Un fournisseur d'hébergement exécute des hôtes Hyper-V Windows Server 2022 dans un domaine de fabric. Certains hôtes ne disposent pas de TPM 2.0. Un locataire a besoin de machines virtuelles blindées afin que les administrateurs de fabric ne puissent pas inspecter les disques ou la mémoire des machines virtuelles. Vous devez autoriser le déploiement de machines virtuelles blindées sur tous les hôtes, y compris ceux sans TPM, tout en garantissant que le locataire conserve le contrôle des clés protégeant les machines virtuelles. Que devez-vous faire ? (Choisissez deux)

Pour permettre le déploiement de machines virtuelles blindées sur des hôtes sans TPM 2.0, vous devez utiliser le mode d'attestation approuvé par l'administrateur avec Host Guardian Service (HGS). Ce mode permet aux administrateurs de fabric de déclarer manuellement les hôtes comme étant dignes de confiance, contournant ainsi l'exigence TPM physique. L'approbation des hôtes via un groupe de sécurité Active Directory simplifie la gestion. Pour garantir que le locataire conserve le contrôle des clés, il doit générer et signer un fichier de données de blindage (fichier .pdk) avec son certificat de propriétaire-gardien. Ce fichier contient les informations nécessaires pour chiffrer la machine virtuelle et garantir que seul le locataire peut la déverrouiller. L'attestation approuvée par TPM est incorrecte car certains hôtes n'ont pas de TPM. Exporter la clé privée du locataire est incorrect car cela compromettrait la sécurité et le contrôle du locataire. Stocker les fichiers d'état vTPM sur l'hôte est incorrect ; HGS gère la protection de ces fichiers.