사용자 지정 AMI에 대한 PCR 측정값 계산

nitro-tpm-pcr-compute 유틸리티를 사용하면 통합 커널 이미지(UKI)를 기반으로 빌드 시간 동안 증명 가능한 AMI에 대한 참조 측정값을 생성할 수 있습니다.

Amazon Linux 2023 이미지 설명 샘플은 /usr/bin/ 디렉터리의 빌드된 이미지에 유틸리티를 자동으로 설치합니다. 이미지 설명 샘플에는 이미지 빌드 시간 동안 참조 측정값을 생성하기 위해 유틸리티를 실행하는 데 필요한 명령이 포함된 스크립트도 포함되어 있습니다. 이미지 설명 샘플을 사용하는 경우 유틸리티를 설치하거나 수동으로 실행하지 않아도 됩니다. 자세한 내용은 Amazon Linux 2023 이미지 설명 샘플 빌드 섹션을 참조하세요.

nitro-tpm-pcr-compute 유틸리티 설치

Amazon Linux 2023을 사용하는 경우 다음과 같이 Amazon Linux 리포지토리에서 nitro-tpm-pcr-compute 유틸리티를 설치할 수 있습니다.

sudo yum install aws-nitro-tpm-tools

도구는 /usr/bin 디렉터리에 설치됩니다.

nitro-tpm-pcr-compute 유틸리티 사용

유틸리티는 참조 측정값을 생성하기 위해 단일 명령(nitro-tpm-pcr-compute)을 제공합니다.

명령을 실행할 때 다음을 지정해야 합니다.

증명 가능한 AMI에 대한 참조 측정값을 생성하는 방법:

다음 명령과 파라미터를 사용합니다.

/usr/bin/nitro-tpm-pcr-compute \
--image UKI.efi

유틸리티는 참조 측정값을 다음 JSON 형식으로 반환합니다.

{
  "Measurements": {
    "HashAlgorithm": "SHA384 { ... }",
    "PCR4": "PCR4_measurement",
    "PCR7": "PCR7_measurement"
  }
}

nitro-tpm-pcr-compute 유틸리티 사용 방법에 대한 실제 예제는 Amazon Linux 2023 이미지 설명 샘플에 포함된 edit_boot_install.sh 스크립트를 참조하세요.