Um provedor de hospedagem executa hosts Hyper-V do Windows Server 2022 em um domínio de fabric. Alguns hosts não possuem TPM 2.0. Um locatário exige VMs blindadas para que os administradores do fabric não possam inspecionar os discos ou a memória das VMs. Você precisa permitir a implantação de VMs blindadas em todos os hosts, incluindo aqueles sem TPM, garantindo que o locatário mantenha o controle das chaves que protegem as VMs. O que você deve fazer? (Escolha duas)

A implantação do Host Guardian Service (HGS) no modo de atestado confiável pelo administrador (Admin-trusted attestation) permite que hosts sem TPM 2.0 executem VMs blindadas, pois a confiança é estabelecida por meio da associação a um grupo de segurança do Active Directory, e não por hardware. Para garantir que o locatário mantenha o controle das chaves, ele deve gerar e assinar um arquivo de dados de blindagem (shielding data file) usando seu certificado de proprietário guardião. Este arquivo contém as chaves e configurações de segurança da VM, garantindo que apenas o locatário possa acessá-las. Configurar o HGS para atestado confiável por TPM não funcionaria para hosts sem TPM. Exportar a chave privada do protetor de chave do locatário para administradores do fabric comprometeria a segurança e o controle do locatário. Armazenar arquivos de estado do vTPM no host protegido não é a prática padrão e não aborda a necessidade de atestado ou controle de chaves.