Administrar actualizaciones de certificados de arranque seguro

Este artículo proporciona orientación para que los operadores de Azure Stack Hub se preparen para completar los pasos de mitigación relacionados con los certificados de Arranque seguro en los sistemas integrados de Azure Stack Hub.

Visión general

Azure Stack Hub usa un modelo de requisitos previos del paquete de firmware de OEM para la preparación del certificado de arranque seguro. Se espera que los certificados de arranque seguro actualizados se entreguen a través de paquetes de firmware de OEM. Después, las correcciones urgentes y las actualizaciones de la plataforma completan la mitigación al garantizar que el administrador de arranque se actualice para usar la nueva cadena de certificados y al mostrar alertas cuando no se cumplan los requisitos previos.

Azure Stack Hub certificados de arranque seguro que expiran en 2026

Todos los dispositivos con Windows incluyen un conjunto estándar de certificados de Microsoft en la clave de intercambio de claves (KEK) y en la base de datos de Arranque seguro (DB). Estos certificados se aproximan a su fecha de expiración. Azure Stack Hub hosts se ven afectados si contienen cualquiera de las versiones de certificado enumeradas, como se muestra en la tabla siguiente. Para seguir recibiendo actualizaciones periódicas de arranque seguro, actualice los certificados aplicando primero el paquete de firmware de OEM Azure Stack Hub adecuado que actualice los certificados de arranque seguro y, a continuación, aplique las revisiones o actualizaciones necesarias Azure Stack Hub para completar la mitigación. Tras aplicar revisiones o actualizaciones, las alertas del sistema guían a los administradores para que realicen acciones adicionales, como actualizar el paquete de firmware OEM (si aún no se ha aplicado) o ejecutar un cmdlet de Privileged Endpoint (PEP) para actualizar el gestor de arranque, si es necesario.

Certificado de expiración Fecha de expiración Nuevo certificado Ubicación de almacenamiento propósito
Microsoft Corporation KEK CA 2011 24 de junio de 2026 CA de Microsoft Corporation KEK 2K 2023 Almacenado en KEK Firma las actualizaciones de DB y DBX.
Microsoft Windows Production PCA 2011 19 de octubre de 2026 CA de UEFI de Windows 2023 Almacenado en la base de datos Se usa para firmar el cargador de arranque de Windows.
Microsoft UEFI CA 2011 * 27 de junio de 2026 Microsoft UEFI CA 2023 Almacenado en la base de datos Firma cargadores de arranque de terceros y aplicaciones EFI.
Microsoft UEFI CA 2011 * 27 de junio de 2026 ROM de opción de Microsoft UEFI CA 2023 Almacenado en la base de datos Firma las ROM opcionales de terceros

* Durante la renovación del certificado UEFI CA 2011 de Microsoft Corporation, dos certificados separan la firma del cargador de arranque de la firma de la ROM opcional. Esta separación permite un mayor control sobre la confianza del sistema. Por ejemplo, los sistemas que necesitan confiar en las ROM opcionales pueden añadir el certificado Microsoft Option ROM UEFI CA 2023 sin añadir confianza para cargadores de arranque de terceros.

Importante

Azure Stack Hub sistemas siguen funcionando sin interrupciones inmediatas si no se actualizan los certificados de arranque seguro. Sin embargo, es posible que los sistemas que no actualicen sus anclas de confianza de la plataforma no puedan aplicar futuras actualizaciones de seguridad que dependan de autoridades de firma de arranque seguro actualizadas. Con el tiempo, esta condición puede dar lugar a un debilitamiento de la posición de seguridad del sistema.

Prerequisites

Antes de comenzar, asegúrese de que tiene los siguientes requisitos previos:

  • Instale el paquete de firmware de OEM más reciente que actualiza los certificados de arranque seguro recomendados para el sistema integrado de Azure Stack Hub.
  • Aplica la revisión o la actualización de plataforma de Azure Stack Hub que contenga la lógica de mitigación de Secure Boot (consulta Rutas de versión compatibles).
  • Esté preparado para reinicios automatizados y controlados de los nodos que se realizan como parte de la aplicación de correcciones urgentes o actualizaciones, o durante la fase de aplicación cuando esta se desencadena mediante el cmdlet de Privileged Endpoint (PEP) como parte del proceso de mitigación.

Rutas de actualización admitidas

Las actualizaciones de plataforma de Azure Stack Hub y las revisiones correspondientes proporcionan compatibilidad con la mitigación de Secure Boot.

  • Azure Stack Hub versión 2604 admite la mitigación de arranque seguro.
  • Azure Stack Hub versión 2601 admite la mitigación de arranque seguro actualizando a la compilación 2604 más reciente o aplicando la revisión 2601 más reciente que incluye la mitigación de arranque seguro (revisión 1.2601.1.16 o posterior).
  • Azure Stack Hub versión 2506 admite la mitigación de arranque seguro actualizando a la compilación 2601 más reciente que incluye la mitigación de arranque seguro o aplicando la revisión específica de la versión que incluye la mitigación de arranque seguro (revisión 1.2506.3.50 o posterior).

Nota:

La versión de Azure Stack Hub version 2501 no forma parte de la ruta de versiones compatible con la mitigación de Secure Boot. Los sistemas que ejecutan la versión 2501 deben actualizarse primero a una versión compatible antes de aplicar la mitigación de arranque seguro.

Estas actualizaciones y revisiones permiten a la plataforma:

  • Valide la presencia de los certificados de arranque seguro 2023 necesarios que se entregan a través del paquete de firmware de OEM.
  • Genera alertas cuando los certificados de arranque seguro 2023 no están presentes.
  • Detecte cuándo el administrador de arranque aún no se ha actualizado para usar la nueva cadena de certificados.
  • Finalice la actualización del administrador de arranque cuando se cumplan los requisitos previos.
  • Solicite a los administradores, a través de alertas de plataforma, que ejecuten un cmdlet de punto de conexión con privilegios (PEP) para finalizar la actualización del administrador de arranque cuando se aplique el paquete de firmware de OEM después de revisiones o actualizaciones.

Si aplica actualizaciones o revisiones después de que la plataforma actualice los certificados a través del paquete de firmware de OEM, el administrador de arranque se actualiza automáticamente como parte del proceso de actualización o revisión.

Importante

Si aplica una actualización o revisión de Azure Stack Hub antes de instalar el paquete de firmware OEM actualizado que contiene los certificados de arranque seguro 2023 necesarios, la plataforma expone alertas que proporcionan instrucciones para aplicar el paquete de firmware oem adecuado. Después de aplicar correctamente la actualización del paquete de firmware de OEM, los operadores pueden ejecutar el siguiente cmdlet PEP para aplicar el paso de mitigación final al administrador de arranque, como se indica en las alertas de la plataforma: Start-SecretRotation -UpdateBootManager.

Este plan de acción de cumplimiento actualiza el administrador de arranque para usar la cadena de certificados de arranque seguro actualizada y podría iniciar reinicios controlados y automatizados del nodo como parte de completar la mitigación.

Para garantizar un proceso de mitigación sin problemas con visibilidad clara a través de alertas de plataforma y minimizar el riesgo de interrupción, siga este flujo de trabajo:

  • Aplique el paquete de firmware de OEM que instala los certificados de arranque seguro actualizados 2023.
  • Complete los pasos de activación necesarios para OEM (específicos del OEM).

Fase 2: aplicar la corrección urgente o la actualización de Azure Stack Hub

Aplique la actualización compatible o la corrección específica para la versión que habilita la mitigación de Secure Boot correspondiente a su versión de Azure Stack Hub:

  • Para la versión 2601, aplica la revisión 2601 más reciente que incluya la mitigación de Secure Boot.
  • Para la versión 2506, actualice a la versión 2601 más reciente que incluye la mitigación de arranque seguro o aplique la revisión específica de la versión que incluye la mitigación de arranque seguro, cuando esté disponible.
  • Para la versión 2501, actualice a una versión compatible de 2506 que incluya la mitigación de arranque seguro, cuando esté disponible o aplique la revisión específica de la versión que incluye la mitigación de arranque seguro, cuando esté disponible.

Durante o después del mantenimiento, la plataforma evalúa la preparación del certificado y expone las alertas según sea necesario.

Fase 3: finalizar la actualización del administrador de arranque (si es necesario)

Si la plataforma indica, a través de alertas, que los certificados de firmware están presentes, pero el administrador de arranque aún no se ha actualizado para usar la nueva cadena de certificados (si aplicó el paquete de firmware de OEM después de aplicar una revisión o actualización de Azure Stack Hub), ejecute el siguiente cmdlet PEP para aplicar el paso de mitigación final, como se indica en las alertas de la plataforma: Start-SecretRotation -UpdateBootManager.

Lógica de mitigación detallada (lo que comprueba la plataforma)

La plataforma realiza las siguientes comprobaciones y acciones como parte del proceso de mitigación:

Comprobaciones y alertas de preparación de certificados

La plataforma comprueba si hay certificados de arranque seguro 2023 necesarios. Si falta algún certificado necesario, la plataforma genera una alerta para ese certificado y dirige al operador para aplicar el paquete de firmware oem más reciente que instala los certificados que faltan.

Validación de la cadena del gestor de arranque y alertas

Si los certificados mínimos necesarios están presentes (incluidos Windows UEFI CA 2023 en DB y 2023 KEK), la plataforma valida si el administrador de arranque usa la cadena de certificados actualizada. Si el administrador de arranque no se actualiza, la plataforma genera una alerta que indica al operador que ejecute el cmdlet PEP para finalizar la actualización del administrador de arranque.

Guía de HLH

Para los entornos en los que administre el Hardware Lifecycle Host (HLH), consulte a su OEM para obtener orientaciones específicas sobre HLH. Si estas instrucciones no están disponibles, siga las instrucciones de Microsoft Windows estándar para actualizar el firmware en función de la marca y el modelo de HLH, y para completar los pasos de mitigación necesarios, tal y como se describe en:
Vencimiento de certificados de Arranque seguro de Windows y actualizaciones de la CA - Soporte de Microsoft

Nota:

Si HLH ejecuta una versión anterior de Windows Server, es posible que esta guía no se aplique. Es posible que tenga que actualizar o volver a implementar el HLH. Para obtener una lista de las versiones de Windows Server que admiten la mitigación de certificados de arranque seguro, consulte KB5012170: Actualización de seguridad para DBX de arranque seguro: Soporte técnico de Microsoft.

Impacto en las máquinas virtuales de los inquilinos

Las actualizaciones de certificados de arranque seguro y las acciones de mitigación del administrador de arranque en Azure Stack Hub no afectan directamente a las máquinas virtuales de inquilino.

  • Las máquinas virtuales de inquilino de Azure Stack Hub son máquinas virtuales de generación 1, que no admiten Arranque seguro.
  • Las acciones de mitigación de arranque seguro solo se aplican a la cadena de arranque del host y no modifican la configuración de la máquina virtual del inquilino ni los sistemas operativos invitados.
  • No se requieren cambios a nivel de invitado, reconfiguración ni pasos de mitigación para las cargas de trabajo de los inquilinos.
  • Las cargas de trabajo del arrendatario no se ven afectadas.

Impacto en la infraestructura de Azure Stack Hub

La mitigación de certificados de arranque seguro se dirige principalmente a hosts de Azure Stack Hub físicos.

  • La plataforma Azure Stack Hub administra y actualiza las máquinas virtuales de infraestructura durante las actualizaciones del centro.
  • Las máquinas virtuales de infraestructura que cree o vuelva a crear como parte de las actualizaciones de la plataforma adoptan automáticamente el estado actualizado de Arranque seguro.

Preguntas más frecuentes

En esta sección se responden algunas preguntas más frecuentes sobre el proceso de mitigación de certificados de arranque seguro.

¿Necesito instalar tanto una corrección urgente como una actualización de la plataforma?

N.º Debe instalar la actualización admitida o la corrección específica de la versión correspondiente a su versión actual de Azure Stack Hub:

  • Para la versión 2601, aplica la revisión 2601 más reciente que incluya la mitigación de Secure Boot.
  • Para la versión 2506, actualice a la versión 2601 más reciente que incluye la mitigación de arranque seguro o aplique la revisión específica de la versión que incluye la mitigación de arranque seguro, cuando esté disponible.
  • Para la versión 2501, actualice a una versión compatible de 2506 que incluya la mitigación de arranque seguro, cuando esté disponible, o aplique la revisión específica de la versión que incluye la mitigación de arranque seguro, cuando esté disponible.

En todos los casos, el paquete de firmware de OEM es un requisito previo para instalar los certificados necesarios. Una vez cumplidos los requisitos previos, la plataforma finaliza la actualización del administrador de arranque.

¿Qué ocurre si he instalado la revisión o actualización antes del paquete de firmware del OEM?

La plataforma admite este escenario. Inicialmente, las alertas de la plataforma indican que faltan los nuevos certificados de arranque seguro y le pedirán que actualice el paquete de firmware de OEM. Después de aplicar la actualización de firmware de OEM, siga las alertas de la plataforma. Si se le solicita, ejecute el siguiente cmdlet de punto de conexión con privilegios (PEP) para finalizar la actualización del administrador de arranque: Start-SecretRotation -UpdateBootManager.

¿El cmdlet PEP reinicia mi sistema?

El flujo de cumplimiento de PEP está diseñado para reiniciar los nodos de uno en uno durante el paso de finalización.

Solución de problemas

En esta sección se proporcionan pasos para solucionar problemas comunes que pueden surgir durante el proceso de mitigación.

La alerta indica que faltan certificados

  • Instale el paquete de firmware oem más reciente que proporciona los certificados que faltan.
  • Después de aplicar la actualización del paquete de firmware de OEM, siga las alertas de la plataforma. Si se le solicita, ejecute el siguiente cmdlet de punto de conexión con privilegios (PEP) para finalizar la actualización del administrador de arranque: Start-SecretRotation -UpdateBootManager.

Alerta indica que el administrador de arranque no se ha actualizado

Ejecute Start-SecretRotation -UpdateBootManager.

Pasos siguientes

  • Se actualizó por última vez el