Gestire gli aggiornamenti dei certificati di avvio protetto

Questo articolo fornisce indicazioni per gli operatori hub di Azure Stack per preparare e completare i passaggi di mitigazione correlati ai certificati di avvio protetto in hub di Azure Stack sistemi integrati.

Overview

hub di Azure Stack usa un modello di prerequisito del pacchetto del firmware OEM per l'idoneità del certificato di avvio protetto. È previsto che i certificati di avvio protetto aggiornati vengano recapitati tramite pacchetti firmware OEM. Gli aggiornamenti rapidi della piattaforma e gli aggiornamenti della piattaforma finalizzano quindi la mitigazione assicurandosi che il gestore di avvio venga aggiornato per usare la nuova catena di certificati e visualizzando gli avvisi quando i prerequisiti non vengono soddisfatti.

hub di Azure Stack certificati di avvio protetto scaduti nel 2026

Tutti i dispositivi basati su Windows contengono una serie standard di certificati Microsoft nella Key Exchange Key (KEK) e nel database di avvio protetto (DB). Questi certificati si avvicinano alla data di scadenza. Gli host di hub di Azure Stack sono interessati se contengono una delle versioni di certificato elencate, come indicato nella tabella seguente. Per continuare a ricevere aggiornamenti regolari di avvio protetto, aggiornare i certificati applicando prima il pacchetto firmware OEM appropriato hub di Azure Stack che aggiorna i certificati di avvio protetto e quindi applicando gli hotfix o gli aggiornamenti hub di Azure Stack necessari per completare la mitigazione. Dopo aver applicato aggiornamenti rapidi o aggiornamenti, gli avvisi di sistema guidano gli amministratori a eseguire azioni aggiuntive, ad esempio l'aggiornamento del pacchetto firmware OEM (se non è già stato applicato) o l'esecuzione di un cmdlet privileged endpoint (PEP) per aggiornare il gestore di avvio, se necessario.

* In occasione del rinnovo del certificato Microsoft Corporation UEFI CA 2011, due certificati separano la firma del boot loader da quella dell'Option ROM. Questa separazione consente un controllo più corretto sull'attendibilità del sistema. Ad esempio, i sistemi che devono considerare attendibili le ROM opzionali possono aggiungere Microsoft Option ROM UEFI CA 2023 senza estendere l’attendibilità ai caricatori di avvio di terze parti.

Prerequisiti

Prima di iniziare, verificare di aver soddisfatto i prerequisiti seguenti:

• Installare il pacchetto firmware OEM più recente che aggiorna i certificati di avvio protetto consigliati per il sistema integrato hub di Azure Stack.
• Installare l'hotfix o l'aggiornamento della piattaforma di hub di Azure Stack che include la logica di mitigazione di Secure Boot (vedere Percorsi di rilascio supportati).
• Prepararsi per i riavvii automatici e controllati dei nodi che si verificano nell'ambito dell'applicazione di hotfix o aggiornamenti o durante il passaggio di imposizione quando viene attivato tramite il cmdlet Privileged Endpoint (PEP) come parte del processo di mitigazione.

Percorsi di aggiornamento supportati

Gli aggiornamenti della piattaforma di hub di Azure Stack e i relativi hotfix offrono il supporto per la mitigazione di Avvio protetto.

• hub di Azure Stack versione 2604 supporta la mitigazione dell'avvio protetto.
• hub di Azure Stack versione 2601 supporta la mitigazione dell'avvio protetto eseguendo l'aggiornamento alla build 2604 più recente o applicando l'hotfix 2601 più recente che include la mitigazione dell'avvio protetto (hotfix 1.2601.1.16 o versione successiva).
• hub di Azure Stack versione 2506 supporta la mitigazione dell'avvio protetto eseguendo l'aggiornamento alla build 2601 più recente che include la mitigazione dell'avvio protetto o applicando l'hotfix specifico della versione che include la mitigazione dell'avvio protetto, se disponibile.
• hub di Azure Stack versione 2501 supporta la mitigazione dell'avvio protetto eseguendo l'aggiornamento a una versione 2506 supportata che include la mitigazione dell'avvio protetto, se disponibile o applicando l'hotfix specifico della versione che include la mitigazione dell'avvio protetto, se disponibile.

Questi aggiornamenti e hotfix consentono alla piattaforma di:

• Convalidare la presenza dei certificati di avvio protetto 2023 necessari recapitati tramite il pacchetto del firmware OEM.
• Genera avvisi quando i certificati di avvio protetto 2023 non sono presenti.
• Rilevare quando il gestore di avvio non è ancora aggiornato per usare la nuova catena di certificati.
• Finalizzare l'aggiornamento del gestore di avvio quando vengono soddisfatti i prerequisiti.
• Richiedere agli amministratori, tramite avvisi della piattaforma, di eseguire un cmdlet privileged endpoint (PEP) per finalizzare l'aggiornamento del gestore di avvio quando il pacchetto del firmware OEM viene applicato dopo gli hotfix o gli aggiornamenti.

Se si applicano aggiornamenti o hotfix dopo che la piattaforma aggiorna i certificati tramite il pacchetto firmware OEM, il gestore di avvio viene aggiornato automaticamente come parte del processo di aggiornamento o hotfix.

Questo piano di azione di imposizione aggiorna il gestore di avvio per l'uso della catena di certificati di avvio protetto aggiornato e potrebbe avviare riavvii controllati e automatizzati del nodo durante il completamento della mitigazione.

Flusso di lavoro di mitigazione consigliato

Per garantire un processo di mitigazione uniforme con visibilità chiara tramite avvisi della piattaforma e ridurre al minimo il rischio di interruzioni, seguire questo flusso di lavoro:

Fase 1: applicare prima il firmware OEM (scelta consigliata)

• Applicare il pacchetto del firmware OEM che installa i certificati di avvio protetto 2023 aggiornati.
• Completare tutti i passaggi di attivazione richiesti dall'OEM (specifici dell'OEM).

Fase 2: applica l'hotfix o l'aggiornamento di hub di Azure Stack

Applicare l'aggiornamento supportato o l'hotfix specifico della versione che abilita la mitigazione dell'avvio protetto per la versione hub di Azure Stack:

• Per la versione 2601, applicare l'hotfix 2601 più recente che include la mitigazione dell'avvio protetto.
• Per la versione 2506, eseguire l'aggiornamento alla versione 2601 più recente che include la mitigazione dell'avvio protetto oppure applicare l'hotfix specifico della versione che include la mitigazione dell'avvio protetto, se disponibile.
• Per la versione 2501, eseguire l'aggiornamento a una versione 2506 supportata che include la mitigazione dell'avvio protetto, se disponibile o applicare l'hotfix specifico della versione che include la mitigazione dell'avvio protetto, se disponibile.

Durante o dopo la manutenzione, la piattaforma valuta la conformità dei certificati e visualizza gli avvisi in base alle esigenze.

Fase 3: finalizzare l'aggiornamento del gestore di avvio (se necessario)

Se la piattaforma indica, tramite avvisi, che i certificati del firmware sono presenti, ma il gestore di avvio non viene ancora aggiornato per usare la nuova catena di certificati (se è stato applicato il pacchetto firmware OEM dopo aver applicato un hotfix o un aggiornamento hub di Azure Stack), eseguire il cmdlet PEP seguente per applicare il passaggio finale di mitigazione, come indicato dagli avvisi della piattaforma: Start-SecretRotation -UpdateBootManager.

Logica di mitigazione dettagliata (controlli della piattaforma)

La piattaforma esegue i controlli e le azioni seguenti come parte del processo di mitigazione:

Controlli e avvisi di conformità dei certificati

La piattaforma verifica la presenza di certificati di avvio protetto 2023 necessari. Se manca un certificato obbligatorio, la piattaforma genera un avviso per il certificato e indica all'operatore di applicare il pacchetto firmware OEM più recente che installa i certificati mancanti.

Validazione della catena del boot manager e avvisi

Se sono presenti i certificati minimi necessari (inclusi Windows UEFI CA 2023 nel database e 2023 KEK), la piattaforma verifica se il gestore di avvio usa la catena di certificati aggiornata. Se il gestore di avvio non viene aggiornato, la piattaforma genera un avviso che indica all'operatore di eseguire il cmdlet PEP per finalizzare l'aggiornamento del gestore di avvio.

Linee guida HLH

Negli ambienti in cui si gestisce Hardware Lifecycle Host (HLH), verifica con il tuo OEM le indicazioni specifiche per HLH. Se tali indicazioni non sono disponibili, seguire le linee guida standard Microsoft Windows per aggiornare il firmware in base alla creazione e al modello HLH e per completare i passaggi di mitigazione necessari, come descritto in:
Scadenza del certificato di Avvio protetto di Windows e aggiornamenti dell'autorità di certificazione (CA) - supporto tecnico Microsoft

Impatto sulle macchine virtuali del tenant

Gli aggiornamenti dei certificati di avvio protetto e le azioni di mitigazione del gestore di avvio in hub di Azure Stack non influiscono direttamente sulle macchine virtuali tenant.

• Le VM tenant di hub di Azure Stack sono macchine virtuali Gen1, che non supportano l'Avvio protetto.
• Le azioni di mitigazione dell'avvio protetto si applicano solo alla catena di avvio host e non modificano la configurazione della macchina virtuale tenant o i sistemi operativi guest.
• Non sono necessarie modifiche, riconfigurazioni o procedure di mitigazione a livello di sistema guest per i carichi di lavoro del tenant.
• I carichi di lavoro del tenant rimangono invariati.

Impatto sull'infrastruttura hub di Azure Stack

La mitigazione del certificato di avvio protetto è destinata principalmente a host fisici hub di Azure Stack.

• La piattaforma hub di Azure Stack gestisce e aggiorna le macchine virtuali dell'infrastruttura durante gli aggiornamenti dell'hub.
• Le macchine virtuali dell'infrastruttura create o aggiornate come parte degli aggiornamenti della piattaforma rilevano automaticamente lo stato di avvio protetto aggiornato.

FAQ

Questa sezione risponde ad alcune domande frequenti sul processo di mitigazione del certificato di avvio protetto.

È necessario applicare sia un hotfix che un aggiornamento della piattaforma?

No. È necessario applicare l'aggiornamento supportato o l'hotfix specifico della versione per la versione corrente del hub di Azure Stack:

• Per la versione 2601, applicare l'hotfix 2601 più recente che include la mitigazione dell'avvio protetto.
• Per la versione 2506, eseguire l'aggiornamento alla versione 2601 più recente che include la mitigazione dell'avvio protetto o applicare l'hotfix specifico della versione che include la mitigazione dell'avvio protetto, se disponibile.
• Per la versione 2501, eseguire l'aggiornamento a una versione 2506 supportata che include la mitigazione dell'avvio protetto, se disponibile o applicare l'hotfix specifico della versione che include la mitigazione dell'avvio protetto, se disponibile.

In tutti i casi, il pacchetto del firmware OEM è un prerequisito per l'installazione dei certificati necessari. Dopo aver soddisfatto i prerequisiti, la piattaforma finalizza l'aggiornamento del gestore di avvio.

Cosa accade se è stato installato l'hotfix o l'aggiornamento prima del pacchetto del firmware OEM?

La piattaforma supporta questo scenario. Inizialmente, gli avvisi della piattaforma indicano che i nuovi certificati di avvio protetto sono mancanti e richiedono di aggiornare il pacchetto del firmware OEM. Dopo aver applicato l'aggiornamento del firmware OEM, seguire gli avvisi della piattaforma. Se richiesto, eseguire il seguente cmdlet di Privileged Endpoint (PEP) per completare l'aggiornamento del boot manager: Start-SecretRotation -UpdateBootManager.

Il cmdlet PEP riavvia il sistema?

Il flusso di imposizione PEP è progettato per riavviare i nodi uno alla volta durante il passaggio di finalizzazione.

Troubleshooting

Questa sezione illustra i passaggi per la risoluzione dei problemi comuni che possono verificarsi durante il processo di mitigazione.

Avviso indica i certificati mancanti

• Installare il pacchetto firmware OEM più recente che fornisce i certificati mancanti.
• Dopo aver applicato l'aggiornamento del pacchetto del firmware OEM, seguire gli avvisi della piattaforma. Se richiesto, eseguire il seguente cmdlet di Privileged Endpoint (PEP) per completare l'aggiornamento del boot manager: Start-SecretRotation -UpdateBootManager.

L'avviso indica che il gestore di avvio non è stato aggiornato

Eseguire Start-SecretRotation -UpdateBootManager.

Passaggi successivi

• hub di Azure Stack procedure consigliate per la sicurezza
• hub di Azure Stack raccolta dati