第 5 章 在 Azure 上配置带有安全引导的 RHEL

当安全引导检测到任何由不受信任的实体签名的篡改组件或组件时，它会中止引导过程。这是与传统启动进程不同的位置。安全引导在配置机密虚拟机(CVM)中发挥关键作用。

它确保只有可信实体参与引导链。安全引导是一个统一可扩展固件接口(UEFI)功能。它根据硬件中存储的可信密钥验证引导组件的数字签名，如引导装载程序和内核。

安全引导可防止未经授权或篡改的软件在启动过程中运行，从而防止您的系统被恶意代码运行。它还：

当 Red Hat Enterprise Linux (RHEL)内核在启用了安全引导的情况下引导时，它会进入 lockdown 模式。在这个模式中，只有由可信供应商签名的内核模块才能加载。因此，安全引导增强了操作系统引导序列的安全性。

安全引导机制包括固件、签名数据库、加密密钥、引导装载程序、硬件模块和操作系统。以下是 UEFI 信任的变量的组件：

当 RHEL 实例以统一内核镜像(UKI)模式引导并启用了安全引导时，它会与云服务基础架构交互。这些步骤如下：

当 RHEL 内核以安全引导模式引导时，它会进入锁定模式。

进入 lockdown 模式后，RHEL 内核执行以下操作：

在内核构建过程中，构建系统使用临时密钥对，由私钥和公钥组成。构建系统签署标准 RHEL 内核模块，如 kernel-modules-core、kernel-modules、kernel-modules-extra。

每个内核构建后，对第三方模块进行签名的私钥已过时。您可以使用 db 和 MOK 中的证书来实现这一目的。