Secure-Boot-Zertifikatsupdates verwalten

Dieser Artikel bietet Azure Stack Hub-Betreibern Anleitungen zur Vorbereitung auf und Durchführung von Secure Boot-zertifikatsbezogenen Schritten zur Risikominderung auf Azure Stack Hub-integrierten Systemen.

Übersicht

Azure Stack Hub verwendet ein OEM-Firmwarepaket-Voraussetzungsmodell für die Bereitschaft für Secure Boot-Zertifikate. Aktualisierte Zertifikate für den sicheren Start werden voraussichtlich über OEM-Firmwarepakete bereitgestellt. Plattform-Hotfixes und Plattformupdates schließen dann die Entschärfung ab, indem sichergestellt wird, dass der Start-Manager aktualisiert wird, um die neue Zertifikatkette zu verwenden, und indem Warnungen angezeigt werden, wenn die Voraussetzungen nicht erfüllt werden.

Azure Stack Hub: Secure-Boot-Zertifikate laufen 2026 ab

Alle Windows-basierten Geräte enthalten einen Standardsatz von Microsoft Zertifikaten in der Key Exchange Key (KEK) und der Datenbank für den sicheren Start (Secure Boot Database, DB). Diese Zertifikate nähern sich ihrem Ablaufdatum. Azure Stack Hub Hosts sind betroffen, wenn sie eine der aufgeführten Zertifikatversionen enthalten, wie in der folgenden Tabelle dargestellt. Um weiterhin regelmäßige Updates für den sicheren Start zu erhalten, aktualisieren Sie die Zertifikate, indem Sie zuerst das entsprechende Azure Stack Hub OEM-Firmwarepaket anwenden, das die Zertifikate für den sicheren Start aktualisiert, und dann die erforderlichen Azure Stack Hub Hotfixes oder Updates anwenden, um die Entschärfung abzuschließen. Nach dem Anwenden von Hotfixes oder Updates weisen Systemwarnungen Administratoren an, zusätzliche Maßnahmen durchzuführen, z. B. das OEM-Firmwarepaket zu aktualisieren (falls dies nicht bereits erfolgt ist) oder bei Bedarf ein Privileged Endpoint (PEP)-Cmdlet auszuführen, um den Boot-Manager zu aktualisieren.

Ablaufendes Zertifikat Ablaufdatum Neues Zertifikat Speicherort Zweck
Microsoft Corporation KEK CA 2011 24. Juni 2026 Microsoft Corporation KEK 2K CA 2023 In KEK gespeichert Signieren von Updates für DB und DBX.
Microsoft Windows Production PCA 2011 19. Oktober 2026 Windows UEFI CA 2023 In DB gespeichert Wird zum Signieren des Windows-Startladeprogramms verwendet.
Microsoft UEFI CA 2011 * 27. Juni 2026 Microsoft UEFI CA 2023 In DB gespeichert Signiert Startladeprogramme von Drittanbietern und EFI-Anwendungen.
Microsoft UEFI CA 2011 * 27. Juni 2026 Microsoft Option ROM UEFI CA 2023 In DB gespeichert Signiert Option-ROMs von Drittanbietern

* Bei der Erneuerung des Zertifikats „Microsoft Corporation UEFI CA 2011“ werden die Signierung des Bootloaders und die Signierung von Option-ROMs durch zwei Zertifikate getrennt. Diese Trennung ermöglicht eine feinere Kontrolle über das Vertrauen in das System. Beispielsweise können Systeme, die Option-ROMs vertrauen müssen, die Microsoft Option ROM UEFI CA 2023 hinzufügen, ohne auch Bootloadern von Drittanbietern zu vertrauen.

Important

Azure Stack Hub Systeme funktionieren weiterhin ohne sofortige Unterbrechungen, wenn Zertifikate für den sicheren Start nicht aktualisiert werden. Systeme, die ihre Vertrauensanker der Plattform nicht aktualisieren, können jedoch möglicherweise künftige Sicherheitsupdates nicht installieren, die auf aktualisierten Signaturinstanzen für Secure Boot basieren. Im Laufe der Zeit kann diese Bedingung zu einer Schwächung des Sicherheitsstatus des Systems führen.

Voraussetzungen

Bevor Sie beginnen, stellen Sie sicher, dass die folgenden Voraussetzungen erfüllt sind:

  • Installieren Sie das neueste OEM-Firmwarepaket, das die für Ihr integriertes Azure Stack Hub integrierten System empfohlenen Zertifikate für den sicheren Start aktualisiert.
  • Wenden Sie den Azure Stack Hub-Hotfix oder das Plattformupdate an, das die Logik zur Risikominderung für den sicheren Start enthält (siehe Unterstützte Releasepfade).
  • Bereiten Sie sich auf kontrollierte, automatisierte Knotenneustarts vor, die als Teil der Anwendung von Hotfixes oder Updates auftreten, oder während des Erzwingungsschritts, wenn sie im Rahmen des Entschärfungsprozesses durch das Cmdlet Privileged Endpoint (PEP) ausgelöst werden.

Unterstützte Veröffentlichungspfade

Azure Stack Hub-Plattformupdates und entsprechende Hotfixes unterstützen Maßnahmen zur Risikominderung für den Sicheren Start.

  • Azure Stack Hub Version 2604 unterstützt die Secure-Boot-Abhilfe.
  • Azure Stack Hub Version 2601 unterstützt die Secure-Boot-Maßnahme durch Aktualisierung auf den neuesten 2604-Build oder durch Anwendung des neuesten 2601-Hotfixes, der die Secure-Boot-Maßnahme enthält (Hotfix 1.2601.1.16 oder neuer).
  • Azure Stack Hub Version 2506 unterstützt die Entschärfung für den sicheren Start, indem sie auf den neuesten Build 2601 aktualisiert wird, der die Entschärfung für den sicheren Start enthält, oder indem Sie den versionsspezifischen Hotfix anwenden, der die Entschärfung für den sicheren Start enthält, sofern verfügbar.
  • Azure Stack Hub Version 2501 unterstützt die Entschärfung für den sicheren Start, indem sie auf eine unterstützte Version 2506 aktualisiert wird, die die Entschärfung für den sicheren Start enthält, sofern verfügbar, oder durch Anwenden des versionsspezifischen Hotfixes, der die Entschärfung für den sicheren Start enthält.

Diese Updates und Hotfixes ermöglichen die Plattform:

  • Überprüfen Sie das Vorhandensein der erforderlichen Zertifikate für den sicheren Start 2023, die über das OEM-Firmwarepaket bereitgestellt werden.
  • Warnungen auslösen, wenn Secure Boot 2023-Zertifikate fehlen.
  • Erkennen Sie, wann der Start-Manager noch nicht aktualisiert wird, um die neue Zertifikatkette zu verwenden.
  • Schließen Sie das Update des Start-Managers ab, wenn die Voraussetzungen erfüllt sind.
  • Fordern Sie Administratoren über Plattformwarnungen auf, ein Cmdlet Privileged Endpoint (PEP) auszuführen, um das Start-Manager-Update abzuschließen, wenn das OEM-Firmwarepaket nach Hotfixes oder Updates angewendet wird.

Wenn Sie Updates oder Hotfixes anwenden , nachdem die Plattform die Zertifikate über das OEM-Firmwarepaket aktualisiert hat, wird der Start-Manager automatisch als Teil des Updates oder Hotfixprozesses aktualisiert.

Important

Wenn Sie vor der Installation des aktualisierten OEM-Firmwarepakets ein Azure Stack Hub Update oder Hotfix anwenden, das die erforderlichen Zertifikate für sicheren Start 2023 enthält, zeigt die Plattform Warnungen an, die Anleitungen zum Anwenden des entsprechenden OEM-Firmwarepakets bereitstellen. Nachdem Sie das OEM-Firmwarepaketupdate erfolgreich angewendet haben, können Operatoren das folgende PEP-Cmdlet ausführen, um den letzten Entschärfungsschritt auf den Start-Manager anzuwenden, wie durch die Plattformwarnungen angegeben: Start-SecretRotation -UpdateBootManager

Dieser Durchsetzungsplan aktualisiert den Boot-Manager so, dass er die aktualisierte Secure Boot-Zertifikatkette verwendet, und kann im Zuge des Abschlusses der Abhilfemaßnahme kontrollierte, automatisierte Neustarts von Knoten auslösen.

Um einen reibungslosen Entschärfungsprozess mit klarer Sichtbarkeit durch Plattformwarnungen zu gewährleisten und das Risiko von Unterbrechungen zu minimieren, befolgen Sie diesen Workflow:

  • Wenden Sie das OEM-Firmwarepaket an, das die aktualisierten Zertifikate für den sicheren Start 2023 installiert.
  • Führen Sie alle OEM-erforderlichen Aktivierungsschritte (OEM-spezifisch) aus.

Stufe 2: Azure Stack Hub-Hotfix oder -Update anwenden

Wenden Sie das unterstützte Update oder den versionsspezifischen Hotfix an, mit dem die Secure Boot-Schutzmaßnahme für Ihre Azure Stack Hub-Version aktiviert wird:

  • Wenden Sie für Version 2601 den neuesten Hotfix für 2601 an, der Abhilfe für Secure Boot enthält.
  • Für Version 2506 aktualisieren Sie entweder auf die neueste Version von 2601, die die Entschärfung für den sicheren Start enthält, oder wenden Sie nach Verfügbarkeit den versionsspezifischen Hotfix an, der die Entschärfung für den sicheren Start enthält.
  • Für Version 2501 aktualisieren Sie entweder auf eine unterstützte Version von 2506, die die Entschärfung für den sicheren Start enthält, sofern verfügbar, oder wenden Sie den versionsspezifischen Hotfix an, der die Entschärfung für den sicheren Start enthält.

Während oder nach der Wartung bewertet die Plattform die Zertifikatbereitschaft und zeigt Warnungen nach Bedarf an.

Phase 3: Abschließen des Start-Manager-Updates (falls erforderlich)

Wenn die Plattform über Warnungen angibt, dass Firmwarezertifikate vorhanden sind, aber der Start-Manager noch nicht aktualisiert wird, um die neue Zertifikatkette zu verwenden (wenn Sie das OEM-Firmwarepaket nach dem Anwenden eines Azure Stack Hub Hotfix oder Updates angewendet haben), führen Sie das folgende PEP-Cmdlet aus, um den endgültigen Entschärfungsschritt zu erzwingen, wie durch die Plattformwarnungen angegeben: Start-SecretRotation -UpdateBootManager.

Detaillierte Risikominderungslogik (was die Plattform überprüft)

Die Plattform führt die folgenden Prüfungen und Aktionen als Teil des Entschärfungsprozesses aus:

Überprüfungen und Warnungen zur Zertifikatbereitschaft

Die Plattform prüft das Vorhandensein der erforderlichen Secure-Boot-2023-Zertifikate. Wenn ein erforderliches Zertifikat fehlt, löst die Plattform eine Warnung für dieses Zertifikat aus und leitet den Operator an, das neueste OEM-Firmwarepaket anzuwenden, das die fehlenden Zertifikate installiert.

Bootmanager-Kettenvalidierung und Warnungen

Wenn die mindestens erforderlichen Zertifikate vorhanden sind (einschließlich Windows UEFI CA 2023 in DB und 2023 KEK), überprüft die Plattform, ob der Start-Manager die aktualisierte Zertifikatkette verwendet. Wenn der Start-Manager nicht aktualisiert wird, löst die Plattform eine Warnung aus, die den Operator anweist, das PEP-Cmdlet auszuführen, um das Start-Manager-Update abzuschließen.

HLH-Leitfaden

Für Umgebungen, in denen Sie den Hardware-Lifecycle-Host (HLH) verwalten, wenden Sie sich an Ihren OEM, um hlH-spezifische Anleitungen zu erhalten. Wenn solche Anleitungen nicht verfügbar sind, befolgen Sie die Standard-Microsoft Windows Anleitung zum Aktualisieren der Firmware basierend auf dem HLH-Make- und -Modell sowie zum Ausführen der erforderlichen Entschärfungsschritte, wie in den folgenden Schritten beschrieben:
Ablauf von Zertifikaten und CA-Updates für den sicheren Windows-Start - Microsoft-Support

Note

Wenn die HLH eine ältere Windows Server-Version ausführt, gelten diese Anleitungen möglicherweise nicht. Möglicherweise müssen Sie die HLH aktualisieren oder erneut bereitstellen. Eine Liste der Windows Server Versionen, die die Entschärfung des sicheren Startzertifikats unterstützen, finden Sie unter KB5012170: Sicherheitsupdate für secure Boot DBX – Microsoft-Support.

Auswirkungen auf virtuelle Mandantencomputer

Updates für sicheres Startzertifikat und Gegenmaßnahmen des Start-Managers in Azure Stack Hub wirken sich nicht direkt auf virtuelle Mandantencomputer aus.

  • Azure Stack Hub Mandanten-VMs sind virtuelle Gen1-Computer, die keinen sicheren Start unterstützen.
  • Gegenmaßnahmen für den sicheren Start gelten nur für die Hoststartkette und ändern keine Mandanten-VM-Konfiguration oder Gastbetriebssysteme.
  • Für Workloads von Mandanten sind keine Änderungen, Umkonfigurationen oder Abhilfemaßnahmen auf Gastebene erforderlich.
  • Die Workloads von Mandanten bleiben unbeeinträchtigt.

Auswirkungen auf Azure Stack Hub Infrastruktur

Die Abhilfemaßnahme für das Secure Boot-Zertifikat richtet sich in erster Linie an physische Azure Stack Hub-Hosts.

  • Die Azure Stack Hub-Plattform verwaltet und aktualisiert Infrastruktur-VMs während Hubupdates.
  • Infrastruktur-VMs, die Sie als Teil von Plattformupdates erstellen oder aktualisieren, greifen automatisch den aktualisierten Zustand für den sicheren Start auf.

FAQ

In diesem Abschnitt werden einige häufig gestellte Fragen zum Prozess zur Risikominderung für Secure Boot-Zertifikate beantwortet.

Muss ich sowohl einen Hotfix als auch ein Plattformupdate anwenden?

Nein. Sie sollten das unterstützte Update oder den versionsspezifischen Hotfix für Ihre aktuelle Azure Stack Hub Version anwenden:

  • Wenden Sie für Version 2601 den neuesten Hotfix für 2601 an, der Abhilfe für Secure Boot enthält.
  • Aktualisieren Sie für Version 2506 auf die neueste Version 2601, die die Entschärfung für den sicheren Start enthält, oder wenden Sie den versionsspezifischen Hotfix an, der die Entschärfung für den sicheren Start enthält, sofern verfügbar.
  • Aktualisieren Sie für Version 2501 auf eine unterstützte Version von 2506, die die Entschärfung für den sicheren Start enthält, sofern verfügbar, oder wenden Sie den versionsspezifischen Hotfix an, der die Entschärfung für den sicheren Start enthält.

In allen Fällen ist das OEM-Firmwarepaket eine Voraussetzung für die Installation der erforderlichen Zertifikate. Nachdem die Voraussetzungen erfüllt wurden, schließt die Plattform das Start-Manager-Update ab.

Was geschieht, wenn ich den Hotfix oder das Update vor dem OEM-Firmwarepaket installiert habe?

Die Plattform unterstützt dieses Szenario. Zunächst weisen Plattformwarnungen darauf hin, dass die neuen Zertifikate für den sicheren Start fehlen und Sie auffordern, das OEM-Firmwarepaket zu aktualisieren. Nachdem Sie das OEM-Firmwareupdate angewendet haben, folgen Sie den Plattformwarnungen. Wenn Sie dazu aufgefordert werden, führen Sie das folgende Cmdlet Privileged Endpoint (PEP) aus, um das Update des Start-Managers abzuschließen: Start-SecretRotation -UpdateBootManager.

Startet das PEP-Cmdlet mein System neu?

Der PEP-Durchsetzungsablauf ist so ausgelegt, dass während des Finalisierungsschritts jeweils ein Knoten nach dem anderen neu gestartet wird.

Troubleshooting

Dieser Abschnitt enthält Schritte zur Problembehandlung für häufige Probleme, die während des Entschärfungsprozesses auftreten können.

Warnung gibt an, dass fehlende Zertifikate vorhanden sind.

  • Installieren Sie das neueste OEM-Firmwarepaket, das die fehlenden Zertifikate bereitstellt.
  • Nachdem Sie das OEM-Firmwarepaketupdate angewendet haben, folgen Sie den Plattformwarnungen. Wenn Sie dazu aufgefordert werden, führen Sie das folgende Cmdlet Privileged Endpoint (PEP) aus, um das Update des Start-Managers abzuschließen: Start-SecretRotation -UpdateBootManager.

Warnung gibt an, dass der Start-Manager nicht aktualisiert wurde.

Führen Sie Start-SecretRotation -UpdateBootManager aus.

Nächste Schritte

  • Last updated on