19.3. Création d'une machine virtuelle SecureBoot
Vous pouvez créer une machine virtuelle (VM) Linux qui utilise la fonctionnalité SecureBoot, qui garantit que votre VM exécute un système d'exploitation signé cryptographiquement. Cela peut s'avérer utile si le système d'exploitation invité d'une VM a été modifié par un logiciel malveillant. Dans ce cas, SecureBoot empêche la VM de démarrer, ce qui bloque la propagation potentielle du logiciel malveillant sur votre machine hôte.
Conditions préalables
- La VM est le type de machine Q35.
- Votre système hôte utilise l'architecture AMD64 ou Intel 64.
Le paquet
edk2-OVMFest installé :# dnf install edk2-ovmfUne source d'installation du système d'exploitation (OS) est disponible localement ou sur un réseau. Il peut s'agir de l'un des formats suivants :
- Une image ISO d'un support d'installation
Une image disque d'une installation VM existante
AvertissementL'installation à partir d'un CD-ROM ou d'un DVD-ROM hôte n'est pas possible dans RHEL 9. Si vous sélectionnez un CD-ROM ou un DVD-ROM comme source d'installation lors de l'utilisation d'une méthode d'installation de VM disponible dans RHEL 9, l'installation échouera. Pour plus d'informations, consultez la base de connaissances de Red Hat.
- Facultatif : Un fichier Kickstart peut être fourni pour faciliter et accélérer la configuration de l'installation.
Procédure
Utilisez la commande
virt-installpour créer une machine virtuelle, comme indiqué dans la section Création de machines virtuelles à l'aide de l'interface de ligne de commande. Pour l'option--boot, utilisez la valeuruefi,nvram_template=/usr/share/OVMF/OVMF_VARS.secboot.fd. Cette commande utilise les fichiersOVMF_VARS.secboot.fdetOVMF_CODE.secboot.fdcomme modèles pour les paramètres de la mémoire vive non volatile (NVRAM) de la VM, ce qui permet d'activer la fonction SecureBoot.Par exemple :
# virt-install --name rhel8sb --memory 4096 --vcpus 4 --os-variant rhel9.0 --boot uefi,nvram_template=/usr/share/OVMF/OVMF_VARS.secboot.fd --disk boot_order=2,size=10 --disk boot_order=1,device=cdrom,bus=scsi,path=/images/RHEL-9.0-installation.iso- Suivez la procédure d'installation du système d'exploitation conformément aux instructions affichées à l'écran.
Vérification
- Une fois le système d'exploitation invité installé, accédez à la ligne de commande de la VM en ouvrant le terminal dans la console graphique de l'invité ou en vous connectant au système d'exploitation invité à l'aide de SSH.
Pour confirmer que SecureBoot a été activé sur la VM, utilisez la commande
mokutil --sb-state:# mokutil --sb-state SecureBoot enabled
Ressources supplémentaires
