Aggiornamenti del certificato di avvio protetto per Linux in macchine virtuali Azure

Si applica a
Virtual Machine running Linux

Nota

  • Data di pubblicazione originale: Giugno 12, 2026
  • ID KB: 5103014

Nota

Contenuto dell'articolo

Introduzione

L'avvio protetto è una funzionalità di sicurezza del firmware UEFI che garantisce che durante la sequenza di avvio della macchina virtuale vengano eseguiti solo software attendibile e con firma digitale. I certificati Microsoft Secure Boot emessi nel 2011 iniziano a scadere a giugno 2026.

Per mantenere la protezione dell'avvio protetto e la manutenzione continua del processo di avvio anticipato, l'avvio sicuro di Azure che esegue Linux deve essere aggiornato con i certificati DB e KEK Secure Boot 2023 nel firmware UEFI virtuale. Le Macchine virtuali riservate per Linux in Azure con vecchi certificati devono essere ricreate.

Se una macchina virtuale continua a basarsi sui certificati 2011 dopo la scadenza, continuerà l'avvio. Tuttavia, non riceverà più nuove protezioni di sicurezza sotto forma di aggiornamenti shim e futuri certificati e revoche. I clienti con macchine virtuali che non dispongono di certificati aggiornati devono continuare a collaborare con i fornitori di distribuzioni per aggiornare i certificati anche dopo la data di scadenza.

Identificare gli scenari che richiedono un'azione

Esaminare gli scenari seguenti per determinare se è necessario intervenire:

  • Macchine virtuali di avvio attendibile (TVM) o macchine virtuali riservate (CVM) di Linux create prima di aprile 2024
  • Immagini di Raccolta di calcolo di Azure acquisite da macchine virtuali di avvio trusted o riservate di Linux precedenti (prima di aprile 2024)
  • Snapshot o backup di VM Linux Trusted Launch o Confidential create prima di aprile 2024
  • Macchine virtuali riservate create prima di aprile 2024 da BLOB, importate come disco sicuro.

Avvio attendibile e Riservato Le Macchine virtuali create dopo aprile 2024 in genere includono già i certificati Secure Boot 2023 nel firmware UEFI virtuale.

Nota

Le macchine virtuali Linux Confidential create prima di aprile 2024 non devono essere aggiornate manualmente perché la crittografia del disco riservato si basa sul valore PCR7 del vTPM, calcolato in base alle variabili di avvio protetto. L'aggiornamento dei certificati di avvio protetto senza garantire il ri-sealing della chiave FDE causerà l'attivazione della modalità di ripristino della macchina virtuale riservata. È consigliabile ricreare queste vecchie macchine virtuali riservate per ottenere i nuovi certificati.

Considerazioni sulle macchine virtuali guest di Azure

Gli aggiornamenti di avvio protetto per Linux nelle macchine virtuali di Azure coinvolgono due componenti:

  • Certificati di avvio protetto nel firmware virtuale (installati manualmente tramite gli strumenti forniti dal sistema operativo o automaticamente tramite gli aggiornamenti della sicurezza)
  • Aggiornamenti di shim e bootloader di Linux (gestiti dal fornitore della distribuzione)

Le operazioni di aggiornamento vengono avviate all'interno del sistema operativo guest e si basano sul supporto della piattaforma per applicare gli aggiornamenti autenticati alle variabili di avvio protetto.

Dopo aver identificato gli scenari applicabili, eseguire l'inventario dell'ambiente per determinare quali macchine virtuali richiedono aggiornamenti.

Azioni richieste

Per tutte le macchine virtuali guest di Azure:

  • Verificare se i certificati Secure Boot 2023 sono presenti nel firmware UEFI virtuale

Metodi di verifica

Eseguire questi comandi dopo l'aggiornamento e il riavvio. In una macchina virtuale aggiornata correttamente , ogni comando restituisce una riga corrispondente. Se un comando non restituisce alcun output, il certificato 2023 corrispondente non è presente e l'aggiornamento non è stato applicato: ricontrolla i passaggi di aggiornamento prima di applicarlo.

Sia il DB che il controllo KEK devono restituire una riga. Un computer aggiornato correttamente mostra il certificato DB 2023 e il certificato KEK 2023.

Usare mokutil

mokutil --db | grep "UEFI CA 2023"
CN = Microsoft UEFI CA 2023
mokutil --kek | grep "KEK 2K CA 2023"
CN = Microsoft Corporation KEK 2K CA 2023

Utilizzo di efitools

efi-readvar -v db | grep "UEFI CA 2023"
Microsoft UEFI CA 2023
efi-readvar -v KEK | grep "KEK 2K CA 2023"
Microsoft Corporation KEK 2K CA 2023

Nota

  • Se 'mokutil' non è installato, installarlo dai repository standard della distribuzione o usare 'efi-readvar -v db` / `efi-readvar -v KEK' al suo posto.
  • Per le macchine virtuali riservate, non eseguire un aggiornamento manuale basato su questo output: ricreare la macchina virtuale come descritto in Raccomandazioni di Azure per le macchine virtuali riservate.

Aggiornamento della catena di avvio di Linux

Dopo il corretto aggiornamento del firmware, è possibile applicare gli aggiornamenti shim dei fornitori di distribuzione Linux.

Considerazioni su altre risorse di Azure

Risorsa di Azure Creato prima di aprile 2024 Azione richiesta per TVM Azione necessaria per CVM
Backup/snapshot Sì Avviare la macchina virtuale, applicare gli aggiornamenti, acquisire nuovamente Ricreare il CVM, riacquisire
Backup/snapshot No Non è necessaria alcuna azione Non è necessaria alcuna azione
Immagine della raccolta di calcolo Sì Distribuire, aggiornare, recuperare Ricreare il CVM, riacquisire
Immagine della raccolta di calcolo No Non è necessaria alcuna azione Non è necessaria alcuna azione

Monitorare lo stato degli aggiornamenti

Verificare gli aggiornamenti tramite il sistema operativo guest:

  • Convalida l'avvio riuscito dopo gli aggiornamenti
  • Verificare che i certificati di avvio protetto siano presenti nel firmware

Gli approcci di monitoraggio e convalida possono variare in base alla distribuzione Linux e dovresti verificare con il tuo fornitore di distribuzione.

Per le macchine virtuali con avvio attendibile:

  • Tutti gli aggiornamenti devono essere applicati nell'ordine corretto.

    Importante

    Aggiorna sempre il firmware di avvio protetto (variabili UEFI) prima di aggiornare shim o bootloader.

  • È consigliabile riavviare prima la macchina virtuale per assicurarsi che esegua il firmware più recente e verificare che l'avvio sia riuscito.

  • Avvia gli aggiornamenti dall'interno del sistema operativo della macchina virtuale guest Linux, se necessario, in base alle linee guida e agli strumenti consigliati dal fornitore della distribuzione.

  • Se si verificano errori di aggiornamento KEK o DB e non è stato riavviato prima, riavviare la macchina virtuale per assicurarsi che esegua il firmware più recente e provare ad aggiornare nuovamente KEK e DB.

  • L'aggiornamento dello shim prima di aggiornare prima il firmware può causare un errore di avvio.

Per le macchine virtuali riservate:

Distribuire gli aggiornamenti

Gli aggiornamenti del certificato di avvio protetto per Linux nelle macchine virtuali di Azure vengono avviati all'interno del sistema operativo guest. Questi aggiornamenti differiscono a seconda del fornitore della distribuzione e i clienti devono prima verificare con il fornitore della distribuzione il metodo consigliato.

Nota

  • Qui sono elencati solo i fornitori di sistemi operativi Linux che hanno pubblicato le linee guida per l'aggiornamento del certificato di avvio protetto. Questo elenco viene aggiornato man mano che altri fornitori pubblicano le loro linee guida.
  • Se il fornitore della distribuzione non è elencato, ciò non significa che la macchina virtuale non sia interessata, ma significa che il fornitore non ha ancora pubblicato le linee guida per l'aggiornamento di Secure Boot 2023 KEK e DB. In tal caso, contattare il fornitore della distribuzione per conoscere il metodo consigliato oppure usare uno dei metodi alternativi di aggiornamento manuale del firmware descritti di seguito.

Raccomandazioni dai fornitori di sistemi operativi Linux approvati:

Raccomandazioni di Azure per le macchine virtuali riservate:

  • Il numero di MCV creati prima di aprile 2024 è molto basso. Se la macchina virtuale riservata è una delle poche a non avere i nuovi certificati, seguire la procedura per ricreare il CVM.

Metodi alternativi di aggiornamento del firmware

Nota

Prima di provare gli aggiornamenti delle variabili UEFI direttamente nelle macchine virtuali di produzione, i clienti possono usare il modello di avvio rapido di Azure per simulare la macchina virtuale di avvio attendibile di Linux con certificati CA UEFI 2011 precedenti.

Importante

I metodi di aggiornamento manuale del firmware in questa sezione sono alternativi e si escludono a vicenda con la metodologia consigliata dal fornitore di distribuzione. Utilizzare il metodo del fornitore del sistema operativo ogni volta che è disponibile per primo (vedere Consigli dai fornitori di sistemi operativi Linux). Usa i metodi manuali di seguito solo quando il tuo fornitore non ha pubblicato linee guida o quando il tuo fornitore ti indica esplicitamente di farlo. Non applicare sia il metodo fornitore sia un metodo manuale alla stessa macchina virtuale.  È necessario utilizzare un solo metodo alternativo per gli aggiornamenti (fwupd, efitools o sbsigntools): non è necessario eseguirli tutti e tre.  Ogni distribuzione Linux confeziona strumenti e versioni diversi e tramite repository diversi, quindi è importante seguire le indicazioni fornite dal sistema operativo Linux.

Nota

La disponibilità e le versioni degli utensili variano in base alla distribuzione e all'origine degli utensili.

Alternativa 1: usare fwupd

Assicurarsi che nella macchina virtuale sia installata fwupd versione 2.0.8 o successiva.

Per aggiornare sia la chiave KEK che il DB, esegui questi comandi con fwupdmgr:

sudo fwupdmgr refresh
sudo fwupdmgr update

Alternativa 2: utilizzo di efitools

  • Scaricare i pacchetti di aggiornamento DB e KEK per Azure.
wget https://github.com/microsoft/secureboot_objects/raw/refs/heads/main/\\
PostSignedObjects/Optional/DB/amd64/DBUpdate3P2023.bin

wget https://github.com/microsoft/secureboot_objects/raw/refs/heads/main/\\
PostSignedObjects/KEK/Microsoft/KEKUpdate_Microsoft_PK1.bin
  • Verificare il file MD5 o SHA1 dei file binari scaricati: devono corrispondere esattamente a quanto segue:
sha1sum *.bin
87cc5bb2efe9b59c6ad9f717a78e190bf1a191e8 DBUpdate3P2023.bin
d9a2fa28017653c26afc3d1b5c001adae9dc16a6 KEKUpdate_Microsoft_PK1.bin

md5sum *.bin
ef9fd1874610c2077f4c2476661ea4cd DBUpdate3P2023.bin
5e67b7beafac7801fd920e40e3592611 KEKUpdate_Microsoft_PK1.bin
  • Usare efi-updatevar per installare i pacchetti di aggiornamento
sudo efi-updatevar -a -f DBUpdate3P2023.bin db
sudo efi-updatevar -a -f KEKUpdate_Microsoft_PK1.bin KEK
sudo reboot

Alternativa 3: utilizzo di sbsigntools

  • Scarica e verifica DBUpdate3P2023.bin e KEKUpdate_Microsoft_PK1.bin come descritto in "Alternativa 2: Utilizzo di efitools" sopra.
  • Utilizzare l'utilità sbkeysync di sbsigntools per installare i pacchetti di aggiornamento:
sudo mkdir -p /etc/secureboot/keys/db
sudo cp DBUpdate3P2023.bin /etc/secureboot/keys/db
sudo mkdir -p /etc/secureboot/keys/KEK
sudo cp KEKUpdate_Microsoft_PK1.bin /etc/secureboot/keys/KEK
sudo chattr -i /sys/firmware/efi/efivars/db-*
sudo chattr -i /sys/firmware/efi/efivars/KEK-*
sudo sbkeysync --verbose
sudo chattr +i /sys/firmware/efi/efivars/db-*
sudo chattr +i /sys/firmware/efi/efivars/KEK-*
sudo reboot

Passaggi di prevenzione in caso di errori di avvio

In caso di errore, ad esempio un errore di avvio dopo l'aggiornamento della variabile UEFI, è possibile reimpostare le impostazioni UEFI usando uno dei metodi seguenti:

  1. Ripristinare il backup eseguito prima di avviare il processo di aggiornamento manuale.
  2. Convertire la macchina virtuale ad avvio attendibile in una macchina virtuale Standard e riapplicare il tipo di sicurezza Avvio attendibile alla macchina virtuale. (Altri dettagli qui: Abilitare l'avvio attendibile nelle macchine virtuali Gen2 esistenti - Azure Macchine virtuali | Microsoft Learn)
  3. Esportare il disco rigido virtuale del sistema operativo in un account di archiviazione, creare un'immagine della galleria dal disco rigido virtuale e distribuire la macchina virtuale usando la versione dell'immagine della raccolta .

Dichiarazione di non responsabilità sulle informazioni di terze parti

I prodotti di terze parti descritti in questo articolo sono realizzati da società indipendenti da Microsoft. Non forniamo alcuna garanzia, implicita o di altro tipo, sulle prestazioni o sull'affidabilità di questi prodotti.

Forniamo informazioni di contatto di terze parti per aiutarti a trovare il supporto tecnico. Le informazioni di contatto sono soggette a modifica senza preavviso. Non garantiamo l'accuratezza delle informazioni di contatto di terze parti.

Registro delle modifiche

Modifica data Descrizione della modifica
Luglio 14, 2026 Aggiunto collegamento alla sezione "Raccomandazioni dai fornitori di sistemi operativi Linux".
Giugno 29, 2026 Revisioni importanti per aggiungere chiarezza alle azioni richieste e metodi alternativi di aggiornamento del firmware.
18 giugno 2026 Sono stati aggiunti collegamenti di riferimento alla sezione "Consigli dai fornitori di sistemi operativi Linux".