Migrer vers des VM basées sur UEFI

Vos VM sur site basées sur UEFI seront automatiquement migrées vers des hôtes basés sur UEFI sur Compute Engine. Vous pouvez éventuellement spécifier que les VM basées sur UEFI utilisent le démarrage sécurisé, une fonctionnalité desVM protégées. Les VM protégées offrent une compatibilité avec les fonctionnalités supplémentaires suivantes :

  • Module vTPM (Virtual Trusted Platform Module)
  • Surveillance de l'intégrité

Vous effectuez la migration à l'aide de runbooks, en migrant les VM par vagues successives. Dans votre runbook, vous indiquez si la VM UEFI migrée doit utiliser le démarrage sécurisé lorsqu'elle est démarrée sur Compute Engine.

Prérequis

  • La VM source doit utiliser un système d'exploitation compatible. Pour obtenir la liste des systèmes d'exploitation compatibles avec la migration de l'UEFI vers les VM protégées, consultez la section Systèmes d'exploitation compatibles.

Limites

La compatibilité de la migration vers des VM basées sur UEFI est soumise aux limitations suivantes :

  • Les certificats personnalisés (par exemple lorsque le noyau est signé manuellement) ne sont pas acceptés. Votre VM source doit être signée par une autorité reconnue par Google Cloud. Si la VM n'est pas signée par une autorité de certification compatible, le démarrage peut échouer. Dans ce cas, recherchez une éventuelle violation de sécurité dans le journal.

Fonctionnement de la migration de VM basée sur UEFI

  1. Au début de la migration, Migrate for Compute Engine détermine si la VM source est basée sur UEFI ou BIOS. Si la VM utilise UEFI, elle sera migrée vers une VM Compute Engine utilisant UEFI.
  2. Si le démarrage sécurisé a été spécifié dans le runbook, Migrate for Compute Engine activera le démarrage sécurisé sur la VM migrée.
  3. Compute Engine démarrera la VM migrée.
  4. Une fois la dissociation terminée, vous pouvez éventuellement activer d'autres fonctionnalités de VM protégées, telles que vTPM et la surveillance de l'intégrité.

Migrer des VM basées sur UEFI

  1. Créez un runbook incluant les VM basées sur UEFI que vous souhaitez transférer.
  2. Pour chaque VM basée sur UEFI de votre runbook, indiquez si la VM doit être démarrée avec le démarrage sécurisé. Le runbook fournit les champs suivants spécifiques aux VM basées sur UEFI. Pour consulter d'autres champs du runbook, consultez la documentation de référence du runbook.
    Champ Obligatoire Format Description
    BootFirmware Non. UEFI ou BIOS Inclus par Migrate for Compute Engine lors de la génération du runbook. Lorsque cette valeur est UEFI, vous pouvez activer le démarrage sécurisé pour la VM migrée sur Compute Engine en spécifiant TRUE dans la colonne GcpSecureBoot.

    Les valeurs incluent UEFI pour les VM source UEFI et BIOS pour les VM vSphere BIOS, AWS et Azure.
    GcpSecureBoot Non. TRUE ou FALSE. La valeur par défaut est FALSE. Utilisez TRUE pour spécifier qu'une VM source basée UEFI doit avoir activé le démarrage sécurisé après sa migration. La valeur par défaut est FALSE. Le champ BootFirmware doit être défini sur UEFI pour qu'une valeur GcpSecureBoot TRUE soit acceptée.

  3. Effectuez une migration en vagues.

    Notez que le démarrage sécurisé n'est pas activé lors du flux de migration. Pour activer le démarrage sécurisé des VM marquées dans le runbook, Migrate for Compute Engine active le démarrage sécurisé après la dissociation.

  4. Après la dissociation, vous avez la possibilité d'activer des fonctionnalités supplémentaires de VM protégée.