Windows 11 ve Windows Server 2025 gibi yeni nesil sistemler, sanallaştırma ortamlarında çalıştırılabilmek için sanal Güvenilir Platform Modülü (vTPM) desteğine ihtiyaç duyuyor. Hyper-V platformu vTPM desteğini sunuyor ancak bu özellik, sanal makineler farklı bir sunucuya taşındığında ciddi sertifika sorunlarına yol açabiliyor.
Hyper-V Üzerinde vTPM Nasıl Çalışıyor?
Hyper-V, nesil 2 sanal makinelerde vTPM özelliğini etkinleştirdiğinde, bu özellik için otomatik olarak iki adet kendinden imzalı sertifika oluşturuyor. Sertifikalar, sanal makinenin bulunduğu fiziksel sunucuda yer alan özel bir sertifika deposuna kaydediliyor. Microsoft, bu sertifikalara aşağıdaki adları veriyor:
- Shielded VM Encryption Certificate (UntrustedGuardian)(BilgisayarAdı)
- Shielded VM Signing Certificate (UntrustedGuardian)(BilgisayarAdı)
Bu sertifikalar varsayılan olarak 10 yıl geçerliliğe sahip. Sanal makine aynı Hyper-V sunucusunda kaldığı sürece herhangi bir sorun yaşanmıyor. Ancak bu süre zarfında makinenin başka bir sunucuya taşınması planlanıyorsa, mevcut yapı sorun yaratabiliyor.
Hyper-V üzerinde vTPM kullanan bir sanal makineyi başka bir sunucuya aktarmak istendiğinde, vTPM sertifikalarının çalışmaması sık görülen bir sorun olarak öne çıkıyor. Yeni sunucu, eski sunucuda oluşturulan ve yerel sertifika deposuna kaydedilen bu özel sertifikaları tanımıyor. Bu durumda sanal makine üzerindeki güvenlik işlevleri, örneğin Secure Boot ya da BitLocker, çalışmaz hâle geliyor.
Bu tür senaryolarda yöneticilerin, sanal makineleri taşırlarken vTPM sertifikalarını da hedef sunucuya aktarmaları büyük önem taşıyor. Sertifikaların hem hedef sistemde yüklü olması hem de güvenilir olarak işaretlenmesi gerekiyor.
Microsoft yetkilisi Orin Thomas, 7 Temmuz 2025 tarihinde yayımladığı teknik yazısında bu konuya detaylı şekilde değindi. Yazıda, yöneticilerin vTPM özellikli sanal makineleri sorunsuz taşıyabilmesi için sertifikaların nasıl yedeklenip diğer Hyper-V sunucularına aktarılabileceğini anlattı.
Thomas’ın aktardığına göre, taşınacak her sanal makineyle birlikte hem şifreleme hem de imzalama sertifikalarının da manuel olarak yeni sunucuya yüklenmesi gerekiyor. Aksi takdirde sanal makine açılmayabiliyor ya da güvenli önyükleme ve disk şifreleme gibi işlevler devre dışı kalabiliyor.
Hyper-V altyapısında kullanılan bu özel vTPM sertifikaları, Windows’un geleneksel sertifika yönetimi altyapısından bağımsız çalışıyor. Bu nedenle sistem yöneticileri bu süreci manuel olarak yürütmek zorunda kalıyor. Microsoft, hâlihazırda vTPM sertifikaları için merkezî bir yönetim aracı ya da otomatik senkronizasyon çözümü sunmuyor.
İleriye dönük olarak büyük sanal altyapılar yöneten BT ekiplerinin bu konuya özellikle dikkat etmesi gerekiyor. Sertifikaların güvenilir şekilde aktarılmaması, sanal makinelerin beklenmedik şekilde çalışmamasına ya da güvenlik açıklarına neden olabilir.
