PowerEdge: Retningslinjer for opdatering af server-BIOS til Microsoft Secure Boot-certifikater

Den gælder for UEFI-baserede systemer med Secure Boot-aktiveret og ældre Secure Boot-certifikater, der er berørt af, at Microsoft Secure Boot-certifikatet udløber (juni 2026). Operativsystemet administrerer primært Secure Boot-certifikatopdateringer, og kunderne skal sikre, at de opdaterer deres systemer ved hjælp af understøttede Microsoft-opdateringsmekanismer.

Den gælder for Windows Server-operativsystemer, der er berørt af denne ændring, som defineret af Microsoft, og som kører på fysiske systemer med kundeadministreret firmware og Secure Boot-konfiguration.

Den gælder ikke for cloudplatforme eller -enheder, hvor udbyderen administrerer firmware og nøgler til sikker start, som f.eks. Microsoft Azure, AX eller APEX-administreret cloud.

Systemer, der allerede kører BIOS-versioner, som indeholder de opdaterede Secure Boot-certifikater, kræver muligvis ikke denne procedure.

Målrettede servere og operativsystemer

Denne vejledning gælder for:

1. Dell PowerEdge-servere, der understøtter UEFI-opstartstilstand og sikker opstart
2. Systemer, der kører understøttede Windows Server-operativsystemer, der er berørt af udløbet af Microsoft Secure Boot-certifikatet (juni 2026), som defineret af Microsoft. For andre operativsystemer end Microsoft Windows kan den normale BIOS-opdateringsproces følges for at få de nye certifikater tilføjet.
3. Fysiske servere, herunder 14., 15. og 16. generation

For virtuelle maskiner (UEFI-baserede) skal du følge vejledningen fra Hypervisor-leverandøren.

Microsoft Hyper-V: Opdateringer til Secure Boot-certifikat: Vejledning til it-fagfolk og -organisationer

VMware ESXi: Udløb af certifikater til sikker opstart og opdateringsfejl i VMware Virtual Machines

Servergenerationer og BIOS-identifikatorer

BIOS-versionerne nedenfor repræsenterer minimumsudgivelser, der inkluderer de opdaterede Microsoft Secure Boot-certifikater. BIOS-versioner, der er nyere end dem, der er anført nedenfor, indeholder også de nye certifikater til sikker start.

Vigtigt
Før du fortsætter med nedenstående trin, skal du kontrollere, at Sikker opstart er aktiveret og konfigureret ved hjælp af standardpolitikken (Standard) for sikker start.
Systemer, der bruger brugerdefinerede eller tredjeparts Secure Boot-politikker, kan kræve yderligere gennemgang, før Secure Boot-certifikatopdateringer kan anvendes.
Hvis Sikker start ikke er aktiveret, skal du følge den traditionelle BIOS-opdateringsproces. Trin nedenfor er ikke påkrævet.

Anbefalet procedure

1. Bekræfte systemkonfigurationen

   • Hvis BitLocker er aktiveret, skal du midlertidigt afbryde BitLocker-beskyttelsen, før du fortsætter, for at undgå genoprettelsesprompter efter genstart.
   • Indstil om nødvendigt midlertidigt PowerShell-udførelsespolitikken til "Ubegrænset" eller "Omgå" for at tillade kørsel af scripts. (kommandoen Set-ExecutionPolicy)
   • For failover-klynger (S2D, SAN vedhæftet) – Tilføj "Suspend-ClusterNode -Drain" for at sætte noden på pause og flytte grupperede roller til en anden node.
   • Systemfirmware (BIOS) har en understøttet og stabil udgivelse (f.eks. en produktionsgodkendt BIOS-version til platformen). Systemer, der allerede kører BIOS-versioner, som indeholder de opdaterede Secure Boot-certifikater, kræver ikke denne procedure.

2. Kør Microsoft Secure Boot 2023-certifikatopdateringsscripts

   • Download og udpak Secure Boot-opdateringsscripts, der er vedhæftet denne artikel
     • For 16G - Kopier 16G_Secure_Boot_Certificates_pkb.zip og pak ud i enhver mappe.
     • For 15G - Kopier 15G_Secure_Boot_Certificates_pkb.zip og pak ud i enhver mappe.
     • For 14G - Kopier 14G_Secure_Boot_Certificates_pkb.zip og udpak i enhver mappe.

   • Kør scriptene ved hjælp af en kommandoprompt med administratorrettigheder som dokumenteret af Microsoft

     • Til 16G: 16G_SecureBoot_Cert_Update.ps1
     • Til 15G: 15G_SecureBoot_Cert_Update.PS1
     • Til 14G: 14G_SecureBoot_Cert_Update.ps1
   • Følg instruktionerne på skærmen
   • Genstart serveren, når du bliver bedt om det
   Bemærk: Under udførelsen kan systemer logge informationshændelser som f.eks. UEFI00074. Disse meddelelser er forventede og indikerer ikke en fejl.

3. Anvend en opdateret BIOS, der indeholder de nye certifikater.

4. Anvend Windows-opdateringer

   • Efter genstart skal du sørge for, at systemet er fuldt opdateret med de seneste tilgængelige kumulative Windows-opdateringer til det installerede operativsystem. Windows-opdateringer er nødvendige for at sikre, at Secure Boot-certifikatopdateringer og tilbagekaldelser anvendes fuldt ud og holdes opdateret i operativsystemet.

5. Valider Secure Boot-certifikattilstand

   • Bekræft, at de opdaterede Microsoft Sikker start-certifikater findes.
   • Sådan kontrolleres Secure Boot-certifikater

6. Validering efter opdatering

   • Bekræft, at systemet starter korrekt
   • Kontroller, at sikker opstart forbliver aktiveret

Yderligere overvejelser:

• BIOS-opdateringer kan ændre de platformsmålinger, der bruges af BitLocker og VBS.
• I sjældne tilfælde kan systemer, hvor BitLocker er aktiveret, bede om genoprettelse efter firmwareopdateringer.
• Det anbefales at suspendere BitLocker før opdateringer til BIOS og Sikker start for at undgå genoprettelsesprompter.