Actualizare de boot securizat de la certificatele 2011 la 2023: mașini virtuale de lansare de încredere (TVM) și mașini virtuale confidențiale (CVM)

Introducere

Secure Boot este o caracteristică de securitate de firmware UEFI care vă ajută să vă asigurați că doar software-ul de încredere, semnat digital rulează în timpul secvenței de boot a dispozitivului. Certificatele Microsoft Secure Boot emise în 2011 încep să expire în iunie 2026. 

Pentru a menține protecțiile Secure Boot și a continua service-ul procesului de bootare timpurie, Azure lansare de încredere și mașini virtuale confidențiale trebuie actualizate cu următoarele: 

• Certificate Secure Boot 2023 în firmware virtual

• Un Manager de boot Windows semnat de certificatele actualizate

Aceste componente funcționează împreună: certificatele stabilesc încrederea în firmware-ul virtual, iar Managerul de boot trebuie actualizat pentru a fi semnat de acea încredere. 

Pentru a preveni lacunele în protecție, verificați dacă ambele componente sunt actualizate și inițiați actualizări acolo unde este necesar. 

Dacă o mașină virtuală continuă să se bazeze pe certificatele 2011 după expirare, poate continua să booteze și să primească actualizări Windows standard. Cu toate acestea, nu va mai primi noi protecții de securitate pentru procesul de bootare timpurie, inclusiv actualizări la Windows Boot Manager, baze de date Secure Boot și liste de revocare sau atenuări pentru vulnerabilitățile de nivel de boot nou descoperite. 

Pentru a afla mai multe, consultați Când expiră certificatele secure Boot pe dispozitiveLe Windows.

înapoi sus 

Identificați scenariile care necesită acțiune

În majoritatea cazurilor, Windows aplică automat certificatele Secure Boot 2023 prin actualizări lunare pe dispozitivele eligibile, inclusiv pe cele acceptate Azure lansare de încredere și mașini virtuale confidențiale cu Bootare sigură activată. Este posibil ca unele mașini virtuale să nu se califice pentru implementare automată dacă nu sunt disponibile suficiente semnale de compatibilitate. În aceste cazuri, pot fi necesare acțiuni administrative pentru a iniția actualizări din cadrul sistemului de operare invitat. Pentru mai multe informații despre obținerea actualizărilor certificatelor Secure Boot, vizitați: Actualizări secure boot certificate: Instrucțiuni pentru profesioniști IT și organizații.

Actualizările Secure Boot pentru lansarea de încredere Azure și mașinile virtuale confidențiale implică două componente: 

• Certificate secure Boot stocate în firmware virtual (gestionate de platformă)

• Windows Boot Manager (gestionat de sistemul de operare invitat)

Mașinile virtuale create după martie 2024 includ deja certificate secure Boot 2023 în firmware virtual. Aceste mașini virtuale necesită în general doar o actualizare Windows Boot Manager. 

Mașinile virtuale de lungă durată create înainte de martie 2024 nu includ certificatele Secure Boot 2023 în firmware-ul virtual și necesită actualizări atât la certificatele Secure Boot, cât și la Windows Boot Manager. 

Operațiunile de actualizare sunt inițiate din cadrul sistemului de operare invitat prin intermediul serviciilor Windows și se bazează pe suportul de platformă pentru a aplica actualizări autentificate la variabilele Secure Boot în firmware-ul virtual. 

După identificarea scenariilor aplicabile, inventariați mediul pentru a determina ce mașini virtuale necesită actualizări. 

Acțiuni necesare: 

• Asigurați-vă că mașinile virtuale invitat sunt actualizate cu actualizarea Windows din martie 2026 sau cu o versiune mai recentă (aprilie 2026 sau o versiune mai recentă, dacă utilizați hotpatching). Vedeți mai multe: Hotpatch pentru Windows Server.

• Verificați dacă toate Azure lansare de încredere și mașini virtuale confidențiale au certificate Secure Boot 2023 și un Manager de boot Windows actualizat.

• Inițiați actualizări din cadrul sistemului de operare invitat pentru a aplica certificatul de bootare securizată și actualizările Managerului de boot Windows acolo unde este necesar.

• Auditați jurnalele de evenimente ale sistemului Windows: ID-ul de eveniment 1808 și ID-ul de eveniment 1801 sau monitorizați cheia de registry UEFICA2023Status pentru a confirma dacă s-au aplicat certificate de boot secure actualizate și dacă s-a actualizat Managerul de boot Windows.

Pentru dispozitivele care nu au aplicat aceste actualizări, utilizați metodele de monitorizare și implementare descrise în secure Boot playbookWindows Server Secure Boot playbook pentru certificatele care expiră în 2026 și la https://aka.ms/GetSecureBoot pentru instrucțiuni complete. 

înapoi sus

Azure considerații despre mașinile virtuale invitat

Examinați următoarele scenarii și acțiunile necesare pentru gazdele de sesiune:

înapoi sus

Monitorizați starea actualizării

Monitorizarea și implementarea actualizărilor certificatului de bootare securizată în Azure lansare de încredere și mașini virtuale confidențiale urmează aceleași instrucțiuni de service Windows utilizate pentru dispozitivele fizice și virtualizate. 

Pentru instrucțiuni detaliate de monitorizare, inclusiv despre inventarierea dispozitivelor, verificarea actualizărilor variabilelor firmware și urmărirea progresului actualizărilor, consultați Secure Boot Playbook pentru Windows Server și https://aka.ms/GetSecureBoot.

Implementarea actualizărilor

Actualizările certificatului de bootare securizată pentru Azure lansare de încredere și mașini virtuale confidențiale sunt inițiate din cadrul sistemului de operare invitat utilizând serviciile Windows.  

Urmați instrucțiunile de implementare din Secure Boot Playbook pentru Windows Server pentru:

• implementare automată prin Windows Update

• Metode de implementare inițiate de IT

• chei de registry de service

• secvențiere implementare

Atunci când utilizați imagini de mașină virtuală particularizate sau reutilizate, consultați Considerații privind imaginea de aur din acest articol înainte de a avansa în Windows Boot Manager. 

înapoi sus

Resurse

• Marcaj Obțineți bootarea sigură pentru mai multe informații despre această modificare, instrucțiuni detaliate pentru gestionarea actualizării certificatului de bootare securizată și răspunsuri la întrebări frecvente.

• Secure Boot Playbook pentru Windows Server

• Actualizări secure boot certificate: instrucțiuni pentru profesioniști IT și organizații

• Pentru mai multe detalii despre evenimentele din jurnalul de evenimente, consultați Evenimente de actualizare a variabilelor Secure Boot DB și DBX.

• Pentru mai multe detalii despre cheile de registry Secure Boot, consultați Actualizări de chei de registry pentru Bootare securizată: dispozitive Windows cu actualizări gestionate de IT.

Dacă aveți un plan de asistență și aveți nevoie de ajutor tehnic, trimiteți o solicitare de asistență. 

înapoi sus

Jurnal de modificări

înapoi sus