PowerEdge：适用于 Microsoft 安全启动证书的服务器 BIOS 更新指南

它适用于启用安全启动的基于 UEFI 的系统以及受 Microsoft 安全启动证书到期（2026 年 6 月）影响的旧版安全启动证书。操作系统主要管理安全启动证书更新，客户应确保使用支持的 Microsoft 更新机制更新其系统。

它适用于受此更改影响的 Windows Server 操作系统（由 Microsoft 定义），在具有客户管理的固件和安全启动配置的物理系统上运行。

它不适用于提供商管理固件和安全启动密钥的云平台或设备，例如 Microsoft Azure、AX 或 APEX 托管云。

已经运行包含更新的安全启动证书的 BIOS 版本的系统可能不需要此过程。

目标服务器和操作系统

本指南适用于：

1. 支持 UEFI 引导模式和安全引导的 Dell PowerEdge 服务器
2. 根据 Microsoft 的定义，运行受 Microsoft 安全启动证书到期（2026 年 6 月）影响的受支持 Windows Server 操作系统的系统。对于 Microsoft Windows 以外的操作系统，可以按照正常的 BIOS 更新过程添加新证书。
3. 物理服务器，包括第 14 代、第 15 代和第 16 代

对于虚拟机（基于 UEFI），请遵循虚拟机管理程序供应商提供的指导。

Microsoft Hyper-V：安全启动证书更新：面向 IT 专业人员和组织的指南

VMware ESXi：VMware 虚拟机中的安全启动证书到期和更新失败

服务器代系和 BIOS 标识符

下面列出的 BIOS 版本代表包含更新的 Microsoft 安全启动证书的最低版本。比下面列出的版本更新的 BIOS 版本还包含新的安全启动证书。

重要
在继续执行以下步骤之前，请验证是否已使用默认（标准）安全启动策略启用和配置安全启动。
在应用安全启动证书更新之前，使用自定义或第三方安全启动策略的系统可能需要额外的审查。
如果未启用安全启动，请按照传统的 BIOS 更新过程进行操作。无需执行以下步骤。

建议的过程

1. 验证系统配置

   • 如果启用了 BitLocker，请先暂停 BitLocker 保护，然后再继续，以避免重新启动后出现恢复提示。
   • 如果需要，请暂时将 PowerShell 执行策略设置为“不受限”或“绕过”，以允许脚本执行。（Set-ExecutionPolicy 命令）
   • 对于故障切换群集（S2D、SAN 连接）— 添加“Suspend-ClusterNode -Drain”以暂停节点并将群集化角色移至另一个节点。
   • 系统固件 （BIOS） 处于受支持且稳定的版本（例如，平台的生产批准的 BIOS 版本）。已运行包含更新的安全启动证书的 BIOS 版本的系统不需要此过程。

2. 运行 Microsoft 安全启动 2023 证书更新脚本

   • 下载并解压缩本文所附的安全启动更新脚本
     • 对于第 16 代 — 复制16G_Secure_Boot_Certificates_pkb.zip并解压到任何文件夹中。
     • 对于第 15 代 — 复制15G_Secure_Boot_Certificates_pkb.zip并解压到任何文件夹中。
     • 对于第 14 代 — 复制14G_Secure_Boot_Certificates_pkb.zip并解压到任何文件夹中。

   • 使用 Microsoft 记录的提升（管理员）命令提示符运行脚本

     • 对于 16G：16G_SecureBoot_Cert_Update.ps1
     • 对于 15G：15G_SecureBoot_Cert_Update.ps1
     • 对于 14G：14G_SecureBoot_Cert_Update.ps1
   • 按照屏幕上的说明进行操作
   • 出现提示时重新启动服务器
   提醒：在执行过程中，系统可能会记录信息事件，例如UEFI00074。这些消息是预期的，并不表示故障。

3. 应用包含新证书的更新 BIOS。

4. 应用 Windows 更新

   • 重新启动后，确保使用已安装操作系统的最新可用 Windows 累积更新对系统进行全面更新。需要 Windows 更新以确保安全启动证书更新和吊销完全应用并在操作系统中保持最新。

5. 验证安全启动证书状态

   • 确认存在更新的 Microsoft 安全启动证书。
   • 如何检查安全启动证书

6. 更新后验证

   • 确认系统引导成功
   • 验证安全启动是否保持启用状态

其他注意事项：

• BIOS 更新可能会更改 BitLocker 和 VBS 使用的平台测量值。
• 在极少数情况下，启用了 BitLocker 的系统可能会在固件更新后提示恢复。
• 建议在 BIOS 和安全启动更新之前暂挂 BitLocker，以避免出现恢复提示。