Microsoft chia sẻ hướng dẫn chi tiết cách đáp ứng yêu cầu TPM của Windows 11 khi di chuyển máy ảo

Microsoft đã công bố hướng dẫn chi tiết dành cho quản trị viên CNTT và quản trị hệ thống về cách xử lý chứng chỉ mô-đun nền tảng đáng tin cậy ảo (vTPM). Công ty cho biết điều này là rất quan trọng để hiểu và triển khai chính xác, vì hệ điều hành khách như Windows 11 và Windows Server 2025 chạy trên máy ảo Hyper-V thế hệ 2 có thể duy trì đầy đủ các tính năng bảo mật khi được di chuyển giữa các máy chủ vật lý.

Microsoft luôn khẳng định rằng các yêu cầu hệ thống của Windows 11 như TPM 2.0 được thiết kế để mặc định mang lại cho hệ điều hành bảo mật tốt hơn Windows 10. Về cơ chế hoạt động, vTPM cho phép kích hoạt các tính năng bảo mật như BitLocker và Secure Boot bên trong máy ảo. Tuy nhiên, Hyper-V liên kết mỗi phiên bản vTPM với hai chứng chỉ tự ký trên máy chủ vật lý cục bộ. Microsoft cảnh báo rằng nếu không chuyển giao chứng chỉ đúng cách, việc di chuyển trực tiếp (live migration) và xuất thủ công các máy ảo có hỗ trợ vTPM có khả năng thất bại. Đây có thể là một vấn đề lớn vì nó khiến các tổ chức không thể di dời các khối lượng công việc được bảo vệ.

Microsoft lưu ý rằng các máy chủ Hyper-V tự động tạo hai chứng chỉ tự ký - một chứng chỉ mã hóa và một chứng chỉ ký - cho mỗi máy ảo thế hệ 2 có hỗ trợ vTPM, và lưu trữ chúng trong kho lưu trữ "Shielded VM Local Certificates" nằm dưới Certificates (Local Computer) > Personal trong Microsoft Management Console (MMC). Chúng bao gồm:

• Shielded VM Encryption Certificate (UntrustedGuardian)(TênMáyTính)
• Shielded VM Signing Certificate (UntrustedGuardian)(TênMáyTính)

Cả chứng chỉ mã hóa và chứng chỉ ký đều có thời hạn hiệu lực mặc định là 10 năm.

Để di chuyển đúng cách, Microsoft lưu ý rằng quản trị viên phải xuất cả hai chứng chỉ cùng với khóa riêng tư (private keys) của chúng dưới dạng tệp PFX (Personal Information Exchange) và nhập chúng vào cùng kho lưu trữ trên các máy chủ đích, từ đó đánh dấu chúng là đáng tin cậy.

Công ty đã trình bày các bước chi tiết để xuất, nhập và cập nhật (trong trường hợp chứng chỉ hết hạn), đồng thời cũng cung cấp các lệnh PowerShell tương ứng. Bạn có thể xem toàn bộ bài đăng chi tiết tại đây trên trang web Microsoft Tech Community.