1. ¿Qué es una Shielded VM?

Una Shielded VM es una máquina virtual de Generación 2 protegida mediante:

• Un TPM virtual (vTPM) que almacena claves de cifrado.
• Cifrado de disco con BitLocker dentro de la VM.
• Restricciones sobre ciertas operaciones administrativas (como acceso a la consola, algunos componentes de integración y exportaciones).

El objetivo es que incluso un administrador del host con privilegios tenga muy difícil inspeccionar o manipular el contenido de la VM protegida.

2. Guarded fabric y Host Guardian Service (HGS)

Para escenarios de centro de datos, las Shielded VMs se apoyan en un concepto llamado guarded fabric, compuesto por:

• Uno o varios Host Guardian Service (HGS), encargados de atestación y entrega de claves.
• Guarded hosts, es decir, hosts Hyper-V autorizados para ejecutar Shielded VMs.
• El conjunto de Shielded VMs que sólo pueden arrancar en hosts confiables.

El flujo simplificado es:

1. El host Hyper-V se presenta ante HGS y demuestra que es un host confiable.
2. Si pasa la atestación, HGS libera las claves necesarias para arrancar la Shielded VM.
3. La VM se inicia con sus discos cifrados y protegidos.

3. Requisitos clave para usar Shielded VMs

Aunque los detalles pueden variar según la versión de Windows Server, hay requisitos comunes:

• VMs de Generación 2 con arranque UEFI.
• Soporte de vTPM y Secure Boot en Hyper-V.
• Infraestructura de Host Guardian Service (idealmente en alta disponibilidad).
• Procedimientos de administración y recuperación bien definidos.

En entornos pequeños puedes usar configuraciones más sencillas, pero el concepto base sigue siendo:
sólo hosts confiables pueden arrancar las VMs protegidas.

4. Escenarios donde Shielded VMs tiene sentido

• Cargas extremadamente sensibles: servidores de pagos, sistemas financieros, bases de datos con información confidencial.
• Entornos multi-tenant: proveedores de hosting o nubes privadas donde distintas áreas o clientes comparten la misma infraestructura física.
• Separación fuerte de funciones: cuando el equipo que administra las VMs no debe poder leer los datos que contienen.

5. Pasos de alto nivel para desplegar Shielded VMs

1. Preparar HGS: desplegar servidores para Host Guardian Service, configurar atestación (por ejemplo, basada en código de arranque o en hardware).
2. Convertir hosts en guarded hosts: registrar hosts Hyper-V con HGS y validar que cumplen requisitos de seguridad.
3. Crear plantillas protegidas: generar una imagen de referencia (por ejemplo, un archivo de plantilla) para crear nuevas Shielded VMs.
4. Crear y administrar Shielded VMs: a partir de la plantilla, desplegar VMs que sólo puedan arrancar en hosts confiables.

Detallar cada paso implica una guía completa por sí misma, pero este esquema te ayuda a entender las piezas del rompecabezas.

6. Consideraciones operativas antes de adoptar Shielded VMs

• Complejidad: la seguridad adicional viene acompañada de más componentes
  (HGS, plantillas, políticas). No es una solución “click siguiente y listo”.
• Procedimientos de recuperación: define claramente cómo actuar si un host falla,
  cómo mover Shielded VMs y cómo restaurarlas desde backup.
• Monitorización: vigila la salud de HGS, el estado de atestación y los eventos
  de seguridad relacionados con tus Shielded VMs.
• Formación del equipo: los administradores deben comprender bien la diferencia
  entre una VM “normal” y una Shielded VM para no quedarse bloqueados ante un incidente.

7. ¿Cuándo no tiene sentido usar Shielded VMs?

No todas las cargas necesitan el nivel de protección que aportan las Shielded VMs. Algunos casos
donde puede no ser la mejor opción:

• Laboratorios de prueba y entornos desechables.
• Servidores internos con datos no sensibles y vida útil corta.
• Pequeñas instalaciones donde el coste y la complejidad superan el beneficio de seguridad.

Conclusión

Las Shielded VMs son una respuesta robusta a un problema real: cómo proteger máquinas virtuales
incluso frente a administradores de infraestructura curiosos o hosts comprometidos. En combinación
con un diseño de red sólido, buenas prácticas de backup y hardening del sistema, se convierten en
una pieza clave para proteger las joyas de la corona de tu organización.