Sikker bootstartopdatering fra 2011 til 2023-certifikater: Tvm-maskiner (Trusted Launch VM) og Fortrolige VM'er (CVM)

Introduktion

Sikker bootstart er en UEFI-firmwaresikkerhedsfunktion, der er med til at sikre, at kun pålidelig, digitalt signeret software kører under enhedens startsekvens. Microsoft Secure Boot-certifikater, der er udstedt i 2011, begynder at udløbe i juni 2026. 

Hvis du vil bevare beskyttelse mod sikker bootstart og fortsat vedligeholdelse af den tidlige startproces, skal Azure pålidelige startcomputere og fortrolige virtuelle maskiner opdateres med begge følgende: 

• Secure Boot 2023-certifikater i virtuel firmware

• En Windows Boot Manager, der er signeret af de opdaterede certifikater

Disse komponenter arbejder sammen: Certifikaterne etablerer tillid til virtuel firmware, og Boot Manager skal opdateres til at være signeret af det pågældende tillidsforhold. 

For at forhindre huller i beskyttelsen skal du kontrollere, at begge komponenter opdateres, og starte opdateringer, hvor det er nødvendigt. 

Hvis en VM fortsat er afhængig af 2011-certifikater efter udløbet, kan den fortsætte med at starte og modtage standardopdateringer til Windows. Den vil dog ikke længere modtage ny sikkerhedsbeskyttelse til den tidlige startproces, herunder opdateringer til Windows Boot Manager, Secure Boot-databaser og lister over tilbagekaldte filer eller afhjælpning af nyligt opdagede sårbarheder på startniveau. 

Du kan få mere at vide under Når certifikater til sikker bootstart udløber på Windows-enheder.

tilbage til toppen 

Identificer scenarier, der kræver handling

I de fleste tilfælde anvender Windows certifikater til sikker bootstart 2023 automatisk via månedlige opdateringer på berettigede enheder, herunder understøttede Azure Start, der er tillid til, og Fortrolige virtuelle maskiner med Sikker bootstart aktiveret. Nogle virtuelle maskiner er muligvis ikke berettiget til automatisk installation, hvis der ikke er tilstrækkelige kompatibilitetssignaler tilgængelige. I disse tilfælde kan det være nødvendigt at foretage administrative handlinger for at starte opdateringer fra gæsteoperativsystemet. Du kan finde flere oplysninger om, hvordan du får opdateringer af certifikater til sikker bootstart, ved at besøge: Opdateringer af certifikat til sikker bootstart: Vejledning til it-fagfolk og organisationer.

Opdateringer til sikker bootstart til Azure, der er tillid til, og fortrolige virtuelle maskiner involverer to komponenter: 

• Certifikater til sikker bootstart, der er gemt i virtuel firmware (platform-administreret)

• Windows Boot Manager (guest OS-managed)

Virtuelle maskiner, der er oprettet efter marts 2024, indeholder typisk allerede Secure Boot 2023-certifikater i virtuel firmware. Disse virtuelle maskiner kræver normalt kun en opdatering til Windows Boot Manager. 

Virtuelle maskiner, der kører længe, og som er oprettet før marts 2024, omfatter ikke certifikater til sikker bootstart 2023 i virtuel firmware og kræver opdateringer til både certifikater til sikker bootstart og Windows Boot Manager. 

Opdateringshandlinger startes fra gæsteoperativsystemet via Windows-vedligeholdelse og er afhængige af platformsunderstøttelse for at anvende godkendte opdateringer på variabler for sikker bootstart i virtuel firmware. 

Når du har identificeret relevante scenarier, skal du opbevare dit miljø for at afgøre, hvilke virtuelle maskiner der kræver opdateringer. 

Påkrævede handlinger: 

• Sørg for, at virtuelle gæstebeskeder opdateres med Windows-opdateringen for marts 2026 eller nyere (april 2026 eller nyere, hvis du bruger hotpatching). Se mere: Hotpatch til Windows Server.

• Kontrollér, at alle Azure pålidelig start og fortrolige virtuelle maskiner har certifikater til sikker bootstart 2023 og en opdateret Windows Boot Manager.

• Påbegynd opdateringer fra gæsteoperativsystemet for at anvende certifikat til sikker bootstart og Windows Boot Manager-opdateringer, hvor det er nødvendigt.

• Overvåg hændelseslogfilerne for Windows-systemet: Hændelses-id 1808 og hændelses-id 1801, eller overvåg registreringsdatabasenøglen UEFICA2023Status for at bekræfte, om der er anvendt opdaterede certifikater til sikker bootstart, og om Windows Boot Manager er blevet opdateret.

For enheder, der ikke har anvendt disse opdateringer, skal du bruge overvågnings- og installationsmetoderne, der er beskrevet i Sikker bootstart-strategibog, Windows Server Secure Boot playbook for certifikater, der udløber i 2026, og på https://aka.ms/GetSecureBoot for at få en komplet vejledning. 

tilbage til toppen

Azure overvejelser i forbindelse med gæste-VM

Gennemse følgende scenarier og påkrævede handlinger for sessionsværter:

tilbage til toppen

Overvåge opdateringsstatus

Overvågning og installation af sikker bootstartcertifikatopdateringer i Azure Pålidelig start og Fortrolige virtuelle maskiner følger den samme Windows-servicevejledning, der bruges til fysiske og virtualiserede enheder. 

Du kan finde detaljerede overvågningsvejledninger, herunder hvordan du lagerenheder, kontrollerer opdateringer af firmwarevariable og sporer opdateringsfremdrift, i Sikker bootstart-playbook for at få Windows Server og https://aka.ms/GetSecureBoot.

Installér opdateringer

Sikker bootstartcertifikatopdateringer til Azure Pålidelige start og Fortrolige virtuelle maskiner startes fra gæsteoperativsystemet ved hjælp af Windows-vedligeholdelse.  

Følg installationsvejledningen i Secure Boot Playbook for Windows Server til:

• automatisk installation via Windows Update

• It-initierede installationsmetoder

• vedligeholdelse af registreringsdatabasenøgler

• rækkefølge af installation

Når du bruger brugerdefinerede eller genbrugede virtuelle maskinafbildninger, skal du se Overvejelser i forbindelse med gyldne afbildninger i denne artikel, før du går videre til Windows Boot Manager. 

tilbage til toppen

Ressourcer

• Bogmærke Hent sikker bootstart for at få flere oplysninger om denne ændring, detaljeret vejledning til administration af sikker bootstartcertifikatopdatering og svar på ofte stillede spørgsmål.

• Playbook til sikker bootstart til Windows Server

• Opdateringer til Secure Boot Certificate: Vejledning til it-fagfolk og organisationer

• Du kan finde flere oplysninger om hændelsesloghændelser i Sikker bootstart DB- og DBX-variable opdateringshændelser.

• Du kan finde flere oplysninger om registreringsdatabasenøgler til sikker bootstart under Opdateringer af registreringsdatabasenøgler til Sikker bootstart: Windows-enheder med it-administrerede opdateringer.

Hvis du har en supportplan og har brug for teknisk hjælp, skal du indsende en supportanmodning. 

tilbage til toppen

Ændringslog

tilbage til toppen