Забележка
- Първоначална дата на публикуване: 13 май 2026 г.
- ИД на БЗ: 5085395
Забележка
Тази статия има указания за:
- Виртуални машини (TVM) с надеждно стартиране на Azure и поверителни виртуални машини (CVM) с Windows с разрешено защитено зареждане.
- За пълния списък на поддържаните операционни системи Windows вижте статията: Надеждно стартиране за виртуални машини на Azure
В тази статия:
Въведение
Защитеното стартиране е функция за защита на фърмуера UEFI, която помага да се гарантира, че само надежден, цифрово подписан софтуер ще се изпълнява по време на последователността на стартиране на устройството. Сертификатите за защитено стартиране на Microsoft, издадени през 2011 г., изтичат през юни 2026 г.
За да се поддържат защитите при защитено стартиране и непрекъснато обслужване на процеса на ранно стартиране, виртуалните машини за надеждно стартиране и поверително на Azure трябва да бъдат актуализирани с двете от следните неща:
- Сертификати за защитено стартиране 2023 във виртуален фърмуер
- Диспечер за зареждане на Windows, подписан с актуализираните сертификати
Тези компоненти работят заедно: сертификатите установяват доверие във виртуалния фърмуер и диспечерът за зареждане трябва да бъде актуализиран, за да бъде подписан от този гарант.
За да предотвратите пропуски в защитата, уверете се, че и двата компонента са актуализирани и при необходимост стартирайте актуализации.
Ако дадена виртуална машина продължи да разчита на сертификати от 2011 след изтичане на срока, тя може да продължи да се зарежда и да получава стандартни актуализации на Windows. Въпреки това той вече няма да получава нови защити за процеса на ранно стартиране, включително актуализации на диспечера за зареждане на Windows, бази данни за защитено стартиране и списъци за анулиране или смекчавания на новооткрити уязвимости на ниво стартиране.
За да научите повече, вижте Кога изтича срокът на сертификатите за защитено стартиране на устройства с Windows.
Идентифициране на сценарии, които изискват действие
В повечето случаи Windows прилага сертификатите за защитено стартиране 2023 автоматично чрез месечни актуализации на отговарящи на изискванията устройства, включително поддържани надеждно стартиране на Azure и поверителни виртуални машини с разрешено защитено зареждане. Някои виртуални машини може да не отговарят на условията за автоматично разполагане, ако няма достатъчно сигнали за съвместимост. В тези случаи може да е необходимо административно действие за иницииране на актуализации от операционната система на госта. За повече информация как да получите актуализации на сертификати за защитено стартиране посетете: Актуализации на сертификата за защитено стартиране: указания за професионалисти и организации в областта на информационните технологии.
Актуализациите на защитеното стартиране за надеждно стартиране и поверително виртуални машини на Azure включват два компонента:
- Сертификати за защитено стартиране, съхранявани във виртуален фърмуер (управлявани от платформата)
- Диспечер за зареждане на Windows (управляван от вторична ОС)
Виртуалните машини, създадени след март 2024 г., обикновено вече включват сертификатите за защитено стартиране 2023 във виртуалния фърмуер. Тези виртуални машини обикновено изискват само актуализация на диспечера за зареждане на Windows.
Дългосрочните виртуални машини, създадени преди март 2024 г., не включват сертификатите за защитено стартиране 2023 във виртуалния фърмуер и изискват актуализации както на сертификатите за защитено стартиране, така и на диспечера за зареждане на Windows.
Операциите за актуализиране се инициират от операционната система гост чрез обслужване на Windows и разчитат на поддръжката на платформи за прилагане на удостоверени актуализации към променливи на защитеното стартиране във виртуален фърмуер.
След като идентифицирате приложимите сценарии, направете опис на вашата среда, за да определите кои виртуални машини изискват актуализации.
Изискват се действия:
- Уверете се, че гост виртуалните машини са актуализирани с актуализацията на Windows от март 2026 г. или по-нова версия (април 2026 г. или по-нова версия, ако използвате бърза поправка). Вижте още: Бърза поправка за Windows Server.
- Уверете се, че всички надеждни стартирани и поверителни виртуални машини на Azure имат сертификати за защитено стартиране 2023 и актуализиран диспечер за зареждане на Windows.
- Иницииране на актуализации от операционната система на госта, за да се приложи сертификат за защитено стартиране и актуализации на диспечера за зареждане на Windows, когато е необходимо.
- Проверете системните регистри на събитията на Windows: ИД на събитие 1808 и ИД на събитие 1801 или наблюдавайте ключа от системния регистър UEFICA2023Status , за да проверите дали са приложени актуализирани сертификати за защитено стартиране и дали е актуализиран диспечерът за зареждане на Windows.
За устройства, които не са приложили тези актуализации, използвайте методите за наблюдение и разполагане, описани в тактическия наръчник за защитено стартиране, Windows Server тактическия наръчник за защитено стартиране за сертификати, изтичащи през 2026 г., и в https://aka.ms/GetSecureBoot за пълни указания.
Съображения за вторични виртуални машини на Azure
Прегледайте следните сценарии и задължителни действия за хостове на сесия:
| Сценарий с VM | Защитеното стартиране активно ли е? | Изисква се действие |
|---|---|---|
| TVM или CVM с разрешено защитено зареждане | Да | Актуализиране на сертификати за защитено стартиране и диспечера за зареждане на Windows |
| TVM със защитено зареждане е забранено | Не | Не е необходимо действие |
| Generation 1 VM | Не се поддържа | Не е необходимо действие |
Забележка
Виртуалните машини от тип защита от тип Standard нямат активирано защитено зареждане.
Съображения за златни изображения
Прегледайте следните сценарии и задължителни действия за изображенията:
Забележка
Изображенията от пазара на Azure предоставят предварително конфигурирани начални точки, ванилия или изображения по подразбиране на издателите, докато изображенията на изчислителната галерия на Azure се използват за съхраняване и разпространение на персонализирани изображения. И в двата случая изображенията заснемат диспечера за зареждане на Windows, но не включват променливи на фърмуера за защитено стартиране, които се прилагат на ниво виртуална машина.
Изчислителната галерия на Azure и управляваните изображения заснемат състоянието на операционната система и зареждащия служебни програми, включително диспечера за зареждане на Windows, но не включват променливи за фърмуера за защитено стартиране. Сертификатите за защитено стартиране, като например актуализациите на базата данни със защитено стартиране (DB) или ключовете за обмен на ключове (KEK), се съхраняват във виртуалния фърмуер на разположената виртуална машина и не се заснемат по време на обобщаването на изображението.
Прилагането на актуализации на защитеното стартиране в златист образ усъвършенства диспечера за зареждане на Windows, но не запазва сертификатите за защитено стартиране на виртуални машини, осигурени от това изображение. Извършването на тази актуализация обаче подобрява диспечера за зареждане на Windows в изображението.
Изискват се действия:
Приложете актуализацията на Secure Boot 2023 към златното изображение, преди да го заснемете. Забележка: Това подобрява диспечера за зареждане на Windows, но няма да запази сертификатите за защитено стартиране на разположени виртуални машини.
Рестартирайте VM, както е необходимо, за да позволите да се приложи актуализацията на диспечера за зареждане.
Уверете се, че актуализацията е завършила, преди да обобщите изображението, като изпълните следната команда на PowerShell и потвърдите, че стойността е зададена на "Актуализирана":
Забележка
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing" | Select-Object UEFICA2023Status
Актуализирането на диспечера за зареждане на Windows в златисто изображение прилага тази актуализация за виртуални машини, разположени или разположени повторно с помощта на изображението. Новоосигурените виртуални машини за надеждно стартиране и поверително стартиране на Azure включват сертификатите за защитено стартиране 2023 във виртуален фърмуер и могат безопасно да използват златни изображения с актуализирания диспечер за зареждане на Windows.
Въпреки това, базирани на изображения преразполагания на съществуващи виртуални машини, създадени преди март 2024 г., може да приложат актуализирания диспечер за зареждане на Windows за виртуални машини, чийто фърмуер все още не се доверява на съответните сертификати за защитено стартиране 2023. В тези случаи актуализациите на сертификата за защитено стартиране трябва да се приложат в операционната система на госта, преди да се премине към диспечера за зареждане на Windows.
Други съображения за ресурсите на Azure
| Ресурс на Azure | Създадени преди април 2024 г.? | Изисква се действие |
|---|---|---|
| Архивиране/снимка на TVM или CVM | Да | Стартирайте VM, приложете актуализациите и след това заснемете отново |
| Архивиране/снимка на TVM или CVM | Не | Не е необходимо действие |
| Заснети изображения от галерията с изчисления на Azure (тип защита на изображението = TL или CVM) от TVM или CVM | Да | Стартирайте VM, приложете актуализациите и след това заснемете отново |
| Заснети изображения от галерията с изчисления на Azure (тип защита на изображението = TL или CVM) от TVM или CVM | Не | Не е необходимо действие |
Следене на състоянието на актуализациите
Наблюдението и разполагането за актуализации на сертификати за защитено стартиране във виртуални машини на Azure за надеждно стартиране и поверително следват едни и същи указания за обслужване на Windows, използвани за физически и виртуализирани устройства.
За подробни указания за наблюдение, включително как да правите описи на устройства, да проверявате променливи актуализации на фърмуера и да проследявате хода на актуализацията, вижте тактическия наръчник за защитено стартиране за Windows Server и https://aka.ms/GetSecureBoot.
Разполагане на актуализации
Актуализациите на сертификати за защитено стартиране за виртуални машини за надеждно стартиране и поверително стартиране на Azure се инициират от операционната система гост с помощта на обслужването на Windows.
Следвайте указанията за разполагане в тактического наръчника за защитено стартиране за Windows Server за:
- автоматично разполагане чрез актуализиране на Windows
- Методи на внедряване, инициирано от ИТ
- Обслужване на ключове от системния регистър
- Последователност на разполаганията
Когато използвате персонализирани или повторно използвани изображения на виртуална машина, вижте съображенията за Golden image в тази статия, преди да преминете към диспечера за зареждане на Windows.
Ресурси
- Показалец "Получаване на защитено стартиране " за повече информация относно тази промяна, подробни указания за управление на актуализацията на сертификата за защитено стартиране и отговори на често задавани въпроси.
- Тактический наръчник за защитено стартиране за Windows Server
- Актуализации на сертификата за защитено стартиране: указания за професионалисти и организации в областта на информационните технологии
- За повече информация относно събитията в регистъра на събитията вж. събитията за актуализиране на променливи DB за защитено стартиране и DBX.
- За повече информация относно ключовете от системния регистър за защитено стартиране вж. Актуализации на ключове от системния регистър за защитено стартиране: устройства с Windows с актуализации, управлявани от информационни технологии.
Ако имате план за поддръжка и имате нужда от техническа помощ, подайте заявка за поддръжка.
Регистър на промените
| Промяна на датата | Описание на промяната |
|---|---|
| 13 май 2026 г. | Няма промени в тази статия |