PowerEdge: Riktlinjer för BIOS-uppdatering av Server för Microsoft Secure Boot-certifikat

Det gäller UEFI-baserade system med Secure Boot aktiverat och äldre Secure Boot-certifikat som påverkas av att Microsoft Secure Boot-certifikatet upphör att gälla (juni 2026). Operativsystemet hanterar främst uppdateringar av Secure Boot-certifikat, och kunderna bör se till att de uppdaterar sina system med hjälp av Microsofts uppdateringsmekanismer som stöds.

Det gäller Windows Server-operativsystem som påverkas av den här ändringen, enligt definitionen av Microsoft, som körs på fysiska system med kundhanterad fast programvara och Secure Boot-konfiguration.

Den gäller inte molnplattformar eller enheter där leverantören hanterar fast programvara och Secure Boot-nycklar, till exempel Microsoft Azure, AX eller APEX-Managed Cloud.

System som redan kör BIOS-versioner som inkluderar de uppdaterade certifikaten för säker start kanske inte kräver den här proceduren.

Målservrar och operativsystem

Den här vägledningen gäller för:

1. Dell PowerEdge-servrar som stöder UEFI-startläge och Secure Boot
2. System som kör Windows Server-operativsystem som påverkas av Microsoft Secure Boot-certifikatets upphörande (juni 2026), enligt definitionen av Microsoft. För andra operativsystem än Microsoft Windows går det att följa den normala BIOS-uppdateringsprocessen för att lägga till de nya certifikaten.
3. Fysiska servrar, inklusive 14:e, 15:e och 16:e generationen

För virtuella datorer (UEFI-baserade) följer du riktlinjerna från Hypervisor-leverantören.

Microsoft Hyper-V: Uppdateringar av Secure Boot-certifikat: Vägledning för IT-proffs och organisationer

VMware ESXi: Utgångsdatum för certifikat för säker start och uppdateringsfel i VMware Virtual Machines

Servergenerationer och BIOS-identifierare

BIOS-versionerna som anges nedan representerar minimiversioner som innehåller de uppdaterade Microsoft Secure Boot-certifikaten. BIOS-versioner som är nyare än de som anges nedan innehåller också de nya certifikaten för säker start.

Viktigt
Innan du fortsätter med stegen nedan ska du kontrollera att Säker start är aktiverat och konfigurerat med standardpolicyn för säker start (standard).
System som använder anpassade eller tredjeparts Secure Boot-policyer kan kräva ytterligare granskning innan uppdateringar av Secure Boot-certifikat kan tillämpas.
Om säker start inte är aktiverat följer du den traditionella BIOS-uppdateringsprocessen. Stegen nedan är inte obligatoriska.

Rekommenderad procedur

1. Verifiera systemkonfigurationen

   • Om BitLocker är aktiverat stänger du tillfälligt av BitLocker-skyddet innan du fortsätter för att undvika återställningsuppmaningar efter omstart.
   • Om det behövs ställer du tillfälligt in PowerShell-körningsprincipen på "Obegränsad" eller "Kringgå" för att tillåta skriptkörning. (Set-ExecutionPolicy-kommando)
   • För redundanskluster (S2D, SAN-ansluten) – Lägg till "Suspend-ClusterNode -Drain" för att pausa noden och flytta klustrade roller till en annan nod.
   • Systemets inbyggda programvara (BIOS) har en stabil version som stöds (till exempel en produktionsgodkänd BIOS-version för plattformen). System som redan kör BIOS-versioner som innehåller de uppdaterade certifikaten för säker start kräver inte den här proceduren.

2. Kör certifikatuppdateringsskripten för Microsoft Secure Boot 2023

   • Ladda ner och extrahera uppdateringsskripten för Secure Boot som är bifogade till den här artikeln
     • För 16G – Kopiera 16G_Secure_Boot_Certificates_pkb.zip och extrahera till valfri mapp.
     • För 15G – Kopiera 15G_Secure_Boot_Certificates_pkb.zip och extrahera till valfri mapp.
     • För 14G – Kopiera 14G_Secure_Boot_Certificates_pkb.zip och extrahera till valfri mapp.

   • Kör skripten med en upphöjd kommandotolk (administratör) som dokumenterats av Microsoft

     • För 16G: 16G_SecureBoot_Cert_Update.ps1
     • För 15G: 15G_SecureBoot_Cert_Update.ps1
     • För 14G: 14G_SecureBoot_Cert_Update.ps1
   • Följ anvisningarna på skärmen
   • Starta om servern när du uppmanas till det
   Obs! Under körningen kan system logga informationshändelser, t.ex. UEFI00074. Dessa meddelanden är förväntade och indikerar inte något fel.

3. Tillämpa ett uppdaterat BIOS som innehåller de nya certifikaten.

4. Tillämpa Windows-uppdateringar

   • Efter omstarten kontrollerar du att systemet är helt uppdaterat med de senaste tillgängliga kumulativa Windowsuppdateringarna för det installerade operativsystemet. Windows-uppdateringar krävs för att säkerställa uppdateringar av Secure Boot-certifikat, och återkallelser tillämpas fullt ut och hålls aktuella i operativsystemet.

5. Validera certifikatstatus för säker start

   • Bekräfta att de uppdaterade Microsoft Secure Boot-certifikaten finns.
   • Så här kontrollerar du certifikat för säker start

6. Validering efter uppdatering

   • Kontrollera att systemet startar korrekt
   • Kontrollera att säker start fortfarande är aktiverat

Ytterligare saker att tänka på:

• BIOS-uppdateringar kan ändra plattformsmått som används av BitLocker och VBS.
• I sällsynta fall uppmanas system med BitLocker aktiverat att kräva återställning efter uppdateringar av fast programvara.
• Vi rekommenderar att du pausar BitLocker före uppdateringar av BIOS och säker start för att undvika återställningsuppmaningar.