Aktualisierungen der Sicherer Start-Zertifikate für Linux in Azure-VMs

Gilt für
Virtual Machine running Linux

Hinweis

  • Ursprüngliches Veröffentlichungsdatum: Dienstag, 12. Juni 2026
  • KB-ID: 5103014

Hinweis

Inhalt dieses Artikels

Einführung

Der sichere Start ist ein UEFI-Firmware-Sicherheitsfeature, mit dem sichergestellt wird, dass während der Startsequenz des virtuellen Computers nur vertrauenswürdige, digital signierte Software ausgeführt wird. Im Jahr 2011 ausgestellte Microsoft Secure Boot-Zertifikate laufen im Juni 2026 ab.

Um den Schutz des sicheren Starts und die fortgesetzte Wartung des frühen Startprozesses aufrechtzuerhalten, muss Azure Trusted Launch unter Linux mit Secure Boot 2023 DB- und KEK-Zertifikaten in der virtuellen UEFI-Firmware aktualisiert werden. Vertrauliche Virtual Machines für Linux auf Azure mit alten Zertifikaten müssen neu erstellt werden.

Wenn eine VM nach Ablauf weiterhin auf die Zertifikate von 2011 angewiesen ist, wird sie weiterhin gestartet. Es erhält jedoch keinen neuen Sicherheitsschutz mehr in Form von SHIM-Updates und zukünftigen Zertifikaten und Sperrungen. Kunden mit VMs, die nicht über aktualisierte Zertifikate verfügen, sollten auch nach dem Ablaufdatum weiterhin mit ihren Distributionsanbietern zusammenarbeiten, um ihre Zertifikate zu aktualisieren.

Identifizieren Sie Szenarien, die Maßnahmen erfordern

Überprüfen Sie die folgenden Szenarien, um zu bestimmen, ob eine Maßnahme erforderlich ist:

  • Linux Trusted Launch VMs (TVM) oder vertrauliche VMs (CVM), die vor April 2024 erstellt wurden
  • Azure Compute Gallery-Images, die auf älteren (vor April 2024) Linux Trusted Launch oder Confidential VMs erfasst wurden
  • Momentaufnahmen oder Sicherungen von Linux Trusted Launch oder Confidential VMs, die vor April 2024 erstellt wurden
  • Vertrauliche VMs, die vor April 2024 aus Blobs erstellt und als sicherer Datenträger importiert wurden.

Trusted Launch und Confidential Virtual Machines, die nach April 2024 erstellt wurden, enthalten in der Regel bereits Secure Boot 2023-Zertifikate in der virtuellen UEFI-Firmware.

Hinweis

Linux Vertrauliche VMs, die vor April 2024 erstellt wurden, sollten nicht manuell aktualisiert werden, da die Confidential Disk Encryption auf dem PCR7-Wert des vTPM basiert, der basierend auf den Variablen für den sicheren Start berechnet wird. Das Aktualisieren der Zertifikate für den sicheren Start ohne Sicherstellung der erneuten Versiegelung des FDE-Schlüssels führt dazu, dass die vertrauliche VM in den Wiederherstellungsmodus wechselt. Es wird empfohlen, solche alten vertraulichen VMs neu zu erstellen, um die neuen Zertifikate zu erhalten.

Überlegungen zu Azure-Gast-VMs

Secure Boot-Updates für Linux auf Azure-VMs umfassen zwei Komponenten:

  • Secure Boot-Zertifikate in virtueller Firmware (manuell über vom Betriebssystem bereitgestellte Tools oder automatisch über Sicherheitsupdates installiert)
  • Linux-Shim- und Bootloader-Updates (vom Distributionsanbieter verwaltet)

Updatevorgänge werden innerhalb des Gastbetriebssystems initiiert und stützen sich auf die Plattformunterstützung, um authentifizierte Updates auf Variablen für den sicheren Start anzuwenden.

Nachdem Sie die zutreffenden Szenarien identifiziert haben, inventarisieren Sie Ihre Umgebung, um zu bestimmen, welche VMs Updates benötigen.

Maßnahmen erforderlich

Für alle Azure-Gast-VMs:

  • Überprüfen Sie, ob Secure Boot 2023-Zertifikate in der virtuellen UEFI-Firmware vorhanden sind

Überprüfungsmethoden

Führen Sie diese Befehle nach dem Update und Neustart aus. Auf einer erfolgreich aktualisierten VM gibt jeder Befehl eine übereinstimmende Zeile zurück. Wenn ein Befehl keine Ausgabe zurückgibt, ist das entsprechende Zertifikat für 2023 nicht vorhanden, und das Update wurde nicht angewendet. Überprüfen Sie die Updateschritte erneut, bevor Sie es anwenden.

Sowohl die DB- als auch die KEK-Prüfung müssen eine Zeile zurückgeben. Ein erfolgreich aktualisierter Computer zeigt das DB-Zertifikat 2023 und das 2023 KEK-Zertifikat an.

Verwenden von mokutil

mokutil --db | grep "UEFI CA 2023"
CN = Microsoft UEFI CA 2023
mokutil --kek | grep "KEK 2K CA 2023"
CN = Microsoft Corporation KEK 2K CA 2023

Verwenden von efitools

efi-readvar -v db | grep "UEFI CA 2023"
Microsoft UEFI CA 2023
efi-readvar -v KEK | grep "KEK 2K CA 2023"
Microsoft Corporation KEK 2K CA 2023

Hinweis

  • Wenn 'mokutil' nicht installiert ist, installieren Sie es aus den Standardrepositorys Ihrer Distribution, oder verwenden Sie stattdessen 'efi-readvar -v db` / `efi-readvar -v KEK'.
  • Führen Sie für vertrauliche VMs kein manuelles Update basierend auf dieser Ausgabe aus, sondern erstellen Sie den virtuellen Computer neu, wie unter Empfehlungen von Azure für vertrauliche VMs beschrieben.

Aktualisierung der Linux-Bootkette

Nach dem erfolgreichen Firmwareupdate können Shim-Updates der Anbieter der Linux-Distributionen angewendet werden.

Andere Überlegungen zu Azure-Ressourcen

Azure-Ressource Erstellt vor April 2024 Erforderliche Aktion für TVM Erforderliche Aktion für CVM
Sicherung/Momentaufnahme Ja VM starten, Updates anwenden, erneut erfassen CVM neu erstellen, erneut erfassen
Sicherung/Momentaufnahme Nein Keine Aktion erforderlich Keine Aktion erforderlich
Compute Gallery-Image Ja Bereitstellen, aktualisieren, erneut erfassen CVM neu erstellen, erneut erfassen
Compute Gallery-Image Nein Keine Aktion erforderlich Keine Aktion erforderlich

Update-Status überwachen

Überprüfen von Updates über das Gastbetriebssystem:

  • Überprüfen des erfolgreichen Starts nach Updates
  • Vergewissern Sie sich, dass Zertifikate für den sicheren Start in der Firmware vorhanden sind

Überwachungs- und Validierungsansätze können je nach Linux-Distribution variieren, und Sie sollten sich an Ihren Distributionsanbieter wenden.

Für vertrauenswürdige Start-VMs:

  • Alle Updates müssen in der richtigen Reihenfolge angewendet werden.

    Wichtig

    Aktualisieren Sie immer die Firmware für den sicheren Start (UEFI-Variablen), bevor Sie Shim oder Bootloader aktualisieren.

  • Es wird empfohlen, den virtuellen Computer zuerst neu zu starten, um sicherzustellen, dass die neueste Firmware ausgeführt wird und ein erfolgreicher Start gewährleistet ist.

  • Initiieren Sie Updates aus dem Betriebssystem der Linux-Gast-VM heraus, wo dies gemäß den empfohlenen Anleitungen und Tools Ihres Distributionsanbieters erforderlich ist.

  • Wenn KEK- oder DB-Aktualisierungsfehler auftreten und Sie nicht zuerst einen Neustart durchgeführt haben, starten Sie Ihren virtuellen Computer neu, um sicherzustellen, dass die neueste Firmware ausgeführt wird, und versuchen Sie erneut, KEK und DB zu aktualisieren.

  • Das Aktualisieren des Shim vor dem Aktualisieren der Firmware kann zu einem Startfehler führen.

Für vertrauliche VMs:

  • Die meisten vertraulichen VMs verfügen bereits über die neuen Zertifikate. Befolgen Sie für vertrauliche VMs ohne Secure Boot 2023-Zertifikate die Anweisungen im Abschnitt Empfehlungen von Azure für vertrauliche VMs.

Bereitstellen von Updates

Updates von Zertifikaten für den sicheren Start für Linux auf Azure-VMs werden innerhalb des Gastbetriebssystems initiiert. Diese Updates unterscheiden sich je nach Distributionsanbieter, und Kunden sollten sich zuerst bei ihrem Distributionsanbieter über die empfohlene Methode informieren.

Hinweis

  • Hier sind nur die Anbieter von Linux-Betriebssystemen aufgeführt, die einen Leitfaden zum Aktualisieren von Zertifikaten für den sicheren Start veröffentlicht haben. Diese Liste wird aktualisiert, sobald weitere Anbieter ihren Leitfaden veröffentlichen.
  • Wenn der Anbieter Ihrer Distribution nicht aufgeführt ist, bedeutet dies nicht, dass Ihre VM nicht betroffen ist, sondern dass der Anbieter den KEK- und DB-Updateleitfaden für den sicheren Start 2023 noch nicht veröffentlicht hat. Wenden Sie sich in diesem Fall an Ihren Distributionsanbieter, um die empfohlene Methode zu erfahren, oder verwenden Sie eine der unten beschriebenen manuellen alternativen Methoden für die Firmwareaktualisierung .

Empfehlungen von unterstützten Linux-Betriebssystemanbietern:

Empfehlungen von Azure für vertrauliche VMs:

  • Die Anzahl der CVMs, die vor April 2024 erstellt wurden, ist sehr gering. Wenn Ihre vertrauliche VM eine der wenigen ist, die nicht über die neuen Zertifikate verfügt, führen Sie die Schritte aus, um das CVM neu zu erstellen.

Alternative Methoden für die Firmwareaktualisierung

Hinweis

Bevor Kunden die UEFI-Variablenupdates direkt auf Produktions-VMs ausprobieren, können sie die Schnellstartvorlage von Azure verwenden, um die Linux Trusted Launch-VM mit älteren UEFI-CA-Zertifikaten von 2011 zu simulieren.

Wichtig

Die manuellen Firmwareupdatemethoden in diesem Abschnitt sind eine Alternative zur empfohlenen Methode Ihres Vertriebsanbieters und schließen diese gegenseitig aus. Verwenden Sie die Methode Ihres Betriebssystemanbieters, wenn zuerst eine verfügbar ist (siehe Empfehlungen von Linux-Betriebssystemherstellern). Verwenden Sie die folgenden manuellen Methoden nur, wenn Ihr Anbieter keine Anleitungen veröffentlicht hat oder wenn Ihr Anbieter Sie explizit dazu auffordert. Wenden Sie nicht sowohl die Vendor-Methode noch die manuelle Methode auf denselben virtuellen Computer an.  Sie müssen nur eine alternative Methode für Updates verwenden (fwupd, efitools oder sbsigntools) – es ist nicht erforderlich, alle drei auszuführen.  Jede Linux-Distribution verpackt unterschiedliche Tools und Versionen über verschiedene Repositorys, daher ist es wichtig, die Anweisungen Ihres Linux-Betriebssystems zu befolgen.

Hinweis

Verfügbarkeit und Versionen von Tools unterscheiden sich je nach Distribution und Toolherkunft.

Alternative 1: Verwenden von fwupd

Stellen Sie sicher, dass auf der VM fwupd Version 2.0.8 oder höher installiert ist.

Führen Sie zum Aktualisieren von KEK und DB die folgenden Befehle mit fwupdmgr aus:

sudo fwupdmgr refresh
sudo fwupdmgr update

Alternative 2: Verwenden von efitools

  • Laden Sie DB- und KEK-Updatepakete für Azure herunter.
wget https://github.com/microsoft/secureboot_objects/raw/refs/heads/main/\\
PostSignedObjects/Optional/DB/amd64/DBUpdate3P2023.bin

wget https://github.com/microsoft/secureboot_objects/raw/refs/heads/main/\\
PostSignedObjects/KEK/Microsoft/KEKUpdate_Microsoft_PK1.bin
  • Überprüfen Sie die MD5- oder SHA1-Datei der heruntergeladenen Binärdateien – sie sollten genau mit den folgenden übereinstimmen:
sha1sum *.bin
87cc5bb2efe9b59c6ad9f717a78e190bf1a191e8 DBUpdate3P2023.bin
d9a2fa28017653c26afc3d1b5c001adae9dc16a6 KEKUpdate_Microsoft_PK1.bin

md5sum *.bin
ef9fd1874610c2077f4c2476661ea4cd DBUpdate3P2023.bin
5e67b7beafac7801fd920e40e3592611 KEKUpdate_Microsoft_PK1.bin
  • Verwenden von efi-updatevar zum Installieren der Updatepakete
sudo efi-updatevar -a -f DBUpdate3P2023.bin db
sudo efi-updatevar -a -f KEKUpdate_Microsoft_PK1.bin KEK
sudo reboot

Alternative 3: Verwenden von sbsigntools

  • Laden Sie es herunter und überprüfen Sie DBUpdate3P2023.bin es KEKUpdate_Microsoft_PK1.bin wie oben unter "Alternative 2: Verwenden von efitools" beschrieben.
  • Verwenden Sie das Dienstprogramm sbkeysync von sbsigntools, um die Updatepakete zu installieren:
sudo mkdir -p /etc/secureboot/keys/db
sudo cp DBUpdate3P2023.bin /etc/secureboot/keys/db
sudo mkdir -p /etc/secureboot/keys/KEK
sudo cp KEKUpdate_Microsoft_PK1.bin /etc/secureboot/keys/KEK
sudo chattr -i /sys/firmware/efi/efivars/db-*
sudo chattr -i /sys/firmware/efi/efivars/KEK-*
sudo sbkeysync --verbose
sudo chattr +i /sys/firmware/efi/efivars/db-*
sudo chattr +i /sys/firmware/efi/efivars/KEK-*
sudo reboot

Risikominderungsschritte bei Startfehlern

In einem Fehlerszenario, z. B. einem Startfehler nach einem UEFI-Variablenupdate, können Sie die UEFI-Einstellungen mit einer der folgenden Methoden zurücksetzen:

  1. Stellen Sie die Sicherung wieder her, die vor dem Starten des manuellen Updateprozesses erstellt wurde.
  2. Konvertieren Sie Trusted Launch VM in Standard VM und wenden Sie den Sicherheitstyp "Vertrauenswürdiger Start" erneut auf der VM an. (Weitere Informationen finden Sie hier: Aktivieren des vertrauenswürdigen Starts auf vorhandenen Gen2-VMs – Azure Virtual Machines | Microsoft Learn)
  3. Exportieren Sie die Betriebssystem-VHD in ein Speicherkonto, erstellen Sie ein Katalogimage von der VHD, und stellen Sie die VM mithilfe der Katalogimageversion bereit.

Informationen zum Haftungsausschluss von Drittanbietern

Die in diesem Artikel genannten Drittanbieterprodukte stammen von Herstellern, die von Microsoft unabhängig sind. Microsoft gewährt keine implizite oder sonstige Garantie in Bezug auf die Leistung oder Zuverlässigkeit dieser Produkte.

Die Kontaktinformationen zu den in diesem Artikel erwähnten Drittanbietern sollen Ihnen helfen, den benötigten technischen Support zu finden. Diese Kontaktinformationen können ohne vorherige Ankündigung geändert werden. Sie werden von Microsoft ohne jede Gewähr weitergegeben.

Änderungsprotokoll

Datum ändern Beschreibung ändern
14. Juli 2026 Link zum Abschnitt "Empfehlungen von Linux-Betriebssystemanbietern" hinzugefügt.
Dienstag, 29. Juni 2026 Größere Überarbeitungen, um die erforderlichen Aktionen und alternative Methoden für die Firmwareaktualisierung zu verdeutlichen.
Dienstag, 18. Juni 2026 Dem Abschnitt "Empfehlungen von Linux-Betriebssystemanbietern" wurden Referenzlinks hinzugefügt.