Хостинг-провайдер использует хосты Windows Server 2022 Hyper-V в домене фабрики. Некоторым хостам не хватает TPM 2.0. Арендатору требуются экранированные ВМ, чтобы администраторы фабрики не могли проверять диски или память ВМ. Вам необходимо разрешить развертывание экранированных ВМ на всех хостах, включая те, у которых нет TPM, при этом гарантируя, что арендатор сохранит контроль над ключами, защищающими ВМ. Что вы должны сделать? (Выберите два)

Для развертывания экранированных ВМ на хостах без TPM 2.0 необходимо использовать режим аттестации, доверенный администратором (Admin-trusted attestation), в Host Guardian Service (HGS). Этот режим позволяет администраторам фабрики вручную подтверждать надежность хостов, даже если они не имеют TPM. Утверждение хостов через группу безопасности Active Directory упрощает управление. Чтобы арендатор сохранил контроль над ключами, он должен сгенерировать и подписать файл данных экранирования (shielding data file) с использованием своего сертификата владельца-хранителя. Этот файл содержит ключи и настройки безопасности, которые защищают ВМ и предотвращают доступ к ним администраторов фабрики. Вариант с аттестацией, доверенной TPM, не подходит, так как некоторые хосты не имеют TPM. Экспорт закрытого ключа защитника ключей арендатора нарушит требование сохранения контроля арендатора над ключами. Хранение файлов состояния vTPM на защищенном хосте вместо HGS не относится к решению данной проблемы.