Nota
- Data di pubblicazione originale: 13 maggio 2026
- ID KB : 5085395
Nota
Questo articolo contiene indicazioni per:
- Macchine virtuali (TVM) e macchine virtuali riservate (CVM) di Azure Trusted Launch che eseguono Windows con avvio protetto abilitato.
- Per l'elenco completo dei sistemi operativi Windows supportati, vedere l'articolo: Lancio attendibile per le macchine virtuali di Azure
In questo articolo:
Introduzione
Avvio protetto è una funzionalità di sicurezza del firmware UEFI che garantisce che durante la sequenza di avvio del dispositivo vengano eseguiti solo software attendibile e con firma digitale. I certificati Microsoft Secure Boot emessi nel 2011 iniziano a scadere a giugno 2026.
Per mantenere le protezioni dell'avvio protetto e la manutenzione continua del processo di avvio anticipato, l'avvio attendibile di Azure e le macchine virtuali riservate devono essere aggiornate con quanto segue:
- Certificati Secure Boot 2023 nel firmware virtuale
- Un Windows Boot Manager firmato dai certificati aggiornati
Questi componenti interagiscono tra loro: i certificati stabiliscono l'attendibilità nel firmware virtuale e il Boot Manager deve essere aggiornato per essere firmato da tale attendibilità.
Per evitare lacune nella protezione, verificare che entrambi i componenti vengano aggiornati e, se necessario, avviare gli aggiornamenti.
Se una macchina virtuale continua a basarsi sui certificati 2011 dopo la scadenza, può continuare ad avviarsi e ricevere gli aggiornamenti standard di Windows. Tuttavia, non riceverà più nuove protezioni di sicurezza per il processo di avvio anticipato, inclusi aggiornamenti a Windows Boot Manager, database di avvio protetto ed elenchi di revoche, o mitigazioni per le vulnerabilità a livello di avvio appena individuate.
Per altre informazioni, vedi Scadenza dei certificati di avvio protetto nei dispositivi Windows.
Identificare gli scenari che richiedono un'azione
Nella maggior parte dei casi, Windows applica automaticamente i certificati Secure Boot 2023 tramite aggiornamenti mensili sui dispositivi idonei, inclusi l'avvio attendibile di Azure supportato e le macchine virtuali riservate con avvio protetto abilitato. Alcune macchine virtuali potrebbero non essere idonee per la distribuzione automatica se non sono disponibili segnali di compatibilità sufficienti. In questi casi, potrebbe essere necessaria un'azione amministrativa per avviare gli aggiornamenti dal sistema operativo guest. Per altre informazioni su come ottenere gli aggiornamenti dei certificati di avvio protetto, visita: Aggiornamenti del certificato di avvio protetto: linee guida per professionisti IT e organizzazioni.
Gli aggiornamenti di avvio protetto per l'avvio attendibile di Azure e le macchine virtuali riservate coinvolgono due componenti:
- Certificati di avvio protetto archiviati nel firmware virtuale (gestiti dalla piattaforma)
- Windows Boot Manager (gestito dal sistema operativo guest)
Le macchine virtuali create dopo marzo 2024 in genere includono già i certificati Secure Boot 2023 nel firmware virtuale. Queste macchine virtuali in genere richiedono solo un aggiornamento di Windows Boot Manager.
Le macchine virtuali con esecuzione prolungata create prima di marzo 2024 non includono i certificati Secure Boot 2023 nel firmware virtuale e richiedono aggiornamenti sia per i certificati Secure Boot che per Windows Boot Manager.
Le operazioni di aggiornamento vengono avviate dall'interno del sistema operativo guest tramite la manutenzione di Windows e si basano sul supporto della piattaforma per applicare gli aggiornamenti autenticati alle variabili di avvio protetto nel firmware virtuale.
Dopo aver identificato gli scenari applicabili, eseguire l'inventario dell'ambiente per determinare quali macchine virtuali richiedono aggiornamenti.
Azioni richieste:
- Assicurarsi che le macchine virtuali guest vengano aggiornate con l'aggiornamento di Windows di marzo 2026 o versione successiva (aprile 2026 o versione successiva se si usa l'applicazione a caldo). Per saperne di più: Patch a caldo per Windows Server.
- Verificare che tutte le macchine virtuali di avvio attendibile e riservate di Azure abbiano i certificati Secure Boot 2023 e un Windows Boot Manager aggiornato.
- Avviare gli aggiornamenti all'interno del sistema operativo guest per applicare gli aggiornamenti del certificato di avvio protetto e di Windows Boot Manager, se necessario.
- Controllare i registri eventi di sistema Windows: ID evento 1808 e ID evento 1801 o monitorare la chiave del Registro di sistema UEFICA2023Status per confermare se sono stati applicati i certificati di avvio sicuro aggiornati e se Windows Boot Manager è stato aggiornato.
Per i dispositivi che non hanno applicato questi aggiornamenti, usare i metodi di monitoraggio e distribuzione descritti nel playbook di avvio protetto, Windows Server playbook di avvio protetto per i certificati in scadenza nel 2026 e,all'https://aka.ms/GetSecureBoot, per indicazioni complete.
Considerazioni sulle macchine virtuali guest di Azure
Esaminare gli scenari seguenti e le azioni necessarie per gli host di sessione:
| Scenario di macchine virtuali | Avvio protetto attivo? | Azione necessaria |
|---|---|---|
| TVM o CVM con avvio protetto abilitato | Sì | Aggiornare i certificati di avvio protetto e Windows Boot Manager |
| TVM con avvio protetto disabilitato | No | Non è necessaria alcuna azione |
| Macchina virtuale di prima generazione | Non supportato | Non è necessaria alcuna azione |
Nota
Nelle macchine virtuali di tipo sicurezza Standard non è abilitato l'avvio protetto.
Considerazioni sull'immagine dorata
Esaminare gli scenari seguenti e le azioni necessarie per le immagini:
Nota
Le immagini di Azure Marketplace forniscono punti di partenza preconfigurati, immagini vanilla o predefinite degli editori, mentre le immagini di Raccolta di calcolo di Azure vengono usate per archiviare e distribuire immagini personalizzate. In entrambi i casi, le immagini acquisiscono Windows Boot Manager ma non includono le variabili del firmware di avvio protetto, che vengono applicate a livello di macchina virtuale.
Raccolta di calcolo di Azure e le immagini gestite acquisiscono lo stato del sistema operativo e del caricatore di avvio, incluso Windows Boot Manager, ma non includono le variabili del firmware di avvio protetto. I certificati di avvio protetto, ad esempio gli aggiornamenti al database di avvio protetto (DB) o le chiavi di scambio chiavi (KEK), vengono archiviati nel firmware virtuale della macchina virtuale distribuita e non vengono acquisiti durante la generalizzazione dell'immagine.
L'applicazione degli aggiornamenti di avvio protetto all'interno di un'immagine di riferimento fa avanzare i certificati di avvio protetto di Windows Boot Manager, ma non mantiene i certificati di avvio protetto alle macchine virtuali di cui è stato eseguito il provisioning da tale immagine. Tuttavia, l'esecuzione di questo aggiornamento fa avanzare Windows Boot Manager all'interno dell'immagine.
Azioni richieste:
Applicare l'aggiornamento Secure Boot 2023 all'immagine dorata prima di acquisirla. Nota: In questo modo viene fatto avanzare Windows Boot Manager, ma non vengono mantenuti i certificati di avvio protetto alle macchine virtuali distribuite.
Riavviare la macchina virtuale come necessario per consentire l'applicazione dell'aggiornamento di Boot Manager.
Verificare che l'aggiornamento sia stato completato prima di generalizzare l'immagine eseguendo il comando di PowerShell seguente e confermando che il valore sia impostato su Aggiornato:
Nota
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing" | Select-Object UEFICA2023Status
L'aggiornamento di Windows Boot Manager all'interno di un'immagine di riferimento applica tale aggiornamento alle macchine virtuali distribuite o ridistribuite tramite l'immagine. Le macchine virtuali di Azure Trusted Launch e Confidential di cui è appena stato effettuato il provisioning includono i certificati Secure Boot 2023 nel firmware virtuale e possono usare in modo sicuro le immagini golden con Windows Boot Manager aggiornato.
Tuttavia, le ridistribuzioni basate su immagini nelle macchine virtuali esistenti create prima di marzo 2024 potrebbero applicare l'aggiornamento di Windows Boot Manager alle macchine virtuali il cui firmware non considera ancora attendibili i certificati Secure Boot 2023 corrispondenti. In questi casi, gli aggiornamenti del certificato di avvio protetto devono essere applicati all'interno del sistema operativo guest prima di far avanzare Windows Boot Manager.
Considerazioni su altre risorse di Azure
| Risorsa di Azure | Creato prima di aprile 2024? | Azione necessaria |
|---|---|---|
| Backup/snapshot di TVM o CVM | Sì | Avviare la macchina virtuale, applicare gli aggiornamenti e quindi acquisire nuovamente |
| Backup/snapshot di TVM o CVM | No | Non è necessaria alcuna azione |
| Acquisizioni di immagini di Raccolta di calcolo di Azure con acquisizioni (tipo di sicurezza dell'immagine = TL o CVM) da TVM o CVM | Sì | Avviare la macchina virtuale, applicare gli aggiornamenti e quindi acquisire nuovamente |
| Acquisizioni di immagini di Raccolta di calcolo di Azure con acquisizioni (tipo di sicurezza dell'immagine = TL o CVM) da TVM o CVM | No | Non è necessaria alcuna azione |
Monitorare lo stato degli aggiornamenti
Il monitoraggio e la distribuzione per gli aggiornamenti del certificato di avvio protetto nelle macchine virtuali Avvio attendibile e riservato di Azure seguono le stesse indicazioni per la manutenzione di Windows usate per i dispositivi fisici e virtualizzati.
Per indicazioni dettagliate sul monitoraggio, incluse procedure come eseguire l'inventario dei dispositivi, verificare gli aggiornamenti delle variabili del firmware e tenere traccia dello stato degli aggiornamenti, vedere il playbook di avvio protetto per Windows Server e https://aka.ms/GetSecureBoot.
Distribuire gli aggiornamenti
Gli aggiornamenti del certificato di avvio protetto per le macchine virtuali Avvio attendibile e Riservato di Azure vengono avviati dal sistema operativo guest tramite la manutenzione di Windows.
Segui le indicazioni per la distribuzione nel playbook di avvio protetto per Windows Server per:
- distribuzione automatica tramite Windows Update
- Metodi di distribuzione avviati dall'IT
- Manutenzione delle chiavi del Registro di sistema
- Sequenza di distribuzione
Quando si utilizzano immagini di macchine virtuali personalizzate o riutilizzate, vedere Considerazioni sulle immagini dorate in questo articolo prima di avanzare in Windows Boot Manager.
Risorse
- Segnalibro Ottieni avvio protetto Per altre informazioni su questa modifica, indicazioni dettagliate per la gestione dell'aggiornamento del certificato di avvio protetto e risposte alle domande frequenti.
- Playbook di avvio protetto per Windows Server
- Aggiornamenti del certificato di avvio protetto: linee guida per professionisti IT e organizzazioni
- Per ulteriori dettagli sugli eventi del Registro eventi, vedere Eventi di aggiornamento delle variabili del database di avvio protetto e DBX.
- Per altre informazioni sulle chiavi del Registro di sistema per avvio protetto, vedere Aggiornamenti delle chiavi del Registro di sistema per avvio protetto: dispositivi Windows con aggiornamenti gestiti dall'IT.
Se si dispone di un piano di supporto e serve assistenza tecnica, inviare una richiesta di supporto.
Registro delle modifiche
| Modifica data | Descrizione della modifica |
|---|---|
| 13 maggio 2026 | Non ci sono modifiche in questo articolo |