Create a trusted instance to provide comprehensive trusted protection for the instance - Elastic Compute Service

Güven bilgilerini Security Center'a raporlamak için gerekli izinlere sahip bir güvenilir örnek oluşturun.

Güvenilir örnek oluşturun

Console

Güvenilir bir örnek oluşturmak, aşağıdaki yapılandırmalar hariç olmak üzere normal bir örnek oluşturma adımlarıyla aynıdır. Genel yapılandırmalar için bkz. Sihirbaz kullanarak bir örnek oluşturun.

ECS console - Instances şuraya gidin.
Create Instance tıklayın.
Instance and Image bölümünde aşağıdaki ayarları yapılandırın.
- Instance: vTPM etkinleştirilmiş bir örnek türü seçin. Bkz. Güvenilir bilgi işlemi destekleyen örnek aileleri.
- Images:
  1. Trusted System seçeneğini belirleyin.
    
    Not
    Trusted System seçeneğini belirlerseniz Alibaba Cloud Trusted System etkinleştirilir ve başlangıçta güven doğrulaması gerçekleştirir. Kendi güvenilir hizmet sisteminizi oluşturuyorsanız bu adımı atlayın.
  2. Örnek aileniz için desteklenen bir görüntü sürümü seçin.
Bandwidth and Security Group bölümünde bir güvenlik grubu seçin. Activate KMS iletişim kutusu görünürse Activate tıklayın.

KMS etkinleştirilmelidir; aksi takdirde örnek oluşturma işlemi başarısız olur.
Advanced Options tıklayın ve Instance RAM Role öğesini yapılandırın.

Trusted System seçtiyseniz güvenilir hizmet izinlerine sahip bir RAM rolü atayın. Alibaba Cloud AliyunECSInstanceForYundunSysTrustRole rolünü sağlar. Bu rolü atamak için aşağıdaki adımları izleyin:

Not
Özel roller için bkz. Kullanım notları.
1. Authorize tıklayın.
  
  Instance RAM Role bölümünde sistem şu uyarıyı görüntüler: Bu örnekte güvenilir sistem hizmetleri etkinleştirilmiştir. Örneğin güvenilir hizmet sistemine erişmesi için RAM rolü izinlerini yapılandırmanız ve ilgili RAM rolünü atamanız gerekir.
2. Authorize Access to Cloud Resources iletişim kutusunda Authorize tıklayın
3. Yeni pencerede Authorize tıklayın.
4. Authorized tıklayın.
  
  Cloud Resource Access Authorization iletişim kutusunda rol adının AliyunECSInstanceForYundunSysTrustRole olduğunu onaylayın; bu rol, ECS'nin Trusted System (SysTrust) kaynaklarına erişmesi için kullanılır.
5. AliyunECSInstanceForYundunSysTrustRole RAM rolünü seçin.
  
  Not
  Yetkilendirmeyi örnek oluşturulduktan sonra da verebilirsiniz. Bkz. Örnek RAM rolü.
Kalan yapılandırmaları tamamlayın ve örneği oluşturun.

API

Bir güvenilir örnek oluşturmak için API çağrısı yaparken aşağıdakilere dikkat edin:

Önce KMS'yi etkinleştirin; aksi takdirde örnek oluşturma işlemi başarısız olur. Bkz. Key Management Service'i Etkinleştirin.
Alibaba Cloud Trusted System kullanıyorsanız örneğin başlangıçta güven bilgilerini Security Center'a raporlayabilmesi için güvenilir hizmet izinlerine sahip bir RAM rolü atayın. Bkz. Örnek RAM rolü. Özel RAM rolleri için bkz. Kullanım notları.

Not
Kendi güvenilir hizmet sisteminizi oluşturuyorsanız bu RAM rolü gerekli değildir.

Bir örnek oluşturmak için RunInstances veya CreateInstance API'lerini çağırın. Aşağıdaki parametreleri yapılandırın.

Parametre	Açıklama	Örnek
InstanceType	vTPM etkinleştirilmiş bir örnek türü belirtin. Bkz. Güvenilir bilgi işlemi destekleyen örnek aileleri.	ecs.c6t.large
ImageId	Güvenilir örnekleri destekleyen bir görüntü kimliği belirtin. Görüntü kimliklerini sorgulamak için DescribeImages API'sini çağırın.	aliyun_2_1903_x64_20G_secured_alibase_20210325.vhd
SystemDisk.Category	Yalnızca ESSD diskler desteklenir.	cloud_essd
VSwitchId	Yalnızca VPC'ler desteklenir. Bir vSwitch kimliği belirtin.	vsw-bp134jzf285qg9u6w****
RamRoleName	RAM rolü adını belirtin. Rolü örnek oluşturulduktan sonra atamak için AttachInstanceRamRole API'sini de çağırabilirsiniz.	AliyunECSInstanceForYundunSysTrustRole
UserData	Alibaba Cloud Trusted System için Base64 kodlu kurulum betiğini belirtin. Base64 kodlamadan önceki düz metin betiği için bkz. Alibaba Cloud Trusted System kurulum betiği.	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
SecurityOptions.TrustedSystemMode	Güvenilir sistem modu. InstanceType değeri g7t, c7t veya r7t olarak ayarlanmışken RunInstances API'sini çağırdığınızda `SecurityOptions.TrustedSystemMode=vTPM` ayarlayın. Aksi durumda bu parametreyi yoksayın. Not API kullanarak güvenilir bir sistem ECS örneği oluşturmak için yalnızca RunInstances API'sini çağırabilirsiniz. CreateInstance API'si `SecurityOptions.TrustedSystemMode` parametresini desteklemez.	vTPM

Örnek istek:

https://ecs.aliyuncs.com/?Action=RunInstances
&RegionId=cn-hangzhou
&InstanceType=ecs.c6t.large
&ImageId=aliyun_2_1903_x64_20G_secured_alibase_20210325.vhd
&SystemDisk.Category=cloud_essd
&VSwitchId=vsw-bp134jzf285qg9u6w****
&SecurityGroupId=sg-bp1c3o8hzd14dovh****
&RamRoleName=AliyunECSInstanceForYundunSysTrustRole
&UserData=IyEvYmluL3NoCkNVUlBBVEg9YHB3ZGAKU0NSSVBUX1BBVEg9Ii9kb3dubG9hZC9saW51eC9zY3JpcHQvVHJ1c3RBZ2VudEluc3RhbGwuc2giClRPS0VOPWBjdXJsIC1zIC1YIFBVVCAtSCAiWC1hbGl5dW4tZWNzLW1ldGFkYXRhLXRva2VuLXR0bC1zZWNvbmRzOiA1IiAiaHR0cDovLzEwMC4xMDAuMTAwLjIwMC9sYXRlc3QvYXBpL3Rva2VuImAKUkVHSU9OX0lEPWBjdXJsIC1zIC1IICJYLWFsaXl1bi1lY3MtbWV0YWRhdGEtdG9rZW46ICR0b2tlbiIgaHR0cDovLzEwMC4xMDAuMTAwLjIwMC9sYXRlc3QvbWV0YS1kYXRhL3JlZ2lvbi1pZGAKVVBEQVRFX1NJVEUxPWh0dHA6Ly90cnVzdGNsaWVudC0ke1JFR0lPTl9JRH0ub3NzLSR7UkVHSU9OX0lEfS1pbnRlcm5hbC5hbGl5dW5jcy5jb20KVVBEQVRFX1NJVEUyPWh0dHA6Ly90cnVzdGNsaWVudC0ke1JFR0lPTl9JRH0ub3NzLSR7UkVHSU9OX0lEfS5hbGl5dW5jcy5jb20KVVBEQVRFX1NJVEUzPWh0dHA6Ly90LXRydXN0Y2xpZW50LSR7UkVHSU9OX0lEfS5vc3MteyRSRUdJT05fSUR9LWludGVybmFsLmFsaXl1bmNzLmNvbQpNU0dfSU5GTz0iZG93bmxvYWRpbmcgaW5zdGFsbCBzY3JpcHQgZnJvbSBzaXRlIgpNU0dfRVJSPSJkb3dubG9hZCBmaWxlIGVycm9yLiIKTVNHX09LPSJ0cnVzdCBjbGllbnQgaW5pdCBkb25lLiIKCmluc3RhbGwoKQp7CmVjaG8gIiR7TVNHX0lORk99IiIgMS4uLiIKY3VybCAtZnNTTCAiJHtVUERBVEVfU0lURTF9IiIke1NDUklQVF9QQVRIfSJ8c2gKaWYgWyAkPyA9PSAwIF07IHRoZW4KcmV0dXJuIDEKZmkKZWNobyAiJHtNU0dfSU5GT30iIiAyLi4uIgpjdXJsIC1mc1NMICIke1VQREFURV9TSVRFMn0iIiR7U0NSSVBUX1BBVEh9InxzaAppZiBbICQ/ID09IDAgXTsgdGhlbgpyZXR1cm4gMgpmaQplY2hvICIke01TR19JTkZPfSIiIDMuLi4iCmN1cmwgLWZzU0wgIiR7VVBEQVRFX1NJVEUzfSIiJHtTQ1JJUFRfUEFUSH0ifHNoCmlmIFsgJD8gPT0gMCBdOyB0aGVuCnJldHVybiAzCmZpCmVjaG8gIiIgMT4mMgpleGl0IDEKfQoKaW5zdGFsbAplY2hvICIke01TR19PS30iCgpleGl0IDAK
&<Common request parameters>

Örnek yanıtlar:

XML biçimi

<RunInstancesResponse>
      <RequestId>04F0F334-1335-436C-A1D7-6C044FE73368</RequestId>
      <InstanceIdSets>
            <InstanceIdSet>i-bp16byi4f3fti5b3****</InstanceIdSet>
      </InstanceIdSets>
</RunInstancesResponse>

JSON biçimi

{
    "RequestId": "BB694A51-7860-4B5C-B906-9B4077798672",
    "InstanceIdSets": {
        "InstanceIdSet": [
            "i-bp16byi4f3fti5b3****"
        ]
    }
}

Kullanım notları

Gerekli minimum izinlere sahip özel bir ilke oluşturun ve bunu RAM rolüne ekleyin. System Policy (AliyunSysTrustFullAccess) veya Custom Policy kullanabilirsiniz. Aşağıdaki ilke, güvenilir hizmet için ayrıntılı izinler sağlar:

Önemli

RAM izinleri güvenlik riskleri içerir. En az ayrıcalık ilkesini uygulayın ve aşırı izin vermeyin. Bkz. Resource Access Management Nedir.

{
  "Statement": [
    {
      "Action": [
        "yundun-systrust:GenerateNonce",
        "yundun-systrust:GenerateAikcert",
        "yundun-systrust:ProduceAikcert",
        "yundun-systrust:RegisterMessage",
        "yundun-systrust:PutMessage",
        "yundun-systrust:QuoteMessage"
      ],
      "Resource": "*",
      "Effect": "Allow"
    }
  ],
  "Version": "1"
}

Alibaba Cloud Trusted System kurulum betiği

#!/bin/sh
CURPATH=`pwd`
SCRIPT_PATH="/download/linux/script/TrustAgentInstall.sh"
TOKEN=`curl -s -X PUT -H "X-aliyun-ecs-metadata-token-ttl-seconds: 5" "http://100.100.100.200/latest/api/token"`
REGION_ID=`curl -s -H "X-aliyun-ecs-metadata-token: $token" http://100.100.100.200/latest/meta-data/region-id`
UPDATE_SITE1=http://trustclient-${REGION_ID}.oss-${REGION_ID}-internal.aliyuncs.com
UPDATE_SITE2=http://trustclient-${REGION_ID}.oss-${REGION_ID}.aliyuncs.com
UPDATE_SITE3=http://t-trustclient-${REGION_ID}.oss-{$REGION_ID}-internal.aliyuncs.com
MSG_INFO="downloading install script from site"
MSG_ERR="download file error."
MSG_OK="trust client init done."

install()
{
echo "${MSG_INFO}"" 1..."
curl -fsSL "${UPDATE_SITE1}""${SCRIPT_PATH}"|sh
if [ $? == 0 ]; then
return 1
fi
echo "${MSG_INFO}"" 2..."
curl -fsSL "${UPDATE_SITE2}""${SCRIPT_PATH}"|sh
if [ $? == 0 ]; then
return 2
fi
echo "${MSG_INFO}"" 3..."
curl -fsSL "${UPDATE_SITE3}""${SCRIPT_PATH}"|sh
if [ $? == 0 ]; then
return 3
fi
echo "" 1>&2
exit 1
}

install
echo "${MSG_OK}"

exit 0