あるホスティングプロバイダーが、ファブリックドメインでWindows Server 2022 Hyper-Vホストを実行しています。一部のホストにはTPM 2.0がありません。テナントは、ファブリック管理者がVMのディスクやメモリを検査できないように、シールドされたVMを必要としています。TPMがないホストを含むすべてのホストにシールドされたVMを展開できるようにし、テナントがVMを保護するキーの制御を維持できるようにする必要があります。何をすべきですか？（2つ選択）

Admin-trusted attestationモードでHGSをデプロイすると、TPM 2.0がないホストでもシールドされたVMをサポートできます。このモードでは、HGSはActive Directoryセキュリティグループに基づいてホストを承認します。テナントに所有者ガーディアン証明書を使用してシールドデータファイル（.pdkファイル）を生成および署名させ、VM作成時に提供させることで、テナントがVMの保護キーの制御を維持できます。TPM-trusted attestationはTPM 2.0を必要とするため、TPMがないホストでは使用できません。テナントのキープロテクター秘密キーをファブリック管理者にエクスポートすることは、テナントがキーの制御を維持するという要件に反します。vTPMステートファイルは、HGSではなく、保護されたホストに保存されるのが通常ですが、これはシールドされたVMの展開やキーの制御とは直接関係ありません。