PowerEdge : Instructions de mise à jour du BIOS du serveur pour les certificats Microsoft Secure Boot

Elle s’applique aux systèmes basés sur UEFI avec démarrage sécurisé activé et aux certificats Secure Boot plus anciens affectés par l’expiration du certificat de démarrage sécurisé Microsoft (juin 2026). Le système d’exploitation gère principalement les mises à jour de certificat Secure Boot, et les clients doivent s’assurer de mettre à jour leurs systèmes à l’aide des mécanismes de mise à jour Microsoft pris en charge.

Elle s’applique aux systèmes d’exploitation Windows Server concernés par cette modification, tels que définis par Microsoft, qui s’exécutent sur des systèmes physiques dotés du firmware géré par le client et d’une configuration Secure Boot.

Elle ne s’applique pas aux plates-formes ou appliances Cloud où le fournisseur gère le firmware et les clés Secure Boot, comme Microsoft Azure, AX ou Dell APEX-Managed Cloud.

Les systèmes exécutant déjà des versions du BIOS qui incluent les certificats Secure Boot mis à jour peuvent ne pas nécessiter cette procédure.

Serveurs et systèmes d’exploitation ciblés

Ces conseils s’appliquent aux éléments suivants :

1. Serveurs Dell PowerEdge prenant en charge le mode de démarrage UEFI et Secure Boot
2. Systèmes exécutant des systèmes d’exploitation Windows Server pris en charge affectés par l’expiration du certificat Microsoft Secure Boot (juin 2026), tel que défini par Microsoft. Pour les systèmes d’exploitation autres que Microsoft Windows, le processus normal de mise à jour du BIOS peut être suivi pour obtenir les nouveaux certificats.
3. Serveurs physiques, y compris les 14e, 15e et 16e générations

Pour les machines virtuelles (basées sur UEFI), suivez les instructions fournies par le fournisseur de l’hyperviseur.

Microsoft Hyper-V : Mises à jour du certificat Secure Boot : Conseils pour les professionnels de l’informatique et les organisations

VMware ESXi : Expirations de certificat Secure Boot et échecs de mise à jour dans les machines virtuelles VMware

Générations de serveurs et ID du BIOS

Les versions du BIOS répertoriées ci-dessous représentent les versions minimales qui incluent les certificats Microsoft Secure Boot mis à jour. Les versions du BIOS plus récentes que celles répertoriées ci-dessous contiennent également les nouveaux certificats Secure Boot.

Important
Avant de poursuivre les étapes ci-dessous, vérifiez que Secure Boot est activé et configuré à l’aide de la politique
Secure Boot par défaut (standard).Les systèmes utilisant des règles Secure Boot personnalisées ou tierces peuvent nécessiter une révision supplémentaire avant que les mises à jour du certificat Secure Boot puissent être appliquées.
Si Secure Boot n’est pas activé, suivez le processus traditionnel de mise à jour du BIOS. Les étapes ci-dessous ne sont pas requises.

Procédure recommandée

1. Vérification de la configuration du système

   • Si BitLocker est activé, suspendez temporairement la protection BitLocker avant de continuer afin d’éviter les invites de récupération après le redémarrage.
   • Si nécessaire, définissez temporairement la stratégie d’exécution PowerShell sur « Sans restriction » ou « Contournement » pour permettre l’exécution de scripts. (commande Set-ExecutionPolicy)
   • Pour les clusters de basculement (S2D, SAN Attached) : ajoutez « Suspend-ClusterNode -Drain » pour suspendre le nœud et déplacer les rôles en cluster vers un autre nœud.
   • Le firmware du système (BIOS) est une version stable et prise en charge (par exemple, une version du BIOS approuvée en production pour la plate-forme). Les systèmes exécutant déjà des versions du BIOS qui incluent les certificats Secure Boot mis à jour ne nécessitent pas cette procédure.

2. Exécutez les scripts de mise à jour du certificat Microsoft Secure Boot 2023

   • Téléchargez et extrayez les scripts de mise à jour Secure Boot joints à cet article
     • Pour 16G : copiez 16G_Secure_Boot_Certificates_pkb.zip et extrayez-les dans n’importe quel dossier.
     • Pour les serveurs de 15e génération : copiez 15G_Secure_Boot_Certificates_pkb.zip fichiers et extrayez-les dans n’importe quel dossier.
     • Pour les serveurs de 14e génération : copiez 14G_Secure_Boot_Certificates_pkb.zip et extrayez-les dans n’importe quel dossier.

   • Exécutez les scripts à l’aide d’une invite de commande avec élévation de privilèges (administrateur), comme indiqué par Microsoft.

     • Pour les serveurs 16G : 16G_SecureBoot_Cert_Update.ps1
     • Pour la 15e génération : 15G_SecureBoot_Cert_Update.ps1
     • Pour la 14e génération : 14G_SecureBoot_Cert_Update.ps1
   • Suivez les instructions qui s’affichent à l’écran.
   • Redémarrez le serveur lorsque vous y êtes invité
   Remarque : Au cours de l’exécution, les systèmes peuvent consigner des événements d’information tels que UEFI00074. Ces messages sont attendus et n’indiquent pas une défaillance.

3. Appliquez un BIOS mis à jour qui contient les nouveaux certificats.

4. Appliquer les mises à jour Windows

   • Après le redémarrage, assurez-vous que le système est entièrement mis à jour avec les dernières mises à jour cumulatives Windows disponibles pour le système d’exploitation installé. Des mises à jour Windows sont nécessaires pour garantir que les mises à jour des certificats Secure Boot et les révocations sont entièrement appliquées et tenues à jour dans le système d’exploitation.

5. Valider l’état du certificat Secure Boot

   • Vérifiez que les certificats Microsoft Secure Boot mis à jour sont présents.
   • Comment vérifier les certificats Secure Boot

6. Validation postérieure à la mise à jour

   • Vérifiez que le système a bien démarré
   • Vérifiez que Secure Boot reste activé

Considérations supplémentaires :

• Les mises à jour du BIOS peuvent modifier les mesures de plate-forme utilisées par BitLocker et VBS.
• Dans de rares cas, les systèmes sur lesquels BitLocker est activé peuvent vous demander une récupération après les mises à jour du firmware.
• Il est recommandé de suspendre BitLocker avant les mises à jour du BIOS et de Secure Boot pour éviter les invites de restauration.