Mise à jour du démarrage sécurisé de 2011 à 2023 : machines virtuelles de lancement fiable (TVM) et machines virtuelles confidentielles (CVM)

Introduction

Le démarrage sécurisé est une fonctionnalité de sécurité du microprogramme UEFI qui permet de garantir que seuls les logiciels approuvés et signés numériquement s’exécutent pendant la séquence de démarrage de l’appareil. Les certificats de démarrage sécurisé Microsoft émis en 2011 commencent à expirer en juin 2026. 

Pour maintenir les protections de démarrage sécurisé et la maintenance continue du processus de démarrage précoce, Azure lancement fiable et les machines virtuelles confidentielles doivent être mises à jour avec les deux éléments suivants : 

• Certificats de démarrage sécurisé 2023 dans le microprogramme virtuel

• Un Gestionnaire de démarrage Windows signé par les certificats mis à jour

Ces composants fonctionnent ensemble : les certificats établissent une approbation dans le microprogramme virtuel, et le gestionnaire de démarrage doit être mis à jour pour être signé par cette approbation. 

Pour éviter les lacunes dans la protection, vérifiez que les deux composants sont mis à jour et lancez des mises à jour si nécessaire. 

Si une machine virtuelle continue de s’appuyer sur les certificats 2011 après l’expiration, elle peut continuer à démarrer et à recevoir des mises à jour Windows standard. Toutefois, il ne recevra plus de nouvelles protections de sécurité pour le processus de démarrage précoce, notamment les mises à jour du Gestionnaire de démarrage Windows, les bases de données de démarrage sécurisé et les listes de révocation, ni des atténuations pour les vulnérabilités de niveau de démarrage nouvellement découvertes. 

Pour plus d’informations, consultez Quand les certificats de démarrage sécurisé expirent sur les appareils Windows.

Retour au début 

Identifier les scénarios qui nécessitent une action

Dans la plupart des cas, Windows applique automatiquement les certificats de démarrage sécurisé 2023 via des mises à jour mensuelles sur les appareils éligibles, y compris les machines virtuelles Azure lancement fiable et confidentielles prises en charge avec le démarrage sécurisé activé. Certaines machines virtuelles peuvent ne pas être éligibles au déploiement automatique si des signaux de compatibilité suffisants ne sont pas disponibles. Dans ce cas, une action administrative peut être nécessaire pour lancer des mises à jour à partir du système d’exploitation invité. Pour plus d’informations sur la façon d’obtenir les mises à jour des certificats de démarrage sécurisé, consultez : Mises à jour des certificats de démarrage sécurisé : Conseils pour les professionnels de l’informatique et les organisations.

Les mises à jour de démarrage sécurisé pour Azure lancement fiable et les machines virtuelles confidentielles impliquent deux composants : 

• Certificats de démarrage sécurisé stockés dans un microprogramme virtuel (géré par la plateforme)

• Gestionnaire de démarrage Windows (géré par le système d’exploitation invité)

Les machines virtuelles créées après mars 2024 incluent généralement déjà les certificats De démarrage sécurisé 2023 dans le microprogramme virtuel. Ces machines virtuelles nécessitent généralement uniquement une mise à jour du Gestionnaire de démarrage Windows. 

Les machines virtuelles de longue durée créées avant mars 2024 n’incluent pas les certificats de démarrage sécurisé 2023 dans le microprogramme virtuel et nécessitent des mises à jour des certificats de démarrage sécurisé et du Gestionnaire de démarrage Windows. 

Les opérations de mise à jour sont lancées à partir du système d’exploitation invité via la maintenance Windows et s’appuient sur la prise en charge de la plateforme pour appliquer des mises à jour authentifiées aux variables de démarrage sécurisé dans le microprogramme virtuel. 

Après avoir identifié les scénarios applicables, inventoriez votre environnement pour déterminer quelles machines virtuelles nécessitent des mises à jour. 

Actions requises : 

• Vérifiez que les machines virtuelles invitées sont mises à jour avec la mise à jour Windows de mars 2026 ou ultérieure (avril 2026 ou version ultérieure si vous utilisez la mise à jour à chaud). En savoir plus : Hotpatch pour Windows Server.

• Vérifiez que toutes les machines virtuelles de lancement approuvé et confidentielles Azure disposent des certificats Démarrage sécurisé 2023 et d’un Gestionnaire de démarrage Windows mis à jour.

• Lancez des mises à jour à partir du système d’exploitation invité pour appliquer les mises à jour du certificat de démarrage sécurisé et du Gestionnaire de démarrage Windows si nécessaire.

• Auditez les journaux des événements du système Windows : ID d’événement 1808 et ID d’événement 1801, ou surveillez la clé de Registre UEFICA2023Status pour vérifier si les certificats de démarrage sécurisé mis à jour ont été appliqués et si le Gestionnaire de démarrage Windows a été mis à jour.

Pour les appareils qui n’ont pas appliqué ces mises à jour, utilisez les méthodes de surveillance et de déploiement décrites dans le playbook de démarrage sécurisé, Windows Server playbook démarrage sécurisé pour les certificats arrivant à expiration en 2026, et à https://aka.ms/GetSecureBoot pour obtenir des conseils complets. 

Retour au début

considérations relatives aux machines virtuelles invitées Azure

Passez en revue les scénarios suivants et les actions requises pour les hôtes de session :

Retour au début

Surveiller les status de mise à jour

La surveillance et le déploiement des mises à jour de certificat de démarrage sécurisé dans Azure lancement fiable et les machines virtuelles confidentielles suivent les mêmes instructions de maintenance Windows que celles utilisées pour les appareils physiques et virtualisés. 

Pour obtenir des conseils de surveillance détaillés, notamment sur l’inventaire des appareils, la vérification des mises à jour des variables de microprogramme et le suivi de la progression des mises à jour, consultez le playbook de démarrage sécurisé pour Windows Server et https://aka.ms/GetSecureBoot.

Déployer des mises à jour

Les mises à jour de certificat de démarrage sécurisé pour Azure lancement approuvé et les machines virtuelles confidentielles sont lancées à partir du système d’exploitation invité à l’aide de la maintenance Windows.  

Suivez les instructions de déploiement dans le playbook de démarrage sécurisé pour Windows Server pour :

• déploiement automatique via Windows Update

• Méthodes de déploiement lancées par le service informatique

• maintenance des clés de Registre

• séquencement de déploiement

Lorsque vous utilisez des images de machine virtuelle personnalisées ou réutilisées, consultez considérations relatives aux images d’or dans cet article avant de faire progresser le Gestionnaire de démarrage Windows. 

Retour au début

Ressources

• Signet Obtenir le démarrage sécurisé pour plus d’informations sur cette modification, des instructions détaillées sur la gestion de la mise à jour du certificat de démarrage sécurisé et des réponses aux questions fréquemment posées.

• Playbook de démarrage sécurisé pour Windows Server

• Mises à jour des certificats de démarrage sécurisé : conseils pour les professionnels de l’informatique et les organisations

• Pour plus d’informations sur les événements du journal des événements, consultez Événements de mise à jour de la base de données de démarrage sécurisé et de la variable DBX.

• Pour plus d’informations sur les clés de Registre de démarrage sécurisé, consultez Mises à jour des clés de Registre pour le démarrage sécurisé : appareils Windows avec mises à jour gérées par le service informatique.

Si vous avez un plan de support et que vous avez besoin d’aide technique, envoyez une demande de support. 

Retour au début

Journal des modifications

Retour au début