PowerEdge: Linee guida per l'aggiornamento del BIOS del server per i certificati di avvio sicuro Microsoft

Si applica ai sistemi basati su UEFI con Secure Boot abilitato e ai certificati Secure Boot meno recenti interessati dalla scadenza del certificato Microsoft Secure Boot (giugno 2026). Il sistema operativo gestisce principalmente gli aggiornamenti dei certificati di avvio sicuro e i clienti devono assicurarsi di aggiornare i propri sistemi utilizzando i meccanismi di aggiornamento Microsoft supportati.

Si applica ai sistemi operativi Windows Server interessati da questa modifica, come definito da Microsoft, in esecuzione su sistemi fisici con firmware gestito dal cliente e configurazione Secure Boot.

Non si applica alle piattaforme cloud o agli appliance in cui il provider gestisce il firmware e le chiavi di avvio sicuro, come Microsoft Azure, AX o APEX-Managed Cloud.

I sistemi che già eseguono versioni del BIOS che includono i certificati di avvio sicuro aggiornati potrebbero non richiedere questa procedura.

Server e sistemi operativi di destinazione

Queste linee guida si applicano a:

1. Server Dell PowerEdge che supportano la modalità di avvio UEFI e Secure Boot
2. Sistemi che eseguono sistemi operativi Windows Server supportati interessati dalla scadenza del certificato di avvio protetto Microsoft (giugno 2026), come definito da Microsoft. Per i sistemi operativi diversi da Microsoft Windows, è possibile seguire il normale processo di aggiornamento del BIOS per ottenere i nuovi certificati aggiunti.
3. Server fisici, inclusi server di quattordicesima, quindicesima e sedicesima generazione

Per le macchine virtuali (basate su UEFI), seguire le indicazioni fornite dal fornitore dell hypervisor.

Microsoft Hyper-V: Aggiornamenti del certificato di avvio sicuro: Linee guida per i professionisti IT e le organizzazioni

VMware ESXi: Scadenza del certificato di avvio protetto ed errori di aggiornamento nelle macchine virtuali VMware

Generazioni di server e identificatori del BIOS

Le versioni del BIOS elencate di seguito rappresentano le versioni minime che includono i certificati Microsoft Secure Boot aggiornati. Le versioni del BIOS più recenti di quelle elencate di seguito contengono anche i nuovi certificati di avvio sicuro.

Importante
Prima di procedere con i passaggi riportati di seguito, verificare che Secure Boot sia abilitato e configurato utilizzando la policy
predefinita (Standard).I sistemi che utilizzano policy Secure Boot personalizzate o di terze parti potrebbero richiedere un ulteriore esame prima di poter applicare gli aggiornamenti del certificato Secure Boot.
Se Secure Boot non è abilitato, seguire il tradizionale processo di aggiornamento del BIOS. I passaggi riportati di seguito non sono necessari.

Procedura consigliata

1. Verifica della configurazione del sistema

   • Se BitLocker è abilitato, sospendere temporaneamente la protezione BitLocker prima di procedere per evitare richieste di ripristino dopo il riavvio.
   • Se necessario, impostare temporaneamente i criteri di esecuzione di PowerShell su "Unrestricted" o "Bypass" per consentire l'esecuzione degli script. (comando Set-ExecutionPolicy)
   • Per i cluster di failover (S2D, SAN collegati): aggiungere "Suspend-ClusterNode -Drain" per sospendere il nodo e spostare i ruoli del cluster in un altro nodo.
   • Il firmware di sistema (BIOS) è in una release supportata e stabile (ad esempio, una versione del BIOS approvata dalla produzione per la piattaforma). I sistemi che eseguono versioni del BIOS che includono i certificati Secure Boot aggiornati non richiedono questa procedura.

2. Eseguire gli script di aggiornamento dei certificati Microsoft Secure Boot 2023

   • Scaricare ed estrarre gli script di aggiornamento di Secure Boot allegati a questo articolo
     • Per 16G: copia 16G_Secure_Boot_Certificates_pkb.zip ed estrai in qualsiasi cartella.
     • Per 15G: copia 15G_Secure_Boot_Certificates_pkb.zip ed estrai in qualsiasi cartella.
     • Per 14G: copia 14G_Secure_Boot_Certificates_pkb.zip ed estrai in qualsiasi cartella.

   • Eseguire gli script utilizzando un prompt dei comandi con privilegi elevati (amministratore) come documentato da Microsoft

     • Per 16G: 16G_SecureBoot_Cert_Update.ps1
     • Per 15G: 15G_SecureBoot_Cert_Update.ps1
     • Per 14G: 14G_SecureBoot_Cert_Update.ps1
   • Seguire le istruzioni visualizzate
   • Riavviare il server quando richiesto
   Nota: Durante l'esecuzione, i sistemi possono registrare eventi informativi, ad esempio UEFI00074. Questi messaggi sono previsti e non indicano un errore.

3. Applicare un BIOS aggiornato contenente i nuovi certificati.

4. Applicare gli aggiornamenti di Windows

   • Dopo il riavvio, accertarsi che il sistema sia completamente aggiornato con gli ultimi aggiornamenti cumulativi di Windows disponibili per il sistema operativo installato. Gli aggiornamenti di Windows sono necessari per garantire che gli aggiornamenti del certificato Secure Boot e le revoche vengano completamente applicate e mantenute aggiornate all'interno del sistema operativo.

5. Convalida dello stato del certificato Secure Boot

   • Verificare che siano presenti i certificati Microsoft Secure Boot aggiornati.
   • Come controllare i certificati di avvio protetto

6. Convalida post-aggiornamento

   • Verificare che il sistema si avvii correttamente
   • Verificare che Secure Boot rimanga abilitato

Ulteriori considerazioni:

• Gli aggiornamenti del BIOS possono modificare le misurazioni della piattaforma utilizzate da BitLocker e VBS.
• In rari casi, i sistemi con BitLocker abilitato potrebbero richiedere il ripristino dopo gli aggiornamenti del firmware.
• Si consiglia di sospendere BitLocker prima degli aggiornamenti del BIOS e di avvio sicuro per evitare richieste di ripristino.