虛擬信賴平台模組 (vTPM) 功能可讓您將 TPM 2.0 虛擬密碼處理器新增至虛擬機器。

虛擬信賴平台模組概觀

vTPM 會在軟體中執行密碼編譯副處理器功能。新增至虛擬機器時,vTPM 可讓客體作業系統建立和儲存私有金鑰。這些金鑰不會向客體作業系統本身公開。因此,會減少虛擬機器攻擊面。通常,破壞客體作業系統會破壞其密碼,但啟用 vTPM 可大幅降低此風險。這些金鑰僅供客體作業系統用於加密或簽署。透過附加的 vTPM,第三方可遠端證明 (驗證) 韌體和客體作業系統的身分識別。

您可以將 vTPM 新增至新虛擬機器或現有的虛擬機器。vTPM 視虛擬機器加密來保護重要的 TPM 資料。當您設定 vTPM 時,虛擬機器加密會自動加密虛擬機器檔案,而不是磁碟。您可以選擇為虛擬機器及其磁碟明確新增加密。

您也可以備份已啟用 vTPM 的虛擬機器。備份必須包含所有虛擬機器資料,包括*.nvram 檔案。如果您的備份未包含*.nvram 檔案,則無法使用 vTPM 還原虛擬機器。此外,由於啟用 vTPM 之虛擬機器的虛擬機器主檔案已加密,請確保加密金鑰在還原時可供使用。

備註: 依預設,沒有儲存區原則與已啟用 vTPM 的虛擬機器相關聯。僅加密虛擬機器檔案 (虛擬機器主檔案)。如果您願意,可以選擇為虛擬機器及其磁碟明確新增加密,但虛擬機器檔案已加密。

vTPM 的需求

若要使用 vTPM,您的 vSphere 環境必須符合下列需求:

  • 虛擬機器需求:
    • EFI 韌體
    • 硬體版本 14
  • 元件需求:
    • vCenter Server6.7。
    • 虛擬機器加密 (加密虛擬機器主檔案)。
  • 客體作業系統支援:
    • Windows Server 2016 (64 位元)
    • Windows 10 (64 位元)

硬體 TPM 和虛擬 TPM 之間的差異

將硬體信賴平台模組 (TPM) 用作密碼編譯副處理器,以提供安全的認證或金鑰儲存區。vTPM 與 TPM 執行相同的功能,但在軟體中執行密碼編譯副處理器功能。vTPM 使用.nvram 檔案做為其安全的儲存區,該檔案透過虛擬機器加密進行加密。

硬體 TPM 包含預先載入的金鑰,稱為簽署金鑰 (EK)。EK 具有私密和公開金鑰。EK 為 TPM 提供唯一的身分識別。對於 vTPM,將由 VMware Certificate Authority (VMCA) 或第三方憑證授權機構 (CA) 提供此金鑰。一旦 vTPM 使用金鑰,該金鑰通常不會變更,因為這樣做會導致 vTPM 中儲存的敏感資訊失效。vTPM 在任何時候都不會連線 CA。