PowerEdge. Рекомендации по обновлению BIOS сервера для сертификатов безопасной загрузки Microsoft

Это относится к системам на базе UEFI с включенной безопасной загрузкой и более старым сертификатам безопасной загрузки, на которые повлиял истечение срока действия сертификата безопасной загрузки Microsoft (июнь 2026 г.). Операционная система в основном управляет обновлениями сертификатов безопасной загрузки, и клиенты должны убедиться, что они обновляют свои системы с помощью поддерживаемых механизмов обновления Microsoft.

Это относится к операционным системам Windows Server, на которые повлияло это изменение, согласно определению Microsoft, которые работают на физических системах с управляемой заказчиком микропрограммой и конфигурацией безопасной загрузки.

Это не относится к облачным платформам или устройствам, в которых поставщик управляет микропрограммами и ключами безопасной загрузки, таким как Microsoft Azure, AX или облако под управлением APEX.

В системах, где уже установлены версии BIOS, включающие обновленные сертификаты безопасной загрузки, эта процедура может не потребоваться.

Целевые серверы и операционные системы

Это руководство относится к:

1. Серверы Dell PowerEdge, поддерживающие режим загрузки UEFI и безопасную загрузку
2. Системы под управлением поддерживаемых операционных систем Windows Server, на которые распространяется истечение срока действия сертификата безопасной загрузки Microsoft (июнь 2026 г.), согласно определению Microsoft. Для операционных систем, отличных от Microsoft Windows, для добавления новых сертификатов можно выполнить обычный процесс обновления BIOS.
3. Физические серверы, включая 14-е, 15-е и 16-е поколения

Для виртуальных машин (на базе UEFI) следуйте инструкциям поставщика гипервизора.

Microsoft Hyper-V. Обновления сертификата безопасной загрузки Руководство для ИТ-специалистов и организаций

VMware ESXi: Окончание срока действия сертификата безопасной загрузки и сбои обновления на виртуальных машинах VMware

Поколения серверов и идентификаторы BIOS

Перечисленные ниже версии BIOS представляют собой минимальные выпуски, которые включают обновленные сертификаты безопасной загрузки Microsoft. Более новые версии BIOS, чем перечисленные ниже, также содержат новые сертификаты безопасной загрузки.

Важно
Прежде чем выполнять указанные ниже действия, убедитесь, что безопасная загрузка включена и настроена с использованием политики безопасной загрузки по умолчанию (Standard).
Для систем, использующих пользовательские или сторонние политики безопасной загрузки, может потребоваться дополнительная проверка перед применением обновлений сертификатов безопасной загрузки.
Если функция безопасной загрузки не включена, следуйте традиционному процессу обновления BIOS. Описанные ниже действия не являются обязательными.

Рекомендуемая процедура

1. Проверка конфигурации системы

   • Если BitLocker включен, временно приостановите защиту BitLocker, прежде чем продолжить, чтобы избежать запросов на восстановление после перезагрузки.
   • При необходимости временно установите для политики выполнения PowerShell значение «Unrestricted» или «Bypass», чтобы разрешить выполнение сценария. (команда Set-ExecutionPolicy)
   • Для отказоустойчивых кластеров (S2D, SAN Attached) добавьте «Suspend-ClusterNode -Drain», чтобы приостановить узел и переместить кластерные роли на другой узел.
   • Микропрограмма системы (BIOS) поддерживается и стабильно (например, это утвержденная в производственной среде версия BIOS для платформы). Для систем с версиями BIOS, которые включают обновленные сертификаты безопасной загрузки, эта процедура не требуется.

2. Запуск сценариев обновления сертификата безопасной загрузки Microsoft 2023

   • Скачайте и извлеките сценарии обновления для безопасной загрузки, прикрепленные к этой статье
     • Для 16G — скопируйте 16G_Secure_Boot_Certificates_pkb.zip и извлеките в любую папку.
     • Для 15G — скопируйте 15G_Secure_Boot_Certificates_pkb.zip и извлеките в любую папку.
     • Для 14G — скопируйте 14G_Secure_Boot_Certificates_pkb.zip и извлеките в любую папку.

   • Запуск сценариев с помощью командной строки с повышенными привилегиями (администратора), как описано в Microsoft

     • Для 16-го поколения: 16G_SecureBoot_Cert_Update.пс1
     • Для 15-го поколения: 15G_SecureBoot_Cert_Update.пс1
     • Для 14G: 14G_SecureBoot_Cert_Update.ps1
   • Следуйте инструкциям на экране
   • Перезагрузите сервер при появлении соответствующего запроса.
   Примечание. Во время выполнения системы могут регистрировать информационные события, такие как UEFI00074. Эти сообщения являются ожидаемыми и не указывают на сбой.

3. Примените обновленную версию BIOS, содержащую новые сертификаты.

4. Применить обновления Windows

   • После перезагрузки убедитесь, что система полностью обновлена последними доступными накопительными обновлениями Windows для установленной операционной системы. Обновления Windows необходимы для обеспечения обновлений сертификатов безопасной загрузки, а отзыв полностью применяется и поддерживается в актуальном состоянии в операционной системе.

5. Проверка состояния сертификата безопасной загрузки

   • Убедитесь в наличии обновленных сертификатов безопасной загрузки Microsoft.
   • Как проверить сертификаты безопасной загрузки

6. Проверка после обновления

   • Убедитесь, что система успешно загрузилась
   • Убедитесь, что функция безопасной загрузки остается включенной

Дополнительные замечания:

• Обновления BIOS могут изменить измерения платформы, используемые BitLocker и VBS.
• В редких случаях системы с включенной функцией BitLocker могут запрашивать восстановление после обновления микропрограммы.
• Рекомендуется приостановить BitLocker перед обновлением BIOS и безопасной загрузкой, чтобы избежать запросов на восстановление.