Ein Hosting-Provider betreibt Windows Server 2022 Hyper-V-Hosts in einer Fabric-Domäne. Einigen Hosts fehlt TPM 2.0. Ein Mandant benötigt abgeschirmte VMs, damit Fabric-Administratoren die Festplatten oder den Arbeitsspeicher der VMs nicht inspizieren können. Sie müssen die Bereitstellung abgeschirmter VMs auf allen Hosts, einschließlich derer ohne TPM, ermöglichen und gleichzeitig sicherstellen, dass der Mandant die Kontrolle über die Schlüssel behält, die die VMs schützen. Was sollten Sie tun? (Wählen Sie zwei)

Um abgeschirmte VMs auf Hosts ohne TPM 2.0 zu ermöglichen und dem Mandanten die Kontrolle über die Schlüssel zu lassen, muss der Admin-trusted attestation-Modus von Host Guardian Service (HGS) verwendet werden. Dieser Modus basiert auf der Vertrauensstellung gegenüber dem Fabric-Administrator und erfordert kein TPM. Die Genehmigung der Hosts erfolgt über eine Active Directory-Sicherheitsgruppe. Der Mandant muss eine Abschirmungsdatendatei (Shielding Data File) mit seinem Owner Guardian-Zertifikat generieren und signieren. Diese Datei enthält die Schlüssel und Konfigurationen für die abgeschirmte VM, wodurch der Mandant die Kontrolle über die Schutzschlüssel behält. Die TPM-trusted attestation erfordert TPM 2.0 und ist daher für Hosts ohne TPM ungeeignet. Das Exportieren des privaten Schlüssels des Key Protectors des Mandanten würde die Kontrolle über die Schlüssel an die Fabric-Administratoren abgeben, was der Anforderung widerspricht. Das Speichern von vTPM-Zustandsdateien auf dem Host anstatt in HGS ist keine Option, da HGS für die Schlüsselverwaltung zuständig ist.