PowerEdge: Pautas de actualización del BIOS del servidor para los certificados de arranque seguro de Microsoft

Se aplica a los sistemas basados en UEFI con arranque seguro habilitado y certificados de arranque seguro más antiguos afectados por el vencimiento del certificado de arranque seguro de Microsoft (junio de 2026). El sistema operativo administra principalmente las actualizaciones de certificados de arranque seguro y los clientes deben asegurarse de actualizar sus sistemas mediante los mecanismos de actualización de Microsoft compatibles.

Se aplica a los sistemas operativos Windows Server afectados por este cambio, según lo definido por Microsoft, que se ejecutan en sistemas físicos con firmware administrado por el cliente y configuración de arranque seguro.

No se aplica a las plataformas ni a los dispositivos de nube en los que el proveedor administra el firmware y las claves de arranque seguro, como Microsoft Azure, AX o la nube administrada por APEX.

Es posible que los sistemas que ya ejecutan versiones del BIOS que incluyen certificados de arranque seguro actualizados no requieran este procedimiento.

Servidores y sistemas operativos objetivo

Esta guía se aplica a:

1. Servidores Dell PowerEdge compatibles con el modo de arranque UEFI y el arranque seguro
2. Sistemas que ejecutan sistemas operativos compatibles con Windows Server afectados por el vencimiento del certificado de arranque seguro de Microsoft (junio de 2026), según la definición de Microsoft. Para los sistemas operativos que no sean Microsoft Windows, se puede seguir el proceso normal de actualización del BIOS para agregar los nuevos certificados.
3. Servidores físicos, incluidas las generaciones 14.ª, 15.ª y 16.ª

En el caso de las máquinas virtuales (basadas en UEFI), siga las instrucciones proporcionadas por el proveedor del hipervisor.

Microsoft Hyper-V: Actualizaciones del certificado de arranque seguro: Orientación para profesionales y organizaciones de TI

VMware ESXi: Vencimientos del certificado de arranque seguro y errores de actualización en máquinas virtuales VMware

Generaciones de servidores e identificadores del BIOS

Las versiones del BIOS que se enumeran a continuación representan versiones mínimas que incluyen los certificados de arranque seguro de Microsoft actualizados. Las versiones del BIOS más recientes que las que se enumeran a continuación también contienen los nuevos certificados de arranque seguro.

Importante
Antes de continuar con los siguientes pasos, verifique que el arranque seguro esté habilitado y configurado mediante la política de arranque seguro predeterminada (estándar).
Los sistemas que utilizan políticas de arranque seguro personalizadas o de terceros pueden requerir una revisión adicional antes de que se puedan aplicar las actualizaciones del certificado de arranque seguro.
Si el arranque seguro no está habilitado, siga el proceso tradicional de actualización del BIOS. No se requieren los pasos que se indican a continuación.

Procedimiento recomendado

1. Verificar la configuración del sistema

   • Si BitLocker está activado, suspenda temporalmente la protección de BitLocker antes de continuar para evitar mensajes de recuperación después del reinicio.
   • Si es necesario, establezca temporalmente la política de ejecución de PowerShell en "Sin restricciones" u "Omisión" para permitir la ejecución del script. (Comando Set-ExecutionPolicy)
   • Para clústeres de conmutación por error (S2D, SAN conectada): agregue "Suspend-ClusterNode -Drain" para pausar el nodo y transferir las funciones agrupadas en clústeres a otro nodo.
   • El firmware del sistema (BIOS) se encuentra en una versión compatible y estable (por ejemplo, una versión del BIOS aprobada por la producción para la plataforma). Los sistemas que ya ejecutan versiones del BIOS que incluyen certificados de arranque seguro actualizados no requieren este procedimiento.

2. Ejecute los scripts de actualización del certificado de arranque seguro de Microsoft 2023

   • Descargue y extraiga los scripts de actualización de arranque seguro adjuntos a este artículo
     • Para 16G: copie 16G_Secure_Boot_Certificates_pkb.zip y extraiga en cualquier carpeta.
     • Para 15G: copie 15G_Secure_Boot_Certificates_pkb.zip y extraiga en cualquier carpeta.
     • Para 14G: copie 14G_Secure_Boot_Certificates_pkb.zip y extráigalo en cualquier carpeta.

   • Ejecute los scripts mediante un símbolo del sistema con privilegios elevados (administrador), según lo documentado por Microsoft

     • Para 16G: 16G_SecureBoot_Cert_Update.ps1
     • Para 15G: 15G_SecureBoot_Cert_Update.ps1
     • Para 14G: 14G_SecureBoot_Cert_Update.ps1
   • Siga las instrucciones que aparecen en pantalla
   • Reinicie el servidor cuando se le solicite
   Nota: Durante la ejecución, los sistemas pueden registrar eventos informativos como UEFI00074. Estos mensajes son esperados y no indican una falla.

3. Aplique un BIOS actualizado que contenga los nuevos certificados.

4. Aplicar actualizaciones de Windows

   • Después del reinicio, asegúrese de que el sistema esté completamente actualizado con las últimas actualizaciones acumulativas de Windows disponibles para el sistema operativo instalado. Se requieren actualizaciones de Windows para garantizar que las actualizaciones de certificados de arranque seguro y las revocaciones se apliquen por completo y se mantengan vigentes dentro del sistema operativo.

5. Validar el estado del certificado de arranque seguro

   • Confirme que los certificados de arranque seguro de Microsoft actualizados estén presentes.
   • Cómo comprobar los certificados de arranque seguro

6. Validación posterior a la actualización

   • Confirme que el sistema arranca correctamente.
   • Verifique que el arranque seguro permanezca habilitado

Consideraciones adicionales:

• Las actualizaciones del BIOS pueden cambiar las medidas de la plataforma utilizadas por BitLocker y VBS.
• En raras ocasiones, los sistemas con BitLocker habilitado pueden solicitar una recuperación después de las actualizaciones de firmware.
• Se recomienda suspender BitLocker antes de realizar las actualizaciones del BIOS y el arranque seguro para evitar solicitudes de recuperación.