Como modificar opções de VM protegida em uma instância de VM
Mantenha tudo organizado com as coleções
Salve e categorize o conteúdo com base nas suas preferências.
Neste documento, você verá como ativar e desativar as opções de
VM protegida em uma
instância de VM. Para ver quais imagens são compatíveis com os recursos de VM protegida,
consulte os recursos de segurança da imagem do SO.
O Compute Engine não ativa a
Inicialização segura por padrão,
porque drivers não assinados e outros softwares de baixo nível podem não ser compatíveis.
A Inicialização segura ajuda a garantir que o
sistema execute apenas um software autêntico. Para isso, ela verifica a assinatura de todos os
componentes de inicialização e interrompe o processo de inicialização se a verificação da assinatura falhar. Isso ajuda a evitar que formas de malware kernel, como rootkits ou bootkits,
persistam nas reinicializações da VM. O Google
recomenda que você ative a Inicialização segura se ela não impedir que uma
VM de teste representativa seja inicializada e que seja apropriada para sua carga de trabalho.
Limitações
Ainda que as instâncias de VM do Compute Engine sejam compatíveis com a inicialização segura, é possível que uma imagem
carregada em uma VM do Compute Engine não seja. Embora a maioria das distribuições do Linux
seja compatível com a Inicialização segura em imagens x86 recentes, ela nem sempre é
compatível por padrão em ARM64.
Muitas imagens do Linux são configuradas para se recusar a carregar builds não assinados de módulos de kernel fora da árvore quando a Inicialização segura está ativada. Geralmente isso afeta os drivers de GPU, mas às vezes também afeta as ferramentas de monitoramento de segurança que exigem módulos do kernel.
Permissões exigidas para a tarefa
Para executar esta tarefa, é preciso ter a permissão a seguir:
compute.instances.updateShieldedInstanceConfig na instância de VM
Como modificar opções de VM protegida em uma instância de VM
Use o procedimento a seguir para modificar as opções de VM protegida:
Console
No Google Cloud console, acesse a página Instâncias de VM:
Clique no nome da instância para abrir a página Detalhes da instância de VM.
Clique em stopParar
para interromper a VM. Se não houver a opção Parar, clique em
more_vertMais ações >stopParar.
Depois que a instância parar, clique em Editar.
Na seção VM protegida, modifique as opções de VM protegida:
Alterne a opção Ativar Inicialização segura para ativar a Inicialização segura.
O Compute Engine não ativa a
Inicialização segura
por padrão, porque drivers não assinados e outros softwares de baixo nível
podem não ser compatíveis. Se possível, o Google recomenda ativar a
Inicialização segura.
Ative a opção Ativar monitoramento de integridade para desativar o
monitoramento de integridade. Por padrão, o Compute Engine ativa o monitoramento de
integridade.
Clique em Salvar.
Clique em Iniciar para iniciar a instância.
gcloud
Interrompa a instância:
gcloud compute instances stop VM_NAME
Substitua VM_NAME pelo nome da VM a ser interrompida.
Substitua VM_NAME pelo nome da VM na qual
as opções de VM protegida serão atualizadas.
shielded-secure-boot: o Compute Engine não ativa a
Inicialização segura por padrão,
porque drivers não assinados e outros softwares de baixo nível podem não
ser compatíveis. Se possível, o Google recomenda ativar a Inicialização segura.
Ative a Inicialização segura usando a sinalização --shielded-secure-boot
(recomendado).
Desative a Inicialização segura usando --no-shielded-secure-boot.
shielded-integrity-monitoring:
o monitoramento de integridade
é ativado por padrão.
+ Ativar usando --shielded-integrity-monitoring (padrão)
+ Desativar usando a sinalização --no-shielded-integrity-monitoring.
Inicie a instância:
gcloud compute instances start VM_NAME
Substitua VM_NAME pelo nome da VM a ser iniciada.
REST
Interrompa a instância:
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME/stop
Substitua:
PROJECT_ID: projeto que contém a VM a ser interrompida
PROJECT_ID: projeto com a VM que terá as opções de VM
protegida ativadas ou desativadas.
ZONE: zona com a VM que terá as opções de VM
protegida ativadas ou desativadas.
VM_NAME: VM que terá as opções de VM protegida ativadas ou
desativadas.
enableSecureBoot: o Compute Engine não ativa a
Inicialização segura por padrão,
porque drivers não assinados e outros softwares de baixo nível podem não
ser compatíveis. Se possível, o Google recomenda ativar a Inicialização segura.
[[["Fácil de entender","easyToUnderstand","thumb-up"],["Meu problema foi resolvido","solvedMyProblem","thumb-up"],["Outro","otherUp","thumb-up"]],[["Difícil de entender","hardToUnderstand","thumb-down"],["Informações incorretas ou exemplo de código","incorrectInformationOrSampleCode","thumb-down"],["Não contém as informações/amostras de que eu preciso","missingTheInformationSamplesINeed","thumb-down"],["Problema na tradução","translationIssue","thumb-down"],["Outro","otherDown","thumb-down"]],["Última atualização 2025-08-19 UTC."],[[["\u003cp\u003eShielded VM instances have vTPM and integrity monitoring enabled by default, while Secure Boot is not enabled due to potential compatibility issues with unsigned drivers.\u003c/p\u003e\n"],["\u003cp\u003eDisabling the vTPM will also disable integrity monitoring, as integrity monitoring relies on data from Measured Boot, which is associated with vTPM.\u003c/p\u003e\n"],["\u003cp\u003eSecure Boot helps ensure that only authentic software runs by verifying the signatures of all boot components, thus preventing kernel malware.\u003c/p\u003e\n"],["\u003cp\u003eTo modify Shielded VM options, the VM instance must be stopped, the options can then be toggled on the VM instance details page, by using gcloud, or by using API, after which the instance must be restarted.\u003c/p\u003e\n"],["\u003cp\u003ePermissions are required to update these options, requiring \u003ccode\u003ecompute.instances.updateShieldedInstanceConfig\u003c/code\u003e permissions on the VM instance.\u003c/p\u003e\n"]]],[],null,["# Modifying Shielded VM options on a VM instance\n\nThis document describes how to enable and disable the\n[Shielded VM](/compute/shielded-vm/docs/shielded-vm) options on a\nVM instance. To see which images support Shielded VM features,\nsee [OS image security features](/compute/docs/images/os-details#security-features).\n\nOverview\n--------\n\nOn a Shielded VM instance, Compute Engine enables the [virtual\nTrusted Platform Module (vTPM)](/compute/shielded-vm/docs/shielded-vm#vtpm) and\n[integrity monitoring](/compute/shielded-vm/docs/shielded-vm#integrity-monitoring)\noptions by default. If you disable the vTPM, Compute Engine\ndisables integrity monitoring because integrity monitoring relies on data\ngathered by [Measured Boot](/compute/shielded-vm/docs/shielded-vm#measured-boot).\n\nCompute Engine does not enable\n[Secure Boot](/compute/shielded-vm/docs/shielded-vm#secure-boot) by default\nbecause unsigned drivers and other low-level software might not be compatible.\nSecure Boot helps ensure that the system only runs authentic software by\nverifying the signature of all boot components and stopping the boot process\nif signature verification fails. This helps prevent forms of kernel malware,\nsuch as rootkits or bootkits from persisting across VM reboots. Google\nrecommends enabling Secure Boot if you can ensure that it doesn't prevent a\nrepresentative test VM from booting and if it is appropriate for your workload.\n\n### Limitations\n\nEven though Compute Engine VM instances support Secure Boot, an image\nloaded on a Compute Engine VM might not. Notably, although most Linux\ndistributions support Secure Boot on recent x86 images, it isn't always\nsupported by default on ARM64.\nMany Linux images are configured to refuse to load unsigned builds of out-of-tree kernel modules when Secure Boot is enabled. This most commonly affects GPU drivers, but also sometimes affects security monitoring tools that require kernel modules.\n\n#### Permissions required for this task\n\nTo perform this task, you must have the following [permissions](/iam/docs/overview#permissions):\n\n- `compute.instances.updateShieldedInstanceConfig` on the VM instance\n\nModifying Shielded VM options on a VM instance\n----------------------------------------------\n\nUse the following procedure to modify Shielded VM options: \n\n### Console\n\n1. In the Google Cloud console, go to the **VM instances** page.\n\n [Go to **VM instances**](https://console.cloud.google.com/compute/instances)\n2. Click the instance name to open the **VM instance details** page.\n\n3. Click stop **Stop**\n to stop the VM. If there is no **Stop** option, click\n more_vert **More actions \\\u003e** stop **Stop**.\n\n4. After the instance stops, click **Edit**.\n\n5. In the **Shielded VM** section, modify the Shielded VM options:\n\n - Toggle **Turn on Secure Boot** to enable Secure Boot.\n Compute Engine does not enable\n [Secure Boot](/compute/shielded-vm/docs/shielded-vm#secure-boot)\n by default because unsigned drivers and other low-level software\n might not be compatible. If possible, Google recommends enabling\n Secure Boot.\n\n - Toggle **Turn on vTPM** to disable the virtual trusted platform module\n (vTPM). By default, Compute Engine enables the [Virtual Trusted\n Platform Module (vTPM)](/compute/shielded-vm/docs/shielded-vm#vtpm).\n\n - Toggle **Turn on Integrity Monitoring** to disable integrity\n monitoring. By default, Compute Engine enables [integrity\n monitoring](/compute/shielded-vm/docs/shielded-vm#integrity-monitoring).\n\n6. Click **Save**.\n\n7. Click **Start** to start the instance.\n\n### gcloud\n\n1. Stop the instance:\n\n ```\n gcloud compute instances stop VM_NAME\n ```\n\n Replace \u003cvar translate=\"no\"\u003eVM_NAME\u003c/var\u003e with the name of the VM to stop.\n2. Update the Shielded VM options:\n\n ```\n gcloud compute instances update VM_NAME \\\n [--[no-]shielded-secure-boot] \\\n [--[no-]shielded-vtpm] \\\n [--[no-]shielded-integrity-monitoring]\n ```\n\n Replace \u003cvar translate=\"no\"\u003eVM_NAME\u003c/var\u003e with the name of the VM on which\n to update the Shielded VM options.\n\n `shielded-secure-boot`: Compute Engine does not\n enable [Secure Boot](/compute/shielded-vm/docs/shielded-vm#secure-boot)\n by default because unsigned drivers and other low-level software might\n not be compatible. If possible, Google recommends enabling Secure Boot.\n - Enable Secure Boot by using the `--shielded-secure-boot` flag (recommended).\n - Disable Secure Boot by using `--no-shielded-secure-boot`.\n\n `shielded-vtpm`: the\n [virtual trusted platform module (vTPM)](/compute/shielded-vm/docs/shielded-vm#vtpm)\n is enabled by default.\n + Enable by using `--shielded-vtpm` (default)\n + Disable by using the `--no-shielded-vtpm` flag\n\n `shielded-integrity-monitoring`:\n [integrity monitoring](/compute/shielded-vm/docs/shielded-vm#integrity-monitoring)\n is enabled by default.\n + Enable by using `--shielded-integrity-monitoring` (default)\n + Disable by using the `--no-shielded-integrity-monitoring` flag.\n3. Start the instance:\n\n ```\n gcloud compute instances start VM_NAME\n ```\n\n Replace \u003cvar translate=\"no\"\u003eVM_NAME\u003c/var\u003e with the name of the VM to start.\n\n### REST\n\n1. Stop the instance:\n\n ```\n POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME/stop\n ```\n\n Replace the following:\n - \u003cvar translate=\"no\"\u003ePROJECT_ID\u003c/var\u003e: project containing the VM to stop\n - \u003cvar translate=\"no\"\u003eZONE\u003c/var\u003e: zone containing the VM to stop\n - \u003cvar translate=\"no\"\u003eVM_NAME\u003c/var\u003e: the VM to stop\n2. Use\n [`instances.updateShieldedInstanceConfig`](/compute/docs/reference/rest/v1/instances/updateShieldedInstanceConfig)\n to enable or disable Shielded VM options on the instance:\n\n ```\n PATCH https://compute.googleapis.com/compute/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME/updateShieldedInstanceConfig\n\n {\n \"enableSecureBoot\": {true|false},\n \"enableVtpm\": {true|false},\n \"enableIntegrityMonitoring\": {true|false}\n }\n ```\n\n Replace the following:\n - \u003cvar translate=\"no\"\u003ePROJECT_ID\u003c/var\u003e: the project containing the VM to enable or disable Shielded VM options on.\n - \u003cvar translate=\"no\"\u003eZONE\u003c/var\u003e: the zone containing the VM to enable or disable Shielded VM options on.\n - \u003cvar translate=\"no\"\u003eVM_NAME\u003c/var\u003e: the VM to enable or disable Shielded VM options on.\n\n `enableSecureBoot`: Compute Engine does not enable\n [Secure Boot](/compute/shielded-vm/docs/shielded-vm#secure-boot) by\n default because unsigned drivers and other low-level software might\n not be compatible. If possible, Google recommends enabling Secure Boot.\n\n `enableVtpm`: Compute Engine enables the\n [Virtual Trusted Platform Module (vTPM)](/compute/shielded-vm/docs/shielded-vm#vtpm)\n by default.\n\n `enableIntegrityMonitoring`: Compute Engine enables\n [integrity monitoring](/compute/shielded-vm/docs/shielded-vm#integrity-monitoring)\n by default.\n3. Start the instance:\n\n ```\n POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME/start\n ```\n\n Replace the following:\n - \u003cvar translate=\"no\"\u003ePROJECT_ID\u003c/var\u003e: project containing the VM to start\n - \u003cvar translate=\"no\"\u003eZONE\u003c/var\u003e: zone containing the VM to start\n - \u003cvar translate=\"no\"\u003eVM_NAME\u003c/var\u003e: VM to start\n\nWhat's next\n-----------\n\n- [Read more](/compute/shielded-vm/docs/shielded-vm) about the security features offered by Shielded VM.\n- Learn more about [monitoring integrity on a Shielded VM\n instance](/compute/shielded-vm/docs/integrity-monitoring)."]]
