Обновления сертификатов безопасной загрузки для Linux на виртуальных машинах Azure

Применяется к
Virtual Machine running Linux

Примечание

  • Исходная дата публикации: 12 июня 2026 г.
  • Идентификатор базы знаний: 5103014

Примечание

В этом разделе...

Введение

Безопасная загрузка — это функция безопасности встроенного ПО UEFI, которая помогает гарантировать, что во время загрузки виртуальной машины выполняется только доверенное программное обеспечение с цифровой подписью. Срок действия сертификатов безопасной загрузки Майкрософт, выданных в 2011 году, начинается в июне 2026 г.

Чтобы обеспечить защиту безопасной загрузки и продолжить обслуживание процесса ранней загрузки, необходимо обновить Azure доверенного запуска, работающего Linux, с помощью сертификатов базы данных безопасной загрузки 2023 и KEK в виртуальном встроенном ПО UEFI. Необходимо повторно создать конфиденциальные Виртуальные машины для Linux на Azure со старыми сертификатами.

Если после истечения срока действия виртуальная машина продолжает полагаться на сертификаты 2011 года, она продолжит загрузку. Однако он больше не будет получать новые средства безопасности в виде обновлений оболочки и будущих сертификатов и отзывов. Клиенты с виртуальными машинами, у которых нет обновленных сертификатов, должны продолжать работать со своими поставщиками дистрибутивов, чтобы обновить свои сертификаты даже после истечения срока действия.

Определение сценариев, требующих действий

Просмотрите следующие сценарии, чтобы определить, требуется ли действие.

  • Linux доверенные виртуальные машины запуска (TVM) или конфиденциальные виртуальные машины (CVM), созданные до апреля 2024 г.
  • Azure образы коллекции вычислений, полученные из более старых (до апреля 2024 г.) Linux доверенных или конфиденциальных виртуальных машин
  • Моментальные снимки или резервные копии Linux доверенных или конфиденциальных виртуальных машин, созданных до апреля 2024 г.
  • Конфиденциальные виртуальные машины, созданные до апреля 2024 года из больших двоичных объектов, импортированные в качестве безопасного диска.

Доверенный запуск и конфиденциальные Виртуальные машины, созданные после апреля 2024 г., обычно уже включают сертификаты безопасной загрузки 2023 в виртуальном встроенном ПО UEFI.

Примечание

Linux конфиденциальные виртуальные машины, созданные до апреля 2024 г., не следует обновлять вручную, так как шифрование конфиденциальных дисков зависит от значения PCR7 vTPM, которое вычисляется на основе переменных безопасной загрузки. Обновление сертификатов безопасной загрузки без повторного запечатывания ключа FDE приведет к переходу конфиденциальной виртуальной машины в режим восстановления. Рекомендуется повторно создать такие старые конфиденциальные виртуальные машины, чтобы получить новые сертификаты.

рекомендации по Azure гостевых виртуальных машин

Обновления безопасной загрузки для Linux на виртуальных машинах Azure включают два компонента:

  • Сертификаты безопасной загрузки в виртуальном встроенном ПО (устанавливаются вручную с помощью средств, предоставляемых ОС, или автоматически с помощью обновлений для системы безопасности)
  • обновления Linux оболочки и загрузчика (управляемый поставщиком дистрибутива)

Операции обновления инициируются из гостевой операционной системы и используют поддержку платформы для применения проверенных обновлений к переменным безопасной загрузки.

После определения применимых сценариев выполните инвентаризацию среды, чтобы определить, какие виртуальные машины требуют обновления.

Требуемые действия

Для всех гостевых виртуальных машин Azure:

  • Проверка наличия сертификатов безопасной загрузки 2023 в виртуальном встроенном ПО UEFI

Методы проверки

Выполните эти команды после обновления и перезагрузки. На успешно обновленной виртуальной машине каждая команда возвращает соответствующую строку. Если команда не возвращает выходные данные, соответствующий сертификат 2023 отсутствует, и обновление не было применено. Перед применением проверка шаги обновления.

И проверки базы данных, и KEK должны возвращать строку. На успешно обновленном компьютере отображается сертификат базы данных 2023 и сертификат KEK 2023.

Использование mokutil

mokutil --db | grep "UEFI CA 2023"
CN = Microsoft UEFI CA 2023
mokutil --kek | grep "KEK 2K CA 2023"
CN = Microsoft Corporation KEK 2K CA 2023

Использование efitools

efi-readvar -v db | grep "UEFI CA 2023"
Microsoft UEFI CA 2023
efi-readvar -v KEK | grep "KEK 2K CA 2023"
Microsoft Corporation KEK 2K CA 2023

Примечание

  • Если "mokutil" не установлен, установите его из стандартных репозиториев дистрибутива или используйте вместо него "efi-readvar -v db` / `efi-readvar -v KEK".
  • Для конфиденциальных виртуальных машин не запускайте обновление вручную на основе этих выходных данных. Повторно создайте виртуальную машину, как описано в разделе Рекомендации по Azure для конфиденциальных виртуальных машин.

обновление цепочки загрузки Linux

После успешного обновления встроенного ПО можно безопасно применять обновления оболочки от поставщиков Linux дистрибутивов.

Рекомендации по другим ресурсам Azure

ресурс Azure Создано до апреля 2024 г. Действие, необходимое для TVM Действие, необходимое для CVM
Резервное копирование и snapshot Да Загрузка виртуальной машины, применение обновлений, повторное извлечение Повторное создание CVM, извлечение
Резервное копирование и snapshot Нет Никаких действий не требуется Никаких действий не требуется
Изображение коллекции вычислений Да Развертывание, обновление, повторное извлечение Повторное создание CVM, извлечение
Изображение коллекции вычислений Нет Никаких действий не требуется Никаких действий не требуется

Мониторинг состояния обновления

Проверьте обновления с помощью гостевой ОС:

  • Проверка успешной загрузки после обновлений
  • Убедитесь, что сертификаты безопасной загрузки присутствуют в встроенном ПО

Подходы к мониторингу и проверке могут отличаться в зависимости от Linux распространения, и вы должны проверка с поставщиком дистрибутива.

Для виртуальных машин доверенного запуска:

  • Все обновления должны применяться в правильном порядке.

    Важно

    Всегда обновляйте встроенное ПО безопасной загрузки (переменные UEFI) перед обновлением оболочки или загрузчика.

  • Рекомендуется сначала перезапустить виртуальную машину, чтобы убедиться, что на ней установлена последняя версия встроенного ПО и проверить успешную загрузку.

  • Инициируйте обновления из операционной системы Linux гостевой виртуальной машины, если это необходимо в соответствии с рекомендациями и инструментами поставщика дистрибутива.

  • Если у вас произошли сбои обновления KEK или базы данных и вы не перезагрузили сначала, перезагрузите виртуальную машину, чтобы убедиться, что на ней установлена последняя версия встроенного ПО, и повторите попытку обновления KEK и базы данных.

  • Обновление оболочки перед обновлением встроенного ПО может привести к сбою загрузки.

Для конфиденциальных виртуальных машин:

Развертывание обновлений

Обновления сертификатов безопасной загрузки для Linux на виртуальных машинах Azure инициируются из гостевой операционной системы. Эти обновления различаются поставщиками дистрибутивов, и клиенты должны сначала проверка с поставщиком дистрибутива на рекомендуемый метод.

Примечание

  • Здесь перечислены только поставщики Linux ОС, которые опубликовали руководство по обновлению сертификатов безопасной загрузки. Этот список обновляется по мере публикации дополнительных поставщиков своих рекомендаций.
  • Если поставщик вашего дистрибутива отсутствует в списке, это не означает, что виртуальная машина не пострадала. Это означает, что поставщик еще не опубликовал руководство по обновлению KEK и базы данных для безопасной загрузки 2023. В этом случае обратитесь к поставщику дистрибутива за рекомендуемым методом или используйте один из описанных ниже альтернативных методов обновления встроенного ПО вручную.

Рекомендации от поставщиков рекомендованных Linux ОС:

Рекомендации Azure для конфиденциальных виртуальных машин:

  • Число ЦВМ, созданных до апреля 2024 года, очень мало. Если ваша конфиденциальная виртуальная машина является одной из немногих, у которых нет новых сертификатов, выполните действия , чтобы повторно создать CVM.

Альтернативные методы обновления встроенного ПО

Примечание

Перед обновлением переменных UEFI непосредственно на рабочих виртуальных машинах клиенты могут использовать шаблон быстрого запуска Azure для имитации Linux доверенной виртуальной машины запуска с более старыми сертификатами ЦС UEFI 2011.

Важно

Методы обновления встроенного ПО вручную, описанные в этом разделе, являются альтернативой рекомендуемой методологии поставщика распространителя и взаимоисключают их. Используйте метод поставщика ОС всякий раз, когда он доступен первым (см. рекомендации от поставщиков ОС Linux). Используйте приведенные ниже ручные методы только в том случае, если поставщик не опубликовал руководство или когда поставщик явно направляет вас. Не применяйте метод поставщика и ручной метод к одной виртуальной машине.  Для обновлений требуется только один альтернативный метод (fwupd, efitools или sbsigntools) — запускать все три не обязательно.  Каждый дистрибутив Linux упаковывает различные средства и версии, а также через разные репозитории, поэтому важно следовать указаниям, предоставленным вашей ОС Linux.

Примечание

Доступность и версии инструментов различаются по распределению и источнику инструментов.

Альтернатива 1. Использование fwupd

Убедитесь, что на виртуальной машине установлена fwupd версии 2.0.8 или более поздней.

Чтобы обновить KEK и базу данных, выполните следующие команды с помощью fwupdmgr:

sudo fwupdmgr refresh
sudo fwupdmgr update

Альтернатива 2. Использование efitools

  • Скачайте пакеты обновлений базы данных и KEK для Azure.
wget https://github.com/microsoft/secureboot_objects/raw/refs/heads/main/\\
PostSignedObjects/Optional/DB/amd64/DBUpdate3P2023.bin

wget https://github.com/microsoft/secureboot_objects/raw/refs/heads/main/\\
PostSignedObjects/KEK/Microsoft/KEKUpdate_Microsoft_PK1.bin
  • Проверьте MD5 или SHA1 скачанных двоичных файлов. Они должны точно соответствовать следующим:
sha1sum *.bin
87cc5bb2efe9b59c6ad9f717a78e190bf1a191e8 DBUpdate3P2023.bin
d9a2fa28017653c26afc3d1b5c001adae9dc16a6 KEKUpdate_Microsoft_PK1.bin

md5sum *.bin
ef9fd1874610c2077f4c2476661ea4cd DBUpdate3P2023.bin
5e67b7beafac7801fd920e40e3592611 KEKUpdate_Microsoft_PK1.bin
  • Установка пакетов обновления с помощью efi-updatevar
sudo efi-updatevar -a -f DBUpdate3P2023.bin db
sudo efi-updatevar -a -f KEKUpdate_Microsoft_PK1.bin KEK
sudo reboot

Альтернатива 3. Использование sbsigntools

sudo mkdir -p /etc/secureboot/keys/db
sudo cp DBUpdate3P2023.bin /etc/secureboot/keys/db
sudo mkdir -p /etc/secureboot/keys/KEK
sudo cp KEKUpdate_Microsoft_PK1.bin /etc/secureboot/keys/KEK
sudo chattr -i /sys/firmware/efi/efivars/db-*
sudo chattr -i /sys/firmware/efi/efivars/KEK-*
sudo sbkeysync --verbose
sudo chattr +i /sys/firmware/efi/efivars/db-*
sudo chattr +i /sys/firmware/efi/efivars/KEK-*
sudo reboot

Действия по устранению неполадок при сбое загрузки

В случае сбоя, например при сбое загрузки после обновления переменной UEFI, можно сбросить параметры UEFI с помощью одного из следующих методов:

  1. Восстановите резервную копию, сделанную перед запуском процесса обновления вручную.
  2. Преобразуйте виртуальную машину доверенного запуска в виртуальную машину Standard и повторно примените к ней тип безопасности доверенного запуска. (Дополнительные сведения см. в статье Включение доверенного запуска на существующих виртуальных машинах 2-го поколения — Azure Виртуальные машины | Microsoft Learn)
  3. Экспортируйте виртуальный жесткий диск ОС в учетную запись хранения, создайте образ коллекции из виртуального жесткого диска и разверните виртуальную машину с помощью версии образа коллекции .

Заявление об отказе от ответственности со сторонними сведениями

Продукты сторонних разработчиков, рассмотренные в этой статье, выпущены компаниями, независимыми от корпорации Майкрософт. Мы не предоставляем гарантий, подразумеваемых или иных, относительно производительности или надежности этих продуктов.

Мы предоставляем контактные данные третьих лиц, чтобы вы могли получить техническую поддержку. Эти контактные данные могут меняться без уведомления. Мы не гарантируем точность контактных данных третьих лиц.

Журнал изменений

Дата изменения Описание изменений
14 июля 2026 г. Добавлена ссылка на раздел "Рекомендации от поставщиков Linux ОС".
29 июня 2026 г. Основные изменения, которые добавляют ясность в необходимые действия и альтернативные методы обновления встроенного ПО.
18 июня 2026 г. Ссылки были добавлены в раздел "Рекомендации от поставщиков ос Linux".