Red Hat Summit Red Hat Summitサポートコンソール開発者トライアルの開始お問い合わせ

19.7. IBM Z での IBM Secure Execution の設定

IBM Z ハードウェアを使用して RHEL 9 ホストを実行する場合は、仮想マシン (VM) の IBM Secure Execution 機能を設定して、仮想マシンのセキュリティーを強化できます。

IBM Secure Execution (Protected Virtualization とも呼ばれる) は、ホストシステムが仮想マシンの状態とメモリーのコンテンツにアクセスできないようにします。その結果、ホストが危険にさらされても、ゲストオペレーティングシステムを攻撃するベクトルとして使用できません。さらに、セキュア実行を使用して、信頼できないホストが仮想マシンから機密情報を取得しないようにすることもできます。

IBM Secure Execution を有効にすることで、IBM Z ホスト上の既存の仮想マシンを安全な仮想マシンに変換できます。

重要

実稼働環境を保護するには、ワークロードをさらに保護する方法を説明している Secure Execution を使用したワークロードの完全な保護に関する IBM ドキュメント を参照してください。

前提条件

  • システムハードウェアに以下のいずれかを使用している。

    • IBM z15 以降
    • IBM LinuxONE III 以降

  • Secure Execution 機能がお使いのシステムで有効になっている。確認するには、次のコマンドを実行します。 

    # grep facilities /proc/cpuinfo | grep 158
    Copy to Clipboard Toggle word wrap

    このコマンドで出力が表示された場合には、お使いの CPU は Secure Execution と互換性があります。

  • カーネルに Secure Execution のサポートが含まれている。これを確認するには、次のコマンドを実行します。 

    # ls /sys/firmware | grep uv
    Copy to Clipboard Toggle word wrap

    このコマンドで出力が表示された場合には、カーネルで Secure Execution がサポートされています。

  • ホストの CPU モデルに unpack 機能が含まれている。これを確認するには、次のコマンドを実行します。 

    # virsh domcapabilities | grep unpack
<feature policy='require' name='unpack'/>
    Copy to Clipboard Toggle word wrap

    このコマンドで上記の出力が表示された場合には、お使いの CPU ホストモデルは Secure Execution と互換性があります。

  • 仮想マシンの CPU モードが host-model に設定されている。 

    # virsh dumpxml <vm_name> | grep "<cpu mode='host-model'/>"
    Copy to Clipboard Toggle word wrap

    このコマンドで出力が表示された場合には、仮想マシンの CPU モデルは正しく設定されています。

  • genprotimg パッケージがホストにインストールされている必要がある。 

    # dnf install genprotimg
    Copy to Clipboard Toggle word wrap

  • ホストから直接仮想マシンイメージを変更する場合に備えて、guestfs-tools パッケージがホストにインストールされています。 

    # dnf install guestfs-tools
    Copy to Clipboard Toggle word wrap
  • IBM Z のホストキーのドキュメントを取得および確認している。詳細は、IBM ドキュメントの Verifying the host key document を参照してください。

手順

お使いのホスト で、以下の手順を実行します。

  1. ホストのブート設定に prot_virt=1 カーネルパラメーターを追加します。 

    # grubby --update-kernel=ALL --args="prot_virt=1"
    Copy to Clipboard Toggle word wrap

  2. ブートメニューを更新します。

    # zipl

  3. virsh edit を使用して、セキュリティー保護する仮想マシンの XML 設定を変更します。

  4. <launchSecurity type="s390-pv"/> を </devices> 行の下に追加します。以下に例を示します。 

    [...]
    </memballoon>
  </devices>
  <launchSecurity type="s390-pv"/>
</domain>
    Copy to Clipboard Toggle word wrap
  5. 設定の <devices> セクションに virtio-rng デバイス (<rng model="virtio">) が含まれている場合は、<rng> </rng> ブロックのすべての行を削除します。

  6. オプション: 保護する仮想マシンが 32 GiB 以上の RAM を使用している場合は、XML 設定の <features></features> セクションに <async-teardown enabled='yes'/> 行を追加します。

    これにより、そのような Secure Execution ゲストの再起動または停止のパフォーマンスが向上します。

以下のいずれかのセクションの手順に進みます。ゲストにログインして、Secure Execution 用に手動で設定するか、スクリプトおよび guestfs-tools を使用してホストから直接ゲストイメージを設定できます。

Secure Execution の仮想マシンの手動設定

セキュリティーを保護する仮想マシンの ゲストオペレーティングシステム で、以下の手順を実行します。

  1. パラメーターファイルを作成します。以下に例を示します。 

    # touch ~/secure-parameters
    Copy to Clipboard Toggle word wrap

  2. /boot/loader/entries ディレクトリーで、最新バージョンのブートローダーエントリーを特定します。 

    # ls /boot/loader/entries -l
[...]
-rw-r--r--. 1 root root  281 Oct  9 15:51 3ab27a195c2849429927b00679db15c1-4.18.0-240.el8.s390x.conf
    Copy to Clipboard Toggle word wrap

  3. ブートローダーエントリーからカーネルオプションの行を取得します。 

    # cat /boot/loader/entries/3ab27a195c2849429927b00679db15c1-4.18.0-240.el8.s390x.conf | grep options
options root=/dev/mapper/rhel-root
rd.lvm.lv=rhel/root rd.lvm.lv=rhel/swap
    Copy to Clipboard Toggle word wrap

  4. オプションの行の内容と swiotlb=262144 を作成したパラメーターのファイルに追加します。 

    # echo "root=/dev/mapper/rhel-root rd.lvm.lv=rhel/root rd.lvm.lv=rhel/swap swiotlb=262144" > ~/secure-parameters
    Copy to Clipboard Toggle word wrap

  5. 新しい IBM Secure Execution イメージを生成します。

    たとえば、以下は secure-parameters ファイル、/boot/initramfs-4.18.0-240.el8.s390x.img 初期 RAM ディスクファイル、および HKD-8651-000201C048.crt ホストキードキュメントを使用して、/boot/vmlinuz-4.18.0-240.el8.s390x イメージをもとに、セキュアなイメージ (/boot/secure-image) を作成します。 

    # genprotimg -i /boot/vmlinuz-4.18.0-240.el8.s390x -r /boot/initramfs-4.18.0-240.el8.s390x.img -p ~/secure-parameters -k HKD-8651-00020089A8.crt -o /boot/secure-image
    Copy to Clipboard Toggle word wrap

    genprotimg ユーティリティーを使用すると、カーネルパラメーター、初期 RAM ディスク、ブートイメージを含む、セキュアなイメージが作成されます。

  6. 仮想マシンのブートメニューを更新して、セキュアなイメージから起動します。さらに、initrd および オプション で始まる行は必要ないので削除します。

    たとえば、RHEL 8.3 仮想マシンでは、/boot/loader/entries/ ディレクトリーでブートメニューの編集が可能です。 

    # cat /boot/loader/entries/3ab27a195c2849429927b00679db15c1-4.18.0-240.el8.s390x.conf
title Red Hat Enterprise Linux 8.3
version 4.18.0-240.el8.s390x
linux /boot/secure-image
[...]
    Copy to Clipboard Toggle word wrap

  7. ブート可能なディスクイメージの作成 

    # zipl -V
    Copy to Clipboard Toggle word wrap

  8. 保護されていない元のファイルを安全に削除します。以下に例を示します。 

    # shred /boot/vmlinuz-4.18.0-240.el8.s390x
# shred /boot/initramfs-4.18.0-240.el8.s390x.img
# shred secure-parameters
    Copy to Clipboard Toggle word wrap

    元のブートイメージ、初期 RAM イメージ、およびカーネルパラメーターファイルは保護されていません。削除しない場合には、Secure Execution が有効になっている仮想マシンで、ハッキングまたは機密データマイニングの攻撃を受ける可能性があります。

ホストから直接 Secure Execution の仮想マシンを設定する

guestfs-tools を使用して、手動で起動せずに既存のイメージを変更できます。ただし、以下の例はテスト環境および開発環境でのみ使用してください。実稼働環境を保護するには、Secure Execution を使用したワークロードの完全な保護に関する IBM ドキュメント を参照してください。

ホストで 以下の手順を実行します。

  1. ホストキードキュメントを含むスクリプトと、Secure Execution を使用するように既存の仮想マシンを設定するスクリプトを作成します。以下に例を示します。 

    #!/usr/bin/bash

echo "$(cat /proc/cmdline) swiotlb=262144" > parmfile

cat > ./HKD.crt << EOF
-----BEGIN CERTIFICATE-----
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
xLPRGYwhmXzKDg==
-----END CERTIFICATE-----
EOF

version=$(uname -r)

kernel=/boot/vmlinuz-$version
initrd=/boot/initramfs-$version.img

genprotimg -k ./HKD.crt -p ./parmfile -i $kernel -r $initrd -o /boot/secure-linux --no-verify

cat >> /etc/zipl.conf<< EOF

[secure]
target=/boot
image=/boot/secure-linux
EOF

zipl -V

shutdown -h now
    Copy to Clipboard Toggle word wrap
  2. 仮想マシンがシャットダウンしていることを確認します。

  3. guestfs-tools を使用して既存の仮想マシンイメージにスクリプトを追加し、最初の起動時に実行 するようにマークします。 

    # virt-customize -a <vm_image_path> --selinux-relabel --firstboot <script_path>
    Copy to Clipboard Toggle word wrap

  4. 追加したスクリプトを使用して、イメージから仮想マシンを起動します。

    スクリプトは初回起動時に実行され、続いて仮想マシンを再度シャットダウンします。その結果、仮想マシンは、対応するホストキーを持つホスト上の Secure Execution で実行するように設定されます。

検証

  • ホストで、virsh dumpxml ユーティリティーを使用して、セキュアな仮想マシンの XML 設定を確認します。設定には <launchSecurity type="s390-pv"/> 要素を含み、<rng model="virtio"> 行は使用しないでください。 

    # virsh dumpxml vm-name
[...]
  <cpu mode='host-model'/>
  <devices>
    <disk type='file' device='disk'>
      <driver name='qemu' type='qcow2' cache='none' io='native'>
      <source file='/var/lib/libvirt/images/secure-guest.qcow2'/>
      <target dev='vda' bus='virtio'/>
    </disk>
    <interface type='network'>
      <source network='default'/>
      <model type='virtio'/>
    </interface>
    <console type='pty'/>
    <memballoon model='none'/>
  </devices>
  <launchSecurity type="s390-pv"/>
</domain>
    Copy to Clipboard Toggle word wrap
トップに戻る
Red Hat logoGithubredditYoutubeTwitter

詳細情報

試用、購入および販売

コミュニティー

Red Hat ドキュメントについて

Red Hat をお使いのお客様が、信頼できるコンテンツが含まれている製品やサービスを活用することで、イノベーションを行い、目標を達成できるようにします。 最新の更新を見る.

多様性を受け入れるオープンソースの強化

Red Hat では、コード、ドキュメント、Web プロパティーにおける配慮に欠ける用語の置き換えに取り組んでいます。このような変更は、段階的に実施される予定です。詳細情報: Red Hat ブログ.

会社概要

Red Hat は、企業がコアとなるデータセンターからネットワークエッジに至るまで、各種プラットフォームや環境全体で作業を簡素化できるように、強化されたソリューションを提供しています。

Theme

© 2025 Red Hat