部署受保護的虛擬機（概述）

Hyper-V第二代虛擬機支持哪些系統可以參看：

成都創新互聯公司是專業的彌渡網站建設公司，彌渡接單;提供成都網站設計、成都網站制作,網頁設計,網站設計,建網站,PHP網站建設等專業做網站服務;采用PHP框架,可快速的進行彌渡網站開發網頁制作和功能擴展;專業做搜索引擎喜愛的網站,專業的做網站團隊,希望更多企業前來合作!

https://docs.microsoft.com/en-us/windows-server/virtualization/hyper-v/plan/should-i-create-a-generation-1-or-2-virtual-machine-in-hyper-v

受保護的虛擬機主要有2部分構成：

VHDx通過“模板磁盤向導”將進行簽名加密VHDx
密碼，RDP證書等機密信息通過“防護數據文件向導”生成受保護的數據文件PDK

只有簽名過得VHDx結合PDK文件才能做受保護的虛擬機（VM）：

其中PDK有2張做法：1種是資料加密，不受保護；1種是資料加密的同時受保護，那么受保護的資料加密只能在受保護的Hyper-V主機上才能啟動

部署受保護的虛擬機（概述）

受保護的虛擬機主要是受保護的數據文件：

受保護的數據文件（也稱為配置數據文件（PDK文件））是租戶或VM所有者創建的加密文件，用于保護重要的VM配置信息，例如管理員密碼，RDP證書和其他身份相關證書，域加入憑證，等等。管理員在創建受保護的VM時使用受保護的數據文件（PDK），但無法查看或使用文件中包含的信息（文件內容是加密編譯的）

其中，受保護的數據文件（PDK）包含的敏感信息如下：

管理員憑據
答案文件（unattend.xml）
一種安全策略，用于確定使用此受保護的數據（PDK）創建的VM是否配置為受保護的或支持加密

請記住，配置為受保護的VM受到管理員的保護，而僅支持加密的VM則不受保護

用于保護與VM的遠程桌面連接的RDP證書
卷簽名目錄，其中包含允許從中創建新VM的受信任簽名模板磁盤簽名列表
密鑰保護程序（或KPS），用于定義屏蔽虛擬機被授權運行的受保護Hyper-V環境

受保護的數據文件（PDK文件）保證將以VM所有者想要的方式創建VM。例如，當VM所有者在受保護的數據文件（PDK）中放置應答文件（unattend.xml）并將其傳遞給受保護的Hyper-V主機時，受保護的Hyper-V環境的IT管理員是無法查看或更改該應答文件的。同樣的，受保護的Hyper-V環境的IT管理員在創建受保護的VM時不能替換不同的VHDX文件，因為受保護的數據文件（PDK）包含了具體某一個簽名加密過得VHDx文件加密信息與之匹配。

下圖顯示了受保護數據文件（PDK）和相關配置元素

部署受保護的虛擬機（概述）