Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Contenu du document d’attestation NitroTPM
Un document d’attestation est généré par le NitroTPM et il est signé par l’hyperviseur Nitro. Il inclut une série de valeurs de registres de configuration de plateforme (PCR) associées à une instance Amazon EC2. Les PCR suivants sont inclus dans le document d’attestation :
Important
PCR0 et PCR1 sont généralement utilisés pour mesurer le code de démarrage initial, qui est contrôlé par AWS. Pour permettre des mises à jour sécurisées du code de démarrage initial, ces PCR contiendront toujours des valeurs constantes.
-
PCR0: code exécutable du microprogramme du système central -
PCR1: données du microprogramme du système central -
PCR2: code exécutable étendu ou enfichable -
PCR3: données du microprogramme étendues ou enfichables -
PCR4: code du gestionnaire de démarrage -
PCR5: configuration du code et données du gestionnaire de démarrage et table de partition GPT -
PCR6: spécificités du fabricant de la plateforme hôte -
PCR7: stratégie de démarrage sécurisé -
PCR8 - 15: défini pour être utilisé par le système d’exploitation statique -
PCR16: débogage -
PCR23: support des applications
Les PCR4, PCR7 et PCR12 sont spécifiquement utilisés pour valider qu'une instance a été lancée à l'aide d'une AMI attestable. PCR4 et PCR12 peuvent être utilisés pour valider avec un démarrage standard, et PCR7 peut être utilisé pour valider avec un démarrage sécurisé.
-
PCR4 (code du gestionnaire de démarrage) : lorsqu’une instance démarre, le NitroTPM crée des hachages cryptographiques de tous les binaires exécutés par son environnement UEFI. Avec les AMI vérifiables, ces fichiers binaires de démarrage intègrent des hachages qui empêchent le chargement futur de fichiers binaires dont les hachages ne correspondent pas. De cette façon, le hachage binaire à démarrage unique peut décrire exactement le code qu’une instance exécutera.
-
PCR7 (stratégie de démarrage sécurisé) : les fichiers binaires de démarrage UEFI peuvent être signés à l’aide d’une clé de signature UEFI Secure Boot. Lorsque le démarrage sécurisé UEFI est activé, l’UEFI empêche l’exécution des fichiers binaires de démarrage UEFI qui ne correspondent pas à la politique configurée. PCR7 contient un hachage de la stratégie de démarrage sécurisé UEFI de l’instance.
Si vous devez maintenir une stratégie KMS unique qui persiste lors des mises à jour d’instance, vous pouvez créer une politique qui valide par rapport à la norme PCR7 afin de valider un certificat UEFI Secure Boot. Lors de la création d'une AMI attestable, vous pouvez ensuite signer le binaire de démarrage avec votre certificat et l'installer en tant que seul certificat autorisé dans les AMI UEFI-data. N’oubliez pas que ce modèle nécessite que vous continuiez à générer un nouveau certificat, à l’installer dans votre politique et à mettre à jour les AMI si vous souhaitez empêcher les instances lancées à partir d’anciennes AMI (non fiables) de respecter votre stratégie KMS.
-
PCR12 — Contient le hachage de la ligne de commande transmise au binaire de démarrage UEFI. Nécessaire en conjonction avec PCR4 pour le démarrage standard afin de valider que la ligne de commande n'a pas été modifiée.
