测量靴补充包
Citrix Hypervisor Measured Boot supplementary Pack允许客户在启动时测量其Citrix Hypervisor主机的关键组件。它还提供api,使远程认证解决方案能够安全地收集这些度量。此补充包与英特尔计算机系统兼容,支持可信执行技术(三)。
这个补充包可以从Citrix HyperVisor 8.2高级版页面。
笔记:
测量启动补充包可用于Citrix Hypervisor高级版客户,或那些通过Citrix虚拟应用程序和桌面授权访问Citrix Hypervisor的客户。
背景
安装这个补充包之后,当Citrix Hypervisor服务器下次启动时,Intel的TXT将测量低级系统组件(例如固件、BIOS、Xen Hypervisor、dom0内核和dom0initrd.
)。这些测量数据存储在主机上的一个安全位置,称为可信平台模块(TPM)。为客户端提供了一个新的接口,例如远程认证解决方案,以安全地收集这些度量。
远程认证
远程证明解决方案通过连接到“已知良好”清洁状态的Citrix虚拟机管理服务器。它可以远程和安全地查询Citrix HyperVisor Server的TPM以获取低级密钥系统测量列表。它将这些测量值存储在“白名单”或“已知的好”测量列表中。
此时,远程证明软件定期收集密钥系统测量并将其与其“已知良好”列表进行比较。
在以下情况下,主机被认为是“不可信的”:
- 如果远程认证软件无法收集测量数据
- 如果测量值改变
- 如果加密密钥无效
在这种情况下,会通知客户。CloudStack、OpenStack、负载均衡等高级业务软件可以对故障主机进行智能安全操作。
准备Citrix Hypervisor服务器
对于此补充组可以正确运行,在尝试收集数据之前,请在主机BIOS中编辑以下设置:
设置Citrix HyperVisor服务器以在传统模式下引导。
笔记:
测量引导不支持UEFI引导模式。
使能够英特尔AES-NI。
开关TPM的安全或与预启动测量有关。
TPM。
此操作将擦除与TPM相关的任何以前的设置和密码,以允许Citrix Hypervisor Measured Boot supplementary Pack控制TPM。
笔记:
在此步骤之后需要重新启动。
使能够TPM。
使能够英特尔TXT。
笔记:
- 在步骤5和步骤6之后需要重新启动。
- 不同厂商的BIOS设置不同。请参阅硬件文档,了解如何为特定环境启用TPM和TXT。
安装补充包
使用Citrix虚拟机管理程序CLI安装此补充包。与任何软件更新一样,我们建议您在应用此补充包之前备份您的数据。
可以在a内传输补充包邮政编码文件。如果补充包ISO包含在一个zip文件中,在执行以下步骤之前,先解压缩这个zip文件(以生成磁盘ISO映像)。
安装到正在运行的Citrix Hypervisor系统上
将补充包直接下载到要更新的Citrix虚拟机管理程序主机。
我们建议将其存储在
/ tmp /
目录。或者,您可以将该文件下载到连接到Internet连接的计算机,并将ISO映像刻录到CD。
使用xencenter访问Citrix虚拟机管理程序主机控制台,或使用Secure Shell(SSH)直接登录。
最简单的方法是直接从ISO文件安装。输入以下:
xe-install-supplemental-pack / tmp / Citrix hypervisor - 8.2 -测量-引导。iso < !——NeedCopy >
或者,如果您选择将ISO刻录到CD中,则必须挂载磁盘。以CD-ROM为例,输入如下信息:
Mkdir -p /mnt/tmp mount /dev/< CD -rom路径> /mnt/tmp CD /mnt/tmp/ ./install.sh CD / umount /mnt/tmp
要使更改生效,请重新启动主机。
重新安装
如果在以前版本的顶部安装此补充组,请确认覆盖以前的安装。进入y
当提示时xe-install-supplemental-pack
安装。
更新默认密码
在补充包的以前版本中,默认密码被设置为xenroot
带着尾随换行符。此尾随换行符已被删除为此版本的补充组件中的默认密码,其中包含新的默认密码xenroot
。
可以设置自定义密码/ opt / xensource / tpm / config
并且必须是纯文本密码的SHA1哈希,可以使用Echo -n
- n
在此命令行中省略,则在密码中包含尾随换行符。
设置资产标签
属性可以设置资产标签/ opt / xensource / tpm / xentpm
二进制与--tpm_set_asset_tag.
和-tpm_clear_asset_tag.
方法,或使用管理APItpm
插件的tpm_set_asset_tag.
(拍摄“标签”论证)和tpm_clear_asset_tag.
功能:
/ opt / xensource / tpm / xentpm -tpm_set_asset_tag / opt / xensource / tpm / xentpm --tpm_clear_asset_tag xe host-call-plugin uuid = plugin = tpm fn = tpm_set_asset_tag args:tag = xehost-call-plugin uuid = plugin = tpm fn = tpm_clear_asset_tag <! - caltcopy - >
笔记:
在此步骤之后需要重新启动。
更多信息
要下载测量的启动补充包,请参阅Citrix HyperVisor 8.2高级版页面。
如果您在安装此补充包时遇到任何困难,请联系Citrix技术支持。
有关Citrix Hypervisor 8.2的文档,请访问Citrix产品文档网站。