Microsoft Hyper-V Shielded VM Windows Server 2025

Host Guardian Service Configuration

# $HGSDomainName is the Host Guardian Service domain set up during HGS installation

# the node will be promoted to a domain controller for the specified domain

$AdminPass = ‘Password’

$HGSDomainName = ‘hgs.com’

$adminPassword = ConvertTo-SecureString -AsPlainText $AdminPass –Force

Install-HgsServer -HgsDomainName $HGSDomainName `

-SafeModeAdministratorPassword $adminPassword -Restart

$certificatePasswd = ‘Password’

$signingCertPath = ‘C:\signingCert.pfx’

$encryptionCertPath = ‘C:\encryptionCert.pfx’

$certStoreLocation = ‘Cert:\LocalMachine\My’

$certificatePassword = ConvertTo-SecureString -AsPlainText $certificatePasswd –Force

$signingCert = New-SelfSignedCertificate -DnsName “signing.$env:userdnsdomain” `

-CertStoreLocation $certStoreLocation

Export-PfxCertificate -Cert $signingCert -Password $certificatePassword `

-FilePath $signingCertPath

$encryptionCert = New-SelfSignedCertificate -DnsName “encryption.$env:userdnsdomain” `

-CertStoreLocation $certStoreLocation

Export-PfxCertificate -Cert $encryptionCert -Password $certificatePassword `

-FilePath $encryptionCertPath

Initialize-HGSServer -HgsServiceName $HgsServiceName `

-SigningCertificatePath $signingCertPath `

-SigningCertificatePassword $certificatePassword `

-EncryptionCertificatePath $encryptionCertPath `

-EncryptionCertificatePassword $certificatePassword -TrustActiveDirectory -Force

$HGSDomainName = ‘hgs.com’

$ADDomainName = ‘dev.com’

$ADDomainUser = ‘Administrator’

$ADAdminPasswd = ‘Password’

netdom trust $HGSDomainName /domain:$ADDomainName /userD:$ADDomainName\$ADDomainUse  /passwordD:$ADAdminPasswd /add

GuardedHost Configuration

Install the necessary roles:

Install-WindowsFeature -Name HostGuardian

Install-WindowsFeature -Name RSAT-Shielded-VM-Tools

Install-WindowsFeature -Name FabricShieldedTools -Restart

Để các Host được bảo vệ có thể phân giải tên máy chủ HGS, thực hiện thêm DNS forwarder để Host được bảo vệ có thể xác thực với HGS:

Add-DnsServerConditionalForwarderZone -Name $HgsDomainName -ReplicationScope “Forest” ` -MasterServers $HgsServerIP

Thực hiện cấu hình Hyper-V host xác thực với HGS server:

Booting a Shielded VMs

Các bước thực hiện bên dưới sẽ được áp dụng trên máy chủ Hyper-V không phải thực hiện trên Guarded Host.

Để tạo một VM được bảo vệ (shielded VM), cần có một “shielded VM template” và “pdk file” chứa dữ liệu về các Guarded Hosts, chứng chỉ và các thông tin khác liên quan đến Shielded VM

Install the following roles:

Install-WindowsFeature -Name RSAT-Shielded-VM-Tools

Install-WindowsFeature -Name FabricShieldedTools -Restart

Generate a shielded template

Hiện tại, Windows Server 2025  là hệ điều được hỗ trợ khi sử dụng các mẫu đĩa đã được ký. Hãy đảm bảo rằng đĩa đáp ứng các yêu cầu BitLocker sau:

• Được định dạng bằng hệ thống tệp NTFS.
• Không sử dụng tính năng Dynamic Volume.
• Ổ cứng phải có ít nhất hai phân vùng. Một phân vùng phải chứa ổ đĩa cài đặt Windows. Đây là ổ đĩa mà BitLocker sẽ mã hóa. Phân vùng còn lại là phân vùng hoạt động, không được mã hóa để VM có thể khởi động.

Các thao tác được thực hiện trên giao diện Microsoft PowerShell

Generate a self-signed certificate to sign the disk:

$certificate = New-SelfSignedCertificate -DnsName publisher.signingcertificate.com `

-CertStoreLocation $certStoreLocation -KeyExportPolicy Exportable

# $certificate is used to sign the template disk
# Specify a disk name and version
# .VHDX image is modified by embedding the .VSC file in it so making a copy of the image is recommended
$TemplatePath = ‘C:\protected_template.vhdx’
$TemplateName = ‘MyTemplate’
$Version = ‘1.1.1.1’

Protect-ServerVHDX -Path $TemplatePath -TemplateName $TemplateName -Version $Version ` -Certificate $certificate

Generate a PDK File

Các thao tác được thực hiện trên giao diện Microsoft PowerShell

$url=“http://$HGSDomain/KeyProtection/service/metadata/2014-07/metadata.xml”

(New-Object System.Net.WebClient).DownloadFile($url, $GuardianMetadataPath)

New-HgsGuardian –Name $OwnerName -GenerateCertificates

Import-HgsGuardian -Path $GuardianMetadataPath -Name $GuardianName -AllowUntrustedRoot

$TemplatePath = ‘C:\protected_template.vhdx’

$VSCPath = ‘c:\vsc.vsc’

# The VSC file describes the template that the .PDK file can be applied to

Save-VolumeSignatureCatalog -TemplateDiskPath $signedTemplate `

-VolumeSignatureCatalogPath $VSCPath

$owner = Get-HgsGuardian -Name $OwnerName

$guardian = Get-HgsGuardian -Name $GuardianName

# Policy can be either EncryptionSupported or Shielded

Protect-ShieldingDataFile -ShieldingDataFilePath $PdkOutputPath -Owner $owner `

-VolumeIDQualifier (New-VolumeIdQualifier -VolumeSignatureCatalogFilePath $VscPath `

-VersionRule Equals) -WindowsUnattendFile $UnattendedPath -OtherFile $RdpCertPath `

-Guardian $guardian -Policy Shielded

$vm = New-VM -Name $VMName -Generation 2 -VHDPath $TemplateVhdxPath -SwitchName “external”

$pdk = Invoke-CimMethod -ClassName Msps_ProvisioningFileProcessor -Namespace root\msps `

-MethodName PopulateFromFile -Arguments @{FilePath=$pdkFilePath }

# the Key Protector contains the data regarding guarded hosts

# it’s mandatory to pass a KeyProtector in order to enable the vtpm

$kp = $pdk.ProvisioningFile.KeyProtector

$vm | Set-VMKeyProtector -KeyProtector $kp

# If during generating the pdk, the Policy was set to Shielded then $isShielded is $True

$vm | Set-VMSecurityPolicy -Shielded $isShielded

$vm | Enable-VMTPM

# The unattended file can contain substitution strings for ComputerName, TimeZone, ProductKey.

# The corresponding values or SpecializationDataPairs must be specified and will be added to a .fsk file

New-ShieldedVMSpecializationDataFile -ShieldedVMSpecializationDataFilePath $fskFilePath `

-SpecializationDataPairs @{“@@ComputerName@@”=“MyNewComputer”; `

“@@TimeZone@@”=“Pacific Standard Time”}

Initialize-ShieldedVM -ShieldingDataFilePath $pdkFilePath `

-ShieldedVMSpecializationDataFilePath $fskFilePath `

-VirtualMachine $vm