Atualizar AMIs atestáveis que não têm acesso interativo
Quando você inicia uma instância usando uma AMI de ambiente computacional isolado, não há como nenhum usuário ou operador se conectar à instância. Isso significa que não existe nenhuma maneira de instalar ou atualizar software na instância após a inicialização.
Se for necessário um novo software ou uma atualização de software, será necessário uma nova AMI atestável que inclua o software ou as atualizações de software requeridas. Depois, use essa AMI para iniciar uma nova instância ou para realizar uma substituição do volume raiz na instância original. Qualquer alteração de software feita na AMI resultará na geração de um novo hash.
As ações a seguir resultarão em uma alteração nas medidas de referência do atestado do NitroTPM:
-
Interromper e iniciar uma instância iniciada com uma AMI atestável
-
Realizar uma substituição de volume raiz por uma AMI diferente
Se você realizar qualquer uma dessas ações, deverá atualizar o serviço de atestado com as novas medidas de referência. Por exemplo, você deverá atualizar a política de chaves do KMS com as novas medidas de referência se estiver usando o AWS KMS para atestação.
Uma instância retém o material de chave do NitroTPM durante todo o seu ciclo de vida e persiste durante interrupções/inícios e operações de substituição de volume raiz.
