PowerEdge: Pokyny k aktualizaci systému BIOS serveru pro certifikáty Microsoft Secure Boot

Platí pro systémy založené na rozhraní UEFI s povolenou funkcí Secure Boot a starších certifikátech Secure Boot, kterých se týká vypršení platnosti certifikátu společnosti Microsoft Secure Boot (červen 2026). Operační systém primárně spravuje aktualizace certifikátů bezpečného spouštění a zákazníci by měli zajistit, aby své systémy aktualizovali pomocí podporovaných aktualizačních mechanismů společnosti Microsoft.

Vztahuje se na operační systémy Windows Server ovlivněné touto změnou, definované společností Microsoft, běžící na fyzických systémech s firmwarem spravovaným zákazníkem a konfigurací zabezpečeného spouštění.

Nevztahuje se na cloudové platformy nebo zařízení, kde poskytovatel spravuje firmware a klíče pro zabezpečené spouštění, jako je Microsoft Azure, AX nebo APEX-Managed Cloud.

Systémy s již verzí systému BIOS obsahující aktualizované certifikáty bezpečného spouštění nemusí tento postup vyžadovat.

Cílové servery a operační systémy

Tyto pokyny se vztahují na:

1. Servery Dell PowerEdge, které podporují režim spouštění UEFI a zabezpečené spouštění
2. Systémy s podporovanými operačními systémy Windows Server, na které se vztahuje konec platnosti certifikátu bezpečného spouštění Microsoft (červen 2026), jak je definováno společností Microsoft. V případě jiných operačních systémů než Microsoft Windows lze pro přidání nových certifikátů postupovat podle běžného procesu aktualizace systému BIOS.
3. Fyzické servery, včetně 14., 15. a 16. generace

U virtuálních počítačů (založených na rozhraní UEFI) postupujte podle pokynů dodavatele hypervisoru.

Microsoft Hyper-V: Aktualizace certifikátů bezpečného spouštění: Pokyny pro odborníky a organizace IT

VMware ESXi: Konce platnosti certifikátů bezpečného spouštění a selhání aktualizací ve virtuálních počítačích VMware

Generace serverů a identifikátory systému BIOS

Níže uvedené verze systému BIOS představují minimální verze, které obsahují aktualizované certifikáty Microsoft Secure Boot. Nové certifikáty pro bezpečné spouštění obsahují také novější verze systému BIOS, než jsou ty níže uvedené.

Důležité
Než budete pokračovat níže uvedenými kroky, ověřte, zda je funkce Secure Boot povolena a nakonfigurována pomocí výchozích (standardních) zásad Secure Boot.
Systémy, které používají vlastní zásady bezpečného spouštění nebo zásady bezpečného spouštění třetích stran, mohou před použitím aktualizací certifikátů bezpečného spouštění vyžadovat další kontrolu.
Pokud není bezpečné spouštění povoleno, postupujte podle tradičního procesu aktualizace systému BIOS. Níže uvedené kroky nejsou vyžadovány.

Doporučený postup

1. Ověřte konfiguraci systému

   • Pokud je povolena funkce BitLocker, před pokračováním dočasně pozastavte ochranu BitLocker, abyste se vyhnuli výzvám k obnovení po restartování.
   • V případě potřeby dočasně nastavte Zásady spouštění PowerShellu na Bez omezení nebo Obcházet, aby bylo možné spuštění skriptu. (příkaz Set-ExecutionPolicy)
   • U clusterů s podporou převzetí služeb při selhání (S2D, připojená síť SAN) – přidáním příkazu "suspend-ClusterNode -Drain" pozastavíte uzel a přesunete clusterové role do jiného uzlu.
   • Systémový firmware (BIOS) je k dispozici v podporovaném a stabilním vydání (například produkční verze systému BIOS pro danou platformu). Systémy, ve kterých již běží verze systému BIOS s aktualizovanými certifikáty bezpečného spouštění, tento postup nevyžadují.

2. Spuštění skriptů aktualizace certifikátu Microsoft Secure Boot 2023

   • Stáhněte a rozbalte aktualizační skripty Secure Boot připojené k tomuto článku
     • Pro 16G – Zkopírujte 16G_Secure_Boot_Certificates_pkb.zip a extrahujte do libovolné složky.
     • Pro 15G – zkopírujte 15G_Secure_Boot_Certificates_pkb.zip a rozbalte do libovolné složky.
     • Pro 14G – zkopírujte 14G_Secure_Boot_Certificates_pkb.zip a rozbalte do libovolné složky.

   • Spusťte skripty pomocí příkazového řádku se zvýšenými oprávněními (správce), jak je zdokumentováno společností Microsoft

     • Pro 16G: 16G_SecureBoot_Cert_Update.ps1
     • Pro 15G: 15G_SecureBoot_Cert_Update.ps1
     • Pro 14G: 14G_SecureBoot_Cert_Update.ps1
   • Podle pokynů na obrazovce
   • Po zobrazení výzvy restartujte server.
   Poznámka: Během spuštění mohou systémy protokolovat informační události, jako je UEFI00074. Tyto zprávy jsou očekávané a neznamenají selhání.

3. Použijte aktualizovaný systém BIOS, který obsahuje nové certifikáty.

4. Použít aktualizace systému Windows

   • Po restartování se ujistěte, že je systém plně aktualizován na nejnovější dostupné kumulativní aktualizace systému Windows pro nainstalovaný operační systém. Aktualizace systému Windows jsou vyžadovány, aby bylo zajištěno, že aktualizace certifikátů bezpečného spouštění a odvolání budou plně aplikovány a udržovány aktuální v operačním systému.

5. Ověření stavu certifikátu bezpečného spouštění

   • Zkontrolujte, zda jsou k dispozici aktualizované certifikáty Microsoft pro bezpečné spouštění.
   • Jak zkontrolovat certifikáty Secure Boot

6. Ověření po aktualizaci

   • Potvrďte úspěšné spuštění systému
   • Ověřte, zda je funkce Bezpečné spouštění nadále povolena

Další informace:

• Aktualizace systému BIOS mohou změnit měření platformy používané nástrojem BitLocker a VBS.
• Ve vzácných případech mohou systémy s povoleným nástrojem BitLocker po aktualizaci firmwaru požádat o obnovení.
• Před aktualizací systému BIOS a funkce Secure Boot se doporučuje pozastavit nástroj BitLocker, aby nedocházelo k výzvám k obnovení.