Je Windows Server 2019 Hyper-V-host moet virtualization-based security (VBS) inschakelen met Credential Guard en HVCI. De server start momenteel op in de legacy BIOS-modus en de firmware heeft geen IOMMU (VT-d/AMD-Vi) ingeschakeld. Pogingen om VBS in te schakelen melden dat het systeem niet aan de vereisten voldoet. Welke twee wijzigingen zijn vereist voordat VBS kan worden ingeschakeld?

Virtualization-based Security (VBS), inclusief Credential Guard en HVCI (Hypervisor-Enforced Code Integrity), vereist specifieke hardware- en firmwareconfiguraties. Ten eerste moet het systeem opstarten in de UEFI-modus met Secure Boot ingeschakeld, omdat dit een beveiligde opstartomgeving biedt die essentieel is voor de integriteit van VBS. Legacy BIOS biedt deze beveiligingsfuncties niet. Ten tweede is een IOMMU (Input/Output Memory Management Unit), bekend als Intel VT-d of AMD-Vi, vereist. Dit beschermt het systeem tegen directe geheugentoegang (DMA) aanvallen en is cruciaal voor de isolatie die VBS biedt. Het uitschakelen van de Hyper-V-hypervisor is onjuist, aangezien VBS juist op de hypervisor bouwt. Het converteren van VM's naar Generatie 1 is irrelevant voor de hostvereisten van VBS. BitLocker is een versleutelingsfunctie en geen directe vereiste voor de functionaliteit van VBS, hoewel het een goede beveiligingspraktijk is.