体験版で知るWindows Server 2016操作テク【第12回】

Windows Server 2016の新機能をチェックする──仮想ベースセキュリティ編（2/2 ページ）

公開 2017年09月12日 05時00分

[著]

印刷する

セキュリティチップ「TPM」を仮想環境で再現する

　仮想化ベースのセキュリティで提供するもう1つの機能に「仮想TPM」がある。仮想ではない“物理”チップの「TPM」は、レベルの高いセキュリティを実現する負荷の高い演算処理を実行できるエンジンとコントローラーを統合した半導体チップだ。Windowsでは、ドライブ暗号化機能「BitLocker」で用いる暗号化キーの保存などに使っている。Windows 10のバージョン1607（「Windows 10 Anniversary Update」）以降は、TPM 2.0搭載が必須となった。

　仮想TPMは、このTPMを仮想マシンに対して提供する機能だ。前述のようにWindows 10がTPM 2.0をシステム要件とするため、仮想環境でWindows 10を動かすなら、TPMを仮想化して各仮想マシンに提供する必要がある。

　物理チップのTPMではコントローラーを統合している。そのためTPMを仮想化する場合には、コントローラーと同等の処理をするソフトウェアが必要になる。このソフトウェアも仮想化ベースのセキュリティで保護する必要がある。TPMが持つセキュアな記憶領域を仮想TPMで実現する場合も、資格情報ガードと同様に仮想化ベースのセキュリティを使っている。

　仮想化ベースのセキュリティを実現する場合、万が一、Windows自体が乗っ取られていたりカーネルが書き換えられていたりしたら、セキュアカーネルで実行するコードが正しいものになっているとは限らない。不正に挿入したプログラムが不正なソフトウェアを動かしてしまう可能性がある。そうなると、仮想化ベースのセキュリティ自体が無効になってしまう。

　このため、仮想化ベースのセキュリティ機能を利用する場合、システムの起動時点からプログラムコードが書き換えられていないことを検証しながらWindowsを立ち上げ、次いでセキュアカーネルを起動する。これには、ファームウェア仕様の「UEFI」（バージョンとして2.3.1以降が必須）や、メモリ管理仕様の「IOMMU」（I/O Memory Management Unit）または（インテルが用意したIOMMUの）「Intel VT-d」（Virtualization Technology for Directed I/O）などに準拠したハードウェアが必要になる。

　UEFI準拠のファームウェアに書き換えができないプログラムコードを置き、ここからシステムの起動を開始する。このとき、プログラムは次に起動するプログラムに対して不正に書き換えられていないかどうかを検証する。

　このように前段階で実行するソフトウェアが次に起動するソフトウェアに対して不正な書き換えのチェックを繰り返しながらWindowsを起動し、仮想化ベースのセキュリティ機能を実現するセキュアカーネルが起動する。

　こうした条件があるため、仮想化ベースのセキュリティ機能を利用する場合でもハードウェアやCPUにTMP 2.0をサポートする機能が必要になる。ただ、最近のサーバ用ハードウェアであれば、こうした機能を全て有している。なおWS16のインストール前に、必要な機能をファームウェア側で有効にしておく必要がある。WS16でTPMは必須条件ではないが、できればTPM 2.0を搭載したハードウェアを選択した方がよい。

評価用PCとして用意した「DP EXPERT WS1」

この連載ではWS16の期限付き評価版＝体験版を実際のPCにインストールして、その新機能を実際に検証しながらその使い方を紹介している。インストールして検証するPCには、ドスパラ法人事業部の協力を得て、「DP EXPERT WS1」を使用している。主な仕様は次の通りだ。

CPU	Intel Xeon Processor E5-1620 v4（4コア8スレッド、動作クロック3.50GHz、キャッシュ10MB）1基
チップセット	Intel C612 Chipset
システムメモリ	16GB（ECC、Registered機能搭載、容量8GBのDDR4-2400×2枚）
ストレージ	1TB（データ転送速度6Gbps、回転数7200rpmのSerial ATA準拠HDD）
グラフィックスカード	Quadro K620（グラフィックスメモリ2GB）

取材協力先：ドスパラ法人事業部

印刷する

この記事の著者

塩田紳二

塩田紳二（しおだしんじ）フリーランスのテクニカルライター。雑誌編集者、家電メーカー勤務を経て現職。ASCII.JP、@IT、マイナビニュース、日経BP xTECHなどにて執筆活動を行う。IoTなどの小さなハードウェアから上はスーパーコンピューターまで「小さなものから大きなものまで。ハードもソフトも。ただしゲームとアダルトを除く」が基本コンセプト。