PowerEdge: Diretrizes de atualização do BIOS do servidor para certificados de inicialização segura da Microsoft

Ele se aplica a sistemas baseados em UEFI com os certificados de inicialização segura ativados e mais antigos afetados pela expiração do certificado de inicialização segura da Microsoft (junho de 2026). O sistema operacional gerencia principalmente as atualizações de certificados do Secure Boot, e os clientes devem garantir que atualizem seus sistemas usando mecanismos de atualização da Microsoft compatíveis.

Ela se aplica aos sistemas operacionais Windows Server afetados por essa alteração, conforme definido pela Microsoft, em execução em sistemas físicos com firmware gerenciado pelo cliente e configuração de inicialização segura.

Ele não se aplica a plataformas ou equipamentos de nuvem em que o provedor gerencia o firmware e chaves de inicialização segura, como Microsoft Azure, AX ou APEX-Managed Cloud.

Os sistemas que já executam versões do BIOS que incluem os certificados de inicialização segura atualizados podem não exigir este procedimento.

Servidores e sistemas operacionais direcionados

Esta orientação aplica-se a:

1. Servidores Dell PowerEdge compatíveis com o modo de inicialização UEFI e a inicialização segura
2. Sistemas que executam sistemas operacionais Windows Server compatíveis afetados pela expiração do certificado do Microsoft Secure Boot (junho de 2026), conforme definido pela Microsoft. Para sistemas operacionais diferentes do Microsoft Windows, o processo normal de atualização do BIOS pode ser seguido para que os novos certificados sejam adicionados.
3. Servidores físicos, inclusive 14ª, 15ª e 16ª gerações

Para máquinas virtuais (baseadas em UEFI), siga as orientações fornecidas pelo fornecedor do hypervisor.

Microsoft Hyper-V: Atualizações do certificado de inicialização segura: Orientação para profissionais e organizações de TI

VMware ESXi: Vencimentos do certificado de inicialização segura e falhas de atualização em máquinas virtuais VMware

Gerações de servidores e identificadores do BIOS

As versões do BIOS listadas abaixo representam as versões mínimas que incluem os certificados Microsoft Secure Boot atualizados. As versões do BIOS mais recentes do que as listadas abaixo também contêm os novos certificados de inicialização segura.

Importante
Antes de prosseguir com as etapas abaixo, verifique se o Secure Boot está ativado e configurado usando a política padrão (padrão) Secure Boot.
Os sistemas que usam políticas de inicialização segura personalizadas ou de terceiros podem exigir análise adicional antes que as atualizações do certificado de inicialização segura possam ser aplicadas.
Se a inicialização segura não estiver ativada, siga o processo tradicional de atualização do BIOS. As etapas abaixo não são necessárias.

Procedimento recomendado

1. Verificar a configuração do sistema

   • Se o BitLocker estiver ativado, suspenda temporariamente a proteção do BitLocker antes de continuar para evitar prompts de recuperação após a reinicialização.
   • Se necessário, defina temporariamente a Política de Execução do PowerShell como "Irrestrita" ou "Ignorar" para permitir a execução do script. (Comando Set-ExecutionPolicy)
   • Para clusters de failover (S2D, conectado à SAN) — adicione "Suspend-ClusterNode -Drain" para pausar o nó e mover funções clusterizadas para outro nó.
   • O firmware do sistema (BIOS) está em uma versão compatível e estável (por exemplo, uma versão do BIOS aprovada pela produção para a plataforma). Os sistemas que já executam versões do BIOS que incluem os certificados de inicialização segura atualizados não exigem esse procedimento.

2. Execute os scripts de atualização do certificado da Microsoft Secure Boot 2023

   • Faça download e extraia os scripts de atualização da inicialização segura anexados a este artigo
     • Para 16G — copie 16G_Secure_Boot_Certificates_pkb.zip e extraia para qualquer pasta.
     • Para 15G — copie 15G_Secure_Boot_Certificates_pkb.zip e extraia para qualquer pasta.
     • Para 14G — copie 14G_Secure_Boot_Certificates_pkb.zip e extraia para qualquer pasta.

   • Executar os scripts usando um prompt de comando elevado (administrador), conforme documentado pela Microsoft

     • Para 16G: 16G_SecureBoot_Cert_Update.ps1
     • Para 15G: 15G_SecureBoot_Cert_Update.ps1
     • Para 14G: 14G_SecureBoot_Cert_Update.ps1
   • Siga as instruções na tela
   • Reinicialize o servidor quando solicitado
   Nota: Durante a execução, os sistemas podem registrar eventos informativos, como UEFI00074. Essas mensagens são esperadas e não indicam uma falha.

3. Aplicar um BIOS atualizado que contenha os novos certificados.

4. Aplicar atualizações do Windows

   • Após a reinicialização, verifique se o sistema está totalmente atualizado com as atualizações cumulativas mais recentes disponíveis do Windows para o sistema operacional instalado. As atualizações do Windows são necessárias para garantir que as atualizações do certificado da Inicialização segura e as revogações sejam totalmente aplicadas e mantidas atualizadas no sistema operacional.

5. Validar o estado do certificado de inicialização segura

   • Confirme se os certificados de inicialização segura da Microsoft atualizados estão presentes.
   • Como verificar certificados de Inicialização segura

6. Validação pós-atualização

   • Confirme se o sistema inicializa com sucesso
   • Verifique se a inicialização segura permanece ativada

Considerações adicionais:

• As atualizações do BIOS podem alterar as medições da plataforma usadas pelo BitLocker e pelo VBS.
• Em casos raros, sistemas com o BitLocker ativado podem solicitar a recuperação após atualizações de firmware.
• É recomendável suspender o BitLocker antes das atualizações do BIOS e da inicialização segura para evitar solicitações de recuperação.