vTPM ベースの信頼されたインスタンスを検索し、セキュリティセンターでその信頼された状態を検証し、信頼性の例外または未測定状態に対処します。
インスタンスの信頼された状態の確認
完全性測定ベンチマークは、インスタンスの作成時に生成されます。その後の起動時には、収集された測定値がこのベンチマークと比較されます。比較結果は信頼された状態を示し、セキュリティセンター コンソールに表示されます。
ECS コンソール - インスタンスに移動します。
上部メニューで、対象リソースのリージョンとリソースグループを選択します。
インスタンス ページで、[タグでフィルター] をクリックし、[acs:ecs:supportVtpm] を選択して信頼できるインスタンスをフィルターします。
ターゲットの信頼できるインスタンスを見つけ、オペレーティングシステム 列の
アイコンをクリックします。Security Center コンソールの [ホスト] ページにリダイレクトされます。
信頼ステータスを表示するには、[信頼情報] タブをクリックします。
[アセット起動概要] セクションの円は、[アセット内のコンポーネントの信頼ステータス] セクションのコンポーネントに対応します。[アセット起動概要] セクションの各円の色は、ステージが正常であるかどうかを示します。
すべて緑色：起動プロセスは正常です。[実測値] が [標準値] と一致します。
ステージが赤色の場合、そのステージでエラーが発生したことを示します。後続の円はグレーになります。[アラート] タブで詳細を確認し、例外を修正してください。「信頼例外を処理する」をご参照ください。
説明[信頼情報] タブに「[お使いのデバイスは未測定状態です]」と表示された場合、インスタンスは長期間にわたって有効な測定値を報告しておらず、詳細な信頼情報は表示されません。 詳細については、「未測定状態への対処」をご参照ください。
プラットフォーム構成レジスタ (PCR) は、起動プロセス中に収集されたステータス情報を格納する、信頼されたセキュリティデバイス内のストレージユニットです。各 PCR は起動段階に対応し、その値は測定対象のステータスを表します。実際の PCR 値が期待される標準値と一致する場合、その段階は正常と見なされます。各起動段階で測定される対象は以下の通りです。
pcr0: SRTM、BIOS、組み込みオプション ROM、PI ドライバー。
pcr1: ホストプラットフォーム構成。
pcr2: UEFI ドライバーとアプリケーション コード。
pcr3: UEFI ドライバー、アプリケーション構成、およびアプリケーション データ。
pcr4: UEFI ブート管理コード (通常は MBR)。
pcr5: UEFI ブート管理コード (通常は MBR)、ブート関連データ (UEFI ブート管理コードで使用)、GPT パーティションテーブル。
pcr6: プラットフォームメーカー固有の UEFI ファームウェア。
pcr7: セキュアブートポリシー。
pcr8: grub.cfg などの構成ファイルからの重要なコマンド、および Linux カーネルに渡されるコマンドライン情報。ブートメニューのタイトル定義などの重要でないコマンドは測定されません。
pcr9: GRUB モジュール、Linux カーネル、initramfs。
説明詳細な定義については、「ISO/IEC 11889:2015 Trusted Platform Module Library」をご参照ください。
信頼性の例外への対処
ブートステージが失敗すると、[信頼情報] タブの円が赤色に変わります。[アラート] タブに移動してアラートの詳細を表示し、例外を修正します。
[アラート] タブをクリックし、[アラートタイプ] を [信頼できる例外] に設定します。
エラー詳細を表示するには、アラートの右側にある詳細をクリックします。
説明未処理のアラートは定期的に発生しますが、同じ例外に対しては新しいアラートは生成されません。[最終発生日時] 列には、最後の発生日時のみが表示されます。
システム管理者に連絡して、OS カーネルのアップグレード、起動パラメータの変更、initramfs の変更など、最近のシステム アップグレードまたはメンテナンス操作があったかどうかを確認してください。その後、結果に基づいて以下のいずれかの対応を行ってください。
シナリオ 1： 最近のシステム アップグレードまたはメンテナンスがない — 確認後にアラートを無視します。
ルートキットやブートキット マルウェアなどのセキュリティイベントがインスタンスで発生した可能性があります。システム管理者に連絡して詳細な確認を行い、例外を修正した後、アラートを無視してください。
Security Center コンソールで [ウイルス対策] 機能と [脆弱性] 機能を有効にします。 ウイルスライブラリを更新し、マルウェアをスキャンし、検出された脆弱性を修正します。
[アラート] タブで、プロセス をクリックします。
無視 を選択し、ビュー をクリックします。
複数のインスタンスで同じアラートを同時に処理するには、[同じアラームを同時に処理する] を選択します。
重要無視 したアラートは、[信頼済み情報] タブに表示され続けます。セキュリティセンターは、インスタンスが再起動され、検証に合格するまで、定期的にアラートを生成し続けます。
シナリオ 2： 最近のシステム アップグレードまたはメンテナンスがある — 確認後にホワイトリストを追加します。
システムのアップグレードまたはメンテナンス後、アップグレード後のステータスが新しいベンチマークになります。各起動段階の PCR 値も新しいベンチマーク値になります。[ホワイトリストの追加] を選択します。
ホワイトリストに登録された実測値が新しいベンチマーク値になります。
未測定状態への対処
[信頼情報] タブに「[デバイスが未測定の状態です]」と表示される場合、信頼インスタンスは長期間にわたって有効な測定値を報告していません。 これは通常、信頼クライアントが Trusted System サービスにアクセスできないことが原因で発生します。 次のようにトラブルシューティングします。
インスタンス RAM ロールを確認します。
インスタンス RAM ロールがアタッチされていない場合は、必要なロールをアタッチしてください。
インスタンス RAM ロールがアタッチされている場合は、信頼システムサービスへのアクセス権があることを確認してください。「信頼されたインスタンスの作成」をご参照ください。
ネットワーク接続を確認します。
信頼されたインスタンスでネットワーク接続を確認してください。
ping trusted-server-vpc.<region-id>.aliyuncs.com<region-id> を信頼されたインスタンスのリージョン ID に置き換えてください。応答があれば、接続は正常です。
セキュリティグループの設定を確認します。
信頼されたインスタンスに関連付けられているセキュリティグループが、
trusted-server-vpc.<region-id>.aliyuncs.comへのアクセスを拒否していないことを確認してください。クライアントのステータスを確認します。
systemctl status t-trustclientを実行して、クライアントのステータスを確認してください。クライアントがrunning状態でない場合は、systemctl restart t-trustclientを実行して再起動してください。