Ενημερώσεις πιστοποιητικών ασφαλούς εκκίνησης για Linux σε εικονικές μηχανές Azure

Ισχύει για
Virtual Machine running Linux

Σημείωση

  • Αρχική ημερομηνία δημοσίευσης: 12 Ιουνίου 2026
  • Αναγνωριστικό KB: 5103014

Σημείωση

Σε αυτό το άρθρο

Εισαγωγή

Η Ασφαλής εκκίνηση είναι μια δυνατότητα ασφαλείας υλικολογισμικού UEFI που διασφαλίζει ότι εκτελείται μόνο αξιόπιστο, ψηφιακά υπογεγραμμένο λογισμικό κατά τη διάρκεια της ακολουθίας εκκίνησης VM. Τα πιστοποιητικά ασφαλούς εκκίνησης της Microsoft που εκδόθηκαν το 2011 αρχίζουν να λήγουν τον Ιούνιο του 2026.

Για να διατηρηθεί η προστασία ασφαλούς εκκίνησης και να συνεχιστεί η συντήρηση της διαδικασίας πρώιμης εκκίνησης, Azure Linux που εκτελείται αξιόπιστη εκκίνηση πρέπει να ενημερωθεί με πιστοποιητικά Secure Boot 2023 DB και KEK σε εικονικό υλικολογισμικό UEFI. Πρέπει να δημιουργηθούν εκ νέου εμπιστευτικές Εικονικές μηχανές για Linux σε Azure με παλιά πιστοποιητικά.

Εάν μια εικονική μηχανή εξακολουθεί να βασίζεται στα πιστοποιητικά του 2011 μετά τη λήξη τους, θα συνεχίσει να εκκινείται. Ωστόσο, δεν θα λαμβάνει πλέον νέες προστασίες ασφαλείας με τη μορφή ενημερώσεων συμβατότητας και μελλοντικών πιστοποιητικών και ανακλήσεων. Οι πελάτες με εικονικές μηχανές που δεν έχουν ενημερωμένα πιστοποιητικά θα πρέπει να συνεχίσουν να συνεργάζονται με τους προμηθευτές διανομών τους για να ενημερώσουν τα πιστοποιητικά τους ακόμα και μετά την ημερομηνία λήξης.

Προσδιορισμός σεναρίων που απαιτούν την ανάληψη δράσης

Εξετάστε τα ακόλουθα σενάρια για να προσδιορίσετε εάν απαιτείται ενέργεια:

  • Linux Trusted Launch VM (TVM) ή Confidential VM (CVM) που δημιουργήθηκαν πριν από τον Απρίλιο του 2024
  • Azure εικόνων της Συλλογής υπολογιστικών συστημάτων που έχουν ληφθεί από παλαιότερες (πριν από τον Απρίλιο του 2024) Linux αξιόπιστη εκκίνηση ή εμπιστευτικές εικονικές μηχανές
  • Στιγμιότυπα ή αντίγραφα ασφαλείας Linux αξιόπιστης εκκίνησης ή εμπιστευτικών εικονικών μηχανών που δημιουργήθηκαν πριν από τον Απρίλιο του 2024
  • Εμπιστευτικές εικονικές μηχανές που δημιουργήθηκαν πριν από τον Απρίλιο του 2024 από blob και έχουν εισαχθεί ως ασφαλής δίσκος.

Η αξιόπιστη εκκίνηση και η εμπιστευτική Εικονικές μηχανές που δημιουργούνται μετά τον Απρίλιο του 2024 συνήθως περιλαμβάνουν ήδη πιστοποιητικά Secure Boot 2023 σε εικονικό υλικολογισμικό UEFI.

Σημείωση

Linux Οι εμπιστευτικές εικονικές μηχανές που δημιουργήθηκαν πριν από τον Απρίλιο του 2024 δεν θα πρέπει να ενημερώνονται με μη αυτόματο τρόπο, καθώς η Εμπιστευτική κρυπτογράφηση δίσκου βασίζεται στην τιμή PCR7 του vTPM, η οποία υπολογίζεται με βάση τις μεταβλητές ασφαλούς εκκίνησης. Η ενημέρωση των πιστοποιητικών ασφαλούς εκκίνησης χωρίς να διασφαλιστεί η επανασφράγιση του κλειδιού FDE θα προκαλέσει τη μετάβαση της εμπιστευτικής εικονικής μηχανής σε λειτουργία ανάκτησης. Συνιστάται να αναδημιουργήσετε τέτοιες παλιές εμπιστευτικές εικονικές μηχανές για να λάβετε τα νέα πιστοποιητικά.

Azure ζητήματα για τις φιλοξενούμενες εικονικές μηχανές

Οι ενημερώσεις ασφαλούς εκκίνησης για Linux σε Azure εικονικές μηχανές περιλαμβάνουν δύο στοιχεία:

  • Πιστοποιητικά ασφαλούς εκκίνησης σε εικονικό υλικολογισμικό (εγκαθίστανται χειροκίνητα μέσω εργαλείων που παρέχονται από το λειτουργικό σύστημα ή αυτόματα μέσω ενημερώσεων ασφαλείας)
  • Linux ενημερώσεις συμβατότητας και φορτωτή εκκίνησης (διαχείριση προμηθευτή διανομής)

Οι λειτουργίες ενημέρωσης ξεκινούν μέσα από το φιλοξενούμενο λειτουργικό σύστημα και βασίζονται στην υποστήριξη πλατφόρμας για την εφαρμογή ενημερώσεων με έλεγχο ταυτότητας σε μεταβλητές ασφαλούς εκκίνησης.

Αφού προσδιορίσετε τα κατάλληλα σενάρια, απογράψτε το περιβάλλον σας για να προσδιορίσετε ποιες εικονικές μηχανές απαιτούν ενημερώσεις.

Απαιτούνται ενέργειες

Για όλες τις εικονικές μηχανές Azure επισκέπτη:

  • Επαληθεύστε εάν υπάρχουν πιστοποιητικά Secure Boot 2023 στο εικονικό υλικολογισμικό UEFI

Μέθοδοι επαλήθευσης

Εκτελέστε αυτές τις εντολές μετά την ενημέρωση και την επανεκκίνηση. Σε μια εικονική μηχανή που ενημερώθηκε με επιτυχία , κάθε εντολή επιστρέφει μια αντίστοιχη γραμμή. Εάν μια εντολή δεν επιστρέφει αποτέλεσμα, το αντίστοιχο πιστοποιητικό 2023 δεν υπάρχει και η ενημέρωση δεν έχει εφαρμοστεί—ελέγξτε ξανά τα βήματα ενημέρωσης πριν από την εφαρμογή.

Τόσο ο έλεγχος DB όσο και ο έλεγχος KEK πρέπει να επιστρέψουν μια γραμμή. Ένα επιτυχώς ενημερωμένο μηχάνημα εμφανίζει το πιστοποιητικό DB 2023 και το πιστοποιητικό KEK 2023.

Χρήση mokutil

Σημείωση

  • mokutil --db | grep "UEFI CA 2023"
  • CN = Microsoft UEFI CA 2023
  • mokutil --kek | grep "KEK 2K CA 2023"
  • CN = Microsoft Corporation KEK 2K CA 2023

Χρήση efitools

Σημείωση

  • efi-readvar -v db | grep "UEFI CA 2023"
  • Microsoft UEFI CA 2023
  • efi-readvar -v KEK | grep "KEK 2K CA 2023"
  • Microsoft Corporation KEK 2K CA 2023

Σημείωση

  • Εάν το 'mokutil' δεν είναι εγκατεστημένο, εγκαταστήστε το από τα τυπικά αποθετήρια της διανομής σας ή χρησιμοποιήστε το 'efi-readvar -v db` / `efi-readvar -v KEK'.
  • Για εμπιστευτικές εικονικές μηχανές, μην εκτελείτε μη αυτόματη ενημέρωση με βάση αυτό το αποτέλεσμα — δημιουργήστε ξανά την εικονική μηχανή όπως περιγράφεται στην ενότητα "Συστάσεις από Azure για εμπιστευτικές εικονικές μηχανές".

Linux ενημέρωση αλυσίδας εκκίνησης

Μετά την επιτυχημένη ενημέρωση υλικολογισμικού, είναι ασφαλής η εφαρμογή ενημερώσεων συμβατότητας από τους προμηθευτές διανομής Linux.

Άλλα ζητήματα Azure πόρων

Azure πόρος Δημιουργήθηκε πριν από τον Απρίλιο του 2024 Απαιτείται ενέργεια για το TVM Απαιτείται ενέργεια για το CVM
Δημιουργία αντιγράφων ασφαλείας/στιγμιότυπο Ναι Εκκίνηση εικονικής μηχανής, εφαρμογή ενημερώσεων, ανάκτηση Αναδημιουργήστε το CVM, ανακτήστε
Δημιουργία αντιγράφων ασφαλείας/στιγμιότυπο Όχι Δεν απαιτείται καμία ενέργεια Δεν απαιτείται καμία ενέργεια
Εικόνα συλλογής υπολογιστικών στοιχείων Ναι Ανάπτυξη, ενημέρωση, ανάκτηση Αναδημιουργήστε το CVM, ανακτήστε
Εικόνα συλλογής υπολογιστικών στοιχείων Όχι Δεν απαιτείται καμία ενέργεια Δεν απαιτείται καμία ενέργεια

Παρακολούθηση κατάστασης ενημέρωσης

Επαληθεύστε τις ενημερώσεις μέσω του φιλοξενούμενου λειτουργικού συστήματος:

  • Επικύρωση επιτυχούς εκκίνησης μετά από ενημερώσεις
  • Επιβεβαιώστε ότι υπάρχουν πιστοποιητικά ασφαλούς εκκίνησης στο υλικολογισμικό

Οι προσεγγίσεις εποπτείας και επικύρωσης ενδέχεται να διαφέρουν ανάλογα με Linux διανομή και θα πρέπει να απευθυνθείτε στον προμηθευτή της διανομής σας.

Για αξιόπιστες εικονικές μηχανές εκκίνησης:

  • Όλες οι ενημερώσεις πρέπει να εφαρμόζονται με τη σωστή σειρά.

    Σημαντικό

    Ενημερώνετε πάντα το υλικολογισμικό Ασφαλούς εκκίνησης (μεταβλητές UEFI) πριν ενημερώσετε το shim ή το bootloader.

  • Συνιστάται να επανεκκινήσετε πρώτα την εικονική μηχανή σας για να βεβαιωθείτε ότι εκτελεί το πιο πρόσφατο υλικολογισμικό και να επαληθεύσετε μια επιτυχημένη εκκίνηση.

  • Ξεκινήστε ενημερώσεις μέσα από το λειτουργικό σύστημα Linux φιλοξενούμενου VM, όπου απαιτείται, σύμφωνα με τις προτεινόμενες οδηγίες και τα εργαλεία του προμηθευτή της διανομής σας.

  • Εάν αντιμετωπίσετε αποτυχίες ενημέρωσης KEK ή DB και δεν κάνατε πρώτα επανεκκίνηση, επανεκκινήστε την εικονική μηχανή σας για να βεβαιωθείτε ότι εκτελεί το πιο πρόσφατο υλικολογισμικό και δοκιμάστε να ενημερώσετε ξανά τα KEK και DB.

  • Η ενημέρωση του shim πριν από την πρώτη ενημέρωση του υλικολογισμικού μπορεί να οδηγήσει σε αποτυχία εκκίνησης.

Για εμπιστευτικές εικονικές μηχανές:

Ανάπτυξη ενημερώσεων

Οι ενημερώσεις πιστοποιητικών ασφαλούς εκκίνησης για Linux σε Azure εικονικές μηχανές ξεκινούν μέσα από το φιλοξενούμενο λειτουργικό σύστημα. Αυτές οι ενημερώσεις διαφέρουν ανάλογα με τους προμηθευτές διανομής και οι πελάτες θα πρέπει πρώτα να επικοινωνήσουν με τον προμηθευτή διανομής τους σχετικά με τη συνιστώμενη μέθοδο.

Σημείωση

  • Μόνο οι προμηθευτές λειτουργικού συστήματος Linux που έχουν δημοσιεύσει οδηγίες ενημέρωσης πιστοποιητικού ασφαλούς εκκίνησης παρατίθενται εδώ. Αυτή η λίστα ενημερώνεται καθώς επιπλέον προμηθευτές δημοσιεύουν τις οδηγίες τους.
  • Εάν ο προμηθευτής της διανομής σας δεν αναφέρεται, αυτό δεν σημαίνει ότι η VM σας δεν επηρεάζεται—σημαίνει ότι ο προμηθευτής δεν έχει δημοσιεύσει ακόμη οδηγίες ενημέρωσης KEK και DB ασφαλούς εκκίνησης 2023. Σε αυτήν την περίπτωση, επικοινωνήστε με τον προμηθευτή διανομής σας για τη συνιστώμενη μέθοδο ή χρησιμοποιήστε μία από τις μη αυτόματες εναλλακτικές μεθόδους ενημέρωσης υλικολογισμικού που περιγράφονται παρακάτω.

Συστάσεις από εγκεκριμένους προμηθευτές λειτουργικού συστήματος Linux:

Συστάσεις από Azure για εμπιστευτικές VM:

  • Ο αριθμός των CVM που δημιουργήθηκαν πριν από τον Απρίλιο του 2024 είναι πολύ χαμηλός. Εάν η εμπιστευτική εικονική μηχανή είναι μία από τις λίγες που δεν διαθέτει τα νέα πιστοποιητικά, ακολουθήστε τα βήματα για να δημιουργήσετε ξανά το CVM.

Εναλλακτικές μέθοδοι ενημέρωσης υλικολογισμικού

Σημείωση

Προτού δοκιμάσουν τις μεταβλητές ενημερώσεις UEFI απευθείας στις εικονικές μηχανές παραγωγής, οι πελάτες μπορούν να χρησιμοποιήσουν το πρότυπο γρήγορης εκκίνησης του Azure για να προσομοιώσουν την εικονική μηχανή αξιόπιστης εκκίνησης του Linux με παλαιότερα πιστοποιητικά CA UEFI 2011.

Σημαντικό

Οι μέθοδοι μη αυτόματης ενημέρωσης υλικολογισμικού σε αυτήν την ενότητα είναι μια εναλλακτική λύση και αμοιβαία αποκλειόμενες με τη συνιστώμενη μεθοδολογία του προμηθευτή διανομής σας. Χρησιμοποιήστε τη μέθοδο του προμηθευτή του λειτουργικού συστήματός σας όποτε είναι πρώτα διαθέσιμη (ανατρέξτε στις Συστάσεις από τους προμηθευτές του λειτουργικού συστήματος Linux). Χρησιμοποιήστε τις παρακάτω μη αυτόματες μεθόδους μόνο όταν ο προμηθευτής σας δεν έχει δημοσιεύσει οδηγίες ή όταν ο προμηθευτής σας σάς το υποδεικνύει ρητά. Μην εφαρμόζετε ταυτόχρονα τη μέθοδο προμηθευτή και μια μη αυτόματη μέθοδο στην ίδια εικονική μηχανή.  Πρέπει να χρησιμοποιήσετε μόνο μία εναλλακτική μέθοδο για ενημερώσεις (fwupd, efitools ή sbsigntools) — δεν είναι απαραίτητο να εκτελέσετε και τις τρεις.  Κάθε διανομή Linux συσκευάζει διαφορετικά εργαλεία και εκδόσεις και μέσω διαφορετικών αποθετηρίων, επομένως είναι σημαντικό να ακολουθήσετε τις οδηγίες που παρέχονται από το λειτουργικό σας σύστημα Linux.

Σημείωση

Η διαθεσιμότητα και οι εκδόσεις των εργαλείων διαφέρουν ανάλογα με τη διανομή και την προέλευση εργαλείων.

Εναλλακτική λύση 1: Χρήση του fwupd

Βεβαιωθείτε ότι η εικονική μηχανή έχει εγκατεστημένη την έκδοση 2.0.8 ή νεότερη.

Για να ενημερώσετε τόσο το KEK όσο και το DB, εκτελέστε αυτές τις εντολές με το fwupdmgr:

Σημείωση

  • sudo fwupdmgr refresh
  • sudo fwupdmgr update

Εναλλακτική λύση 2: Χρήση efitools

  • Λήψη πακέτων ενημέρωσης DB και KEK για Azure.

    Σημείωση

    • wget https://github.com/microsoft/secureboot_objects/raw/refs/heads/main/\
    • PostSignedObjects/Optional/DB/amd64/DBUpdate3P2023.bin
    • wget https://github.com/microsoft/secureboot_objects/raw/refs/heads/main/\
    • PostSignedObjects/KEK/Microsoft/KEKUpdate_Microsoft_PK1.bin

  • Επαληθεύστε τα MD5 ή SHA1 των ληφθέντων δυαδικών αρχείων—θα πρέπει να ταιριάζουν ακριβώς με τα ακόλουθα:

    Σημείωση

    • sha1sum *.bin
    • 87cc5bb2efe9b59c6ad9f717a78e190bf1a191e8 DBUpdate3P2023.bin
    • d9a2fa28017653c26afc3d1b5c001adae9dc16a6 KEKUpdate_Microsoft_PK1.bin
    • md5sum *.bin
    • ef9fd1874610c2077f4c2476661ea4cd DBUpdate3P2023.bin
    • 5e67b7beafac7801fd920e40e3592611 KEKUpdate_Microsoft_PK1.bin

  • Χρησιμοποιήστε το efi-updatevar για να εγκαταστήσετε τα πακέτα ενημέρωσης

    Σημείωση

    • sudo efi-updatevar -a -f DBUpdate3P2023.bin db
    • sudo efi-updatevar -a -f KEKUpdate_Microsoft_PK1.bin KEK
    • sudo reboot

Εναλλακτική λύση 3: Χρήση του sbsigntools

  • Λήψη και επαλήθευση DBUpdate3P2023.bin και KEKUpdate_Microsoft_PK1.bin όπως περιγράφεται στην "Εναλλακτική λύση 2: Χρήση efitools" παραπάνω.

  • Χρησιμοποιήστε το βοηθητικό πρόγραμμα sbkeysync του sbsigntools για να εγκαταστήσετε τα πακέτα ενημέρωσης:

    Σημείωση

    • sudo mkdir -p /etc/secureboot/keys/db
    • sudo cp DBUpdate3P2023.bin /etc/secureboot/keys/db
    • sudo mkdir -p /etc/secureboot/keys/KEK
    • sudo cp KEKUpdate_Microsoft_PK1.bin /etc/secureboot/keys/KEK
    • sudo chattr -i /sys/firmware/efi/efivars/db-*
    • sudo chattr -i /sys/firmware/efi/efivars/KEK-*
    • sudo sbkeysync --verbose
    • sudo chattr +i /sys/firmware/efi/efivars/db-*
    • sudo chattr +i /sys/firmware/efi/efivars/KEK-*
    • sudo reboot

Βήματα μετριασμού σε περίπτωση αποτυχιών εκκίνησης

Σε περίπτωση σφάλματος αποτυχίας, όπως αποτυχία εκκίνησης μετά από ενημέρωση μεταβλητών UEFI, μπορείτε να επαναφέρετε τις ρυθμίσεις UEFI χρησιμοποιώντας μία από τις παρακάτω μεθόδους:

  1. Επαναφέρετε το αντίγραφο ασφαλείας που ελήφθη πριν ξεκινήσετε τη διαδικασία μη αυτόματης ενημέρωσης.
  2. Μετατρέψτε την Trusted Launch VM σε Standard VM και εφαρμόστε ξανά τον τύπο ασφαλείας Trusted Launch στην εικονική μηχανή. (Περισσότερες λεπτομέρειες εδώ: Ενεργοποίηση αξιόπιστης εκκίνησης σε υπάρχουσες εικονικές μηχανές Gen2 - Azure Εικονικές μηχανές | Microsoft Learn)
  3. Εξαγάγετε το λειτουργικό σύστημα vhd σε έναν λογαριασμό αποθήκευσης, δημιουργήστε μια εικόνα συλλογής από το vhd και αναπτύξτε την εικονική μηχανή χρησιμοποιώντας την έκδοση εικόνας συλλογής .

Αποποίηση ευθυνών για πληροφορίες τρίτων κατασκευαστών

Τα προϊόντα τρίτων κατασκευαστών που περιγράφονται σε αυτό το άρθρο κατασκευάζονται από εταιρείες ανεξάρτητες από τη Microsoft. Δεν παρέχουμε καμία εγγύηση, έμμεση ή άλλη, σχετικά με την απόδοση και την αξιοπιστία αυτών των προϊόντων.

Παρέχουμε στοιχεία επικοινωνίας τρίτων για να σας βοηθήσουμε να βρείτε τεχνική υποστήριξη. Αυτά τα στοιχεία επικοινωνίας μπορεί να αλλάξουν χωρίς προειδοποίηση. Δεν εγγυόμαστε την ακρίβεια αυτών των στοιχείων επικοινωνίας τρίτων.

Αρχείο καταγραφής αλλαγών

Αλλαγή ημερομηνίας Περιγραφή αλλαγών
29 Ιουλίου 2026 Σημαντικές αναθεωρήσεις για την προσθήκη σαφήνειας στις απαιτούμενες ενέργειες και εναλλακτικές μεθόδους ενημέρωσης υλικολογισμικού.
18 Ιουνίου 2026 Προστέθηκαν συνδέσεις αναφοράς στην ενότητα "Συστάσεις από προμηθευτές λειτουργικού συστήματος Linux".