}-internal.aliyuncs.com
UPDATE_SITE2=http://trustclient-${REGION_ID}.oss-${REGION_ID}.aliyuncs.com
UPDATE_SITE3=http://t-trustclient-${REGION_ID}.oss-{$REGION_ID}-internal.aliyuncs.com
MSG_INFO="downloading install script from site"
MSG_ERR="download file error."
MSG_OK="trust client init done."

install()
{
echo "${MSG_INFO}"" 1..."
curl -fsSL "${UPDATE_SITE1}""${SCRIPT_PATH}"|sh
if [ $? == 0 ]; then
return 1
fi
echo "${MSG_INFO}"" 2..."
curl -fsSL "${UPDATE_SITE2}""${SCRIPT_PATH}"|sh
if [ $? == 0 ]; then
return 2
fi
echo "${MSG_INFO}"" 3..."
curl -fsSL "${UPDATE_SITE3}""${SCRIPT_PATH}"|sh
if [ $? == 0 ]; then
return 3
fi
echo "" 1>&2
exit 1
}

install
echo "${MSG_OK}"

exit 0