ホーム
製品
Red Hat Enterprise Linux
10
Configuring and managing Linux virtual machines
18.8.2. ホストから IBM Secure Execution 用に仮想マシンを設定する

18.8.2. ホストから IBM Secure Execution 用に仮想マシンを設定する

guestfs-tools パッケージを使用すると、ホストから直接 IBM Secure Execution を設定できます。仮想マシンを起動する必要はありません。ただし、この方法は、複数の仮想マシンを迅速に設定したり、セットアッププロセスを自動化したりする必要があるテスト環境や開発環境にのみ適しています。

重要

実稼働環境を保護するには、ワークロードをさらに保護する方法を説明している Secure Execution を使用したワークロードの完全な保護に関する IBM ドキュメントを参照してください。

前提条件

システムハードウェアに以下のいずれかを使用している。
- IBM z15 以降
- IBM LinuxONE III 以降
Secure Execution 機能がお使いのシステムで有効になっている。確認するには、次のコマンドを実行します。
```
# grep facilities /proc/cpuinfo | grep 158
```
このコマンドで出力が表示された場合には、お使いの CPU は Secure Execution と互換性があります。
カーネルに Secure Execution のサポートが含まれている。これを確認するには、次のコマンドを実行します。
```
# ls /sys/firmware | grep uv
```
このコマンドで出力が表示された場合には、カーネルで Secure Execution がサポートされています。
ホストの CPU モデルに unpack 機能が含まれている。これを確認するには、次のコマンドを実行します。
```
# virsh domcapabilities | grep unpack
<feature policy='require' name='unpack'/>
```
このコマンドで上記の出力が表示された場合には、お使いの CPU ホストモデルは Secure Execution と互換性があります。
仮想マシンの CPU モードが host-model に設定されている。
```
# virsh dumpxml <vm_name> | grep "<cpu mode='host-model'/>"
```
このコマンドで出力が表示された場合には、仮想マシンの CPU モデルは正しく設定されています。
genprotimg パッケージがホストにインストールされている必要がある。
```
# dnf install genprotimg
```
ホストから直接仮想マシンイメージを変更する場合に備えて、guestfs-tools パッケージがホストにインストールされています。
```
# dnf install guestfs-tools
```
IBM Z のホストキーのドキュメントを取得および確認している。詳細は、IBM ドキュメントの Verifying the host key document を参照してください。

手順

ホストのブート設定に prot_virt=1 カーネルパラメーターを追加します。
```
# grubby --update-kernel=ALL --args="prot_virt=1"
```
ブートメニューを更新します。
# zipl
virsh edit を使用して、セキュリティー保護する仮想マシンの XML 設定を変更します。
<launchSecurity type="s390-pv"/> を </devices> 行の下に追加します。以下に例を示します。
```
[...]
    </memballoon>
  </devices>
  <launchSecurity type="s390-pv"/>
</domain>
```
設定の <devices> セクションに virtio-rng デバイス (<rng model="virtio">) が含まれている場合は、<rng> </rng> ブロックのすべての行を削除します。
オプション: 保護対象の仮想マシンが 32 GiB 以上の RAM を使用している場合は、ホスト上の XML 設定の <features></features> セクションに <async-teardown enabled='yes'/> 行を追加します。
これにより、そのような Secure Execution ゲストの再起動または停止のパフォーマンスが向上します。

ホスト上で、ホストキードキュメントを含み、かつ Secure Execution を使用するように既存の仮想マシンを設定するスクリプトを作成します。以下に例を示します。

#!/usr/bin/bash

echo "$(cat /proc/cmdline) swiotlb=262144" > parmfile

cat > ./HKD.crt << EOF
-----BEGIN CERTIFICATE-----
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
1234569901234569901234569901234569901234569901234569901234569900
xLPRGYwhmXzKDg==
-----END CERTIFICATE-----
EOF

version=$(uname -r)

kernel=/boot/vmlinuz-$version
initrd=/boot/initramfs-$version.img

genprotimg -k ./HKD.crt -p ./parmfile -i $kernel -r $initrd -o /boot/secure-linux --no-verify

cat >> /etc/zipl.conf<< EOF

[secure]
target=/boot
image=/boot/secure-linux
EOF

zipl -V

shutdown -h now

仮想マシンがシャットダウンしていることを確認します。
ホスト上で、guestfs-tools を使用して既存の仮想マシンイメージにスクリプトを追加し、そのスクリプトを 初回起動時に実行 するように指定します。
```
# virt-customize -a <vm_image_path> --selinux-relabel --firstboot <script_path>
```
追加したスクリプトを使用して、イメージから仮想マシンを起動します。
スクリプトは初回起動時に実行され、続いて仮想マシンを再度シャットダウンします。その結果、仮想マシンは、対応するホストキーを持つホスト上の Secure Execution で実行するように設定されます。
オプション: 仮想マシンで IBM Control Program Identification (CPI) を有効にする必要がある場合は、ゲストオペレーティングシステムの /etc/sysconfig/cpi ファイルに CPI_PERMIT_PVGUEST=1 という行を追加してください。

検証

ホストで、virsh dumpxml ユーティリティーを使用して、セキュアな仮想マシンの XML 設定を確認します。設定には <launchSecurity type="s390-pv"/> 要素を含み、<rng model="virtio"> 行は使用しないでください。

# virsh dumpxml vm-name
[...]
  <cpu mode='host-model'/>
  <devices>
    <disk type='file' device='disk'>
      <driver name='qemu' type='qcow2' cache='none' io='native'>
      <source file='/var/lib/libvirt/images/secure-guest.qcow2'/>
      <target dev='vda' bus='virtio'/>
    </disk>
    <interface type='network'>
      <source network='default'/>
      <model type='virtio'/>
    </interface>
    <console type='pty'/>
    <memballoon model='none'/>
  </devices>
  <launchSecurity type="s390-pv"/>
</domain>

18.8.2. ホストから IBM Secure Execution 用に仮想マシンを設定する

詳細情報

試用、購入および販売

コミュニティー

会社概要

多様性を受け入れるオープンソースの強化

Red Hat ドキュメントについて

Theme

Red Hat legal and privacy links

Red Hat legal and privacy links