PowerEdge: Retningslinjer for oppdatering av BIOS for Server for Microsoft Secure Boot-sertifikater

Den gjelder for UEFI-baserte systemer med sikker oppstart aktivert og eldre sertifikater for sikker oppstart som påvirkes av utløpsdatoen for Microsoft Secure Boot-sertifikatet (juni 2026). Operativsystemet administrerer primært sertifikatoppdateringer for sikker oppstart, og kunder bør sørge for at de oppdaterer systemene sine ved hjelp av støttede Microsoft-oppdateringsmekanismer.

Den gjelder for Windows Server-operativsystemer som er berørt av denne endringen, som definert av Microsoft, som kjører på fysiske systemer med kundeadministrert fastvare og sikker oppstartskonfigurasjon.

Den gjelder ikke for nettskyplattformer eller -verktøy der leverandøren administrerer fastvare og nøkler for sikker oppstart, for eksempel Microsoft Azure, AX eller APEX-administrert nettsky.

Systemer som allerede kjører BIOS-versjoner som inkluderer de oppdaterte sertifikatene for sikker oppstart, trenger kanskje ikke denne prosedyren.

Målrettede servere og operativsystemer

Denne veiledningen gjelder for:

1. Dell PowerEdge-servere som støtter UEFI-oppstartsmodus og sikker oppstart
2. Systemer som kjører støttede Windows Server-operativsystemer som er berørt av utløpsdatoen for Microsoft Secure Boot-sertifikatet (juni 2026), som definert av Microsoft. For andre operativsystemer enn Microsoft Windows kan den vanlige BIOS-oppdateringsprosessen følges for å få de nye sertifikatene lagt til.
3. Fysiske servere, inkludert 14., 15. og 16. generasjon

For virtuelle maskiner (UEFI-basert) følger du veiledningen fra Hypervisor-leverandøren.

Microsoft Hyper-V: Oppdateringer av sertifikatoppdateringer for sikker oppstart: Veiledning for IT-eksperter og organisasjoner

VMware ESXi: Utløp av sikker oppstartssertifikat og oppdateringsfeil i virtuelle VMware-maskiner

Servergenerasjoner og BIOS-identifikatorer

BIOS-versjonene som er oppført nedenfor, representerer minimumsversjoner som inkluderer de oppdaterte Microsoft Secure Boot-sertifikatene. BIOS-versjoner som er nyere enn de som er oppført nedenfor, inneholder også de nye sertifikatene for sikker oppstart.

Viktig
Før du fortsetter med trinnene nedenfor, må du kontrollere at sikker oppstart er aktivert og konfigurert ved hjelp av standard (standard) policy for sikker oppstart.
Systemer som bruker tilpassede policyer for sikker oppstart eller tredjeparts sikker oppstart, kan kreve ytterligere gjennomgang før sertifikatoppdateringer for sikker oppstart kan brukes.
Hvis sikker oppstart ikke er aktivert, følger du den tradisjonelle BIOS-oppdateringen. Trinn nedenfor er ikke obligatorisk.

Anbefalt prosedyre

1. Bekreft systemkonfigurasjonen

   • Hvis BitLocker er aktivert, må du midlertidig avbryte BitLocker-beskyttelsen før du fortsetter for å unngå gjenopprettingsmeldinger etter omstart.
   • Hvis det er nødvendig, setter du midlertidig PowerShell-kjøringspolicyen til Ubegrenset, eller Omgå for å tillate skriptutførelse. (Set-ExecutionPolicy-kommando)
   • For failover-klynger (S2D, SAN tilkoblet) – Legg til "Suspend-ClusterNode -Drain" for å sette noden på pause og flytte klyngede roller til en annen node.
   • Systemfastvaren (BIOS) har en støttet og stabil versjon (for eksempel en produksjonsgodkjent BIOS-versjon for plattformen). Systemer som allerede kjører BIOS-versjoner som inkluderer de oppdaterte sertifikatene for sikker oppstart, krever ikke denne prosedyren.

2. Kjør skriptene for sertifikatoppdatering for Microsoft Secure Boot 2023

   • Last ned og pakk ut skriptene for sikker oppstart som er vedlagt i denne artikkelen
     • For 16G - Kopier 16G_Secure_Boot_Certificates_pkb.zip og pakk ut i hvilken som helst mappe.
     • For 15G - Kopier 15G_Secure_Boot_Certificates_pkb.zip og pakk ut i hvilken som helst mappe.
     • For 14G - Kopier 14G_Secure_Boot_Certificates_pkb.zip og pakk ut i hvilken som helst mappe.

   • Kjør skriptene ved hjelp av en forhøyet ledetekst (administrator) som dokumentert av Microsoft

     • For 16 G: 16G_SecureBoot_Cert_Update.ps1
     • For 15G: 15G_SecureBoot_Cert_Update.ps1
     • For 14G: 14G_SecureBoot_Cert_Update.ps1
   • Følg instruksjonene på skjermen
   • Start serveren på nytt når du blir bedt om det
   Merk: Under utførelse kan systemene logge informasjonshendelser som UEFI00074. Disse meldingene er forventet og indikerer ikke en feil.

3. Bruk en oppdatert BIOS som inneholder de nye sertifikatene.

4. Bruk Windows-oppdateringer

   • Etter omstarten må du kontrollere at systemet er fullstendig oppdatert med de nyeste tilgjengelige kumulative Windows-oppdateringene for det installerte operativsystemet. Windows-oppdateringer kreves for å sikre at sertifikatoppdateringer for sikker oppstart brukes fullstendig og holdes oppdatert i operativsystemet.

5. Valider sertifikattilstand for sikker oppstart

   • Bekreft at de oppdaterte Microsoft Secure Boot-sertifikatene finnes.
   • Slik kontrollerer du sertifikater for sikker oppstart

6. Validering etter oppdatering

   • Bekrefte at systemet starter opp
   • Bekreft at sikker oppstart forblir aktivert

Ytterligere hensyn:

• BIOS-oppdateringer kan endre plattformmålinger som brukes av BitLocker og VBS.
• I sjeldne tilfeller kan systemer med BitLocker aktivert be om gjenoppretting etter fastvareoppdateringer.
• Det anbefales å suspendere BitLocker før oppdateringer av BIOS og sikker oppstart for å unngå gjenopprettingsmeldinger.