セキュア ブート証明書の更新を管理する

この記事では、Azure Stack Hub統合システムでセキュア ブート証明書関連の軽減手順を準備し、完了するためのAzure Stack Hubオペレーター向けのガイダンスを提供します。

Overview

Azure Stack Hubは、セキュア ブート証明書の準備に OEM ファームウェア パッケージの前提条件モデルを使用します。 更新されたセキュア ブート証明書は、OEM ファームウェア パッケージを通じて配信される予定です。 プラットフォーム修正プログラムとプラットフォームの更新プログラムは、ブート マネージャーが新しい証明書チェーンを使用するように更新されていることを確認し、前提条件が満たされていない場合にアラートを表示することで、軽減策を完了します。

Azure Stack Hub セキュア ブート証明書の有効期限が 2026 年に切れる

すべてのWindows ベースのデバイスには、キー Exchange キー (KEK) とセキュア ブート データベース (DB) に標準のMicrosoft証明書のセットが含まれています。 これらの証明書は有効期限に近づいています。 Azure Stack Hubホストには、次の表に示すように、一覧表示されている証明書のバージョンのいずれかが含まれている場合に影響を受ける。 通常のセキュア ブート更新プログラムを引き続き受け取る場合は、まず、セキュア ブート証明書を更新する適切なAzure Stack Hub OEM ファームウェア パッケージを適用してから、必要なAzure Stack Hub修正プログラムまたは更新プログラムを適用して軽減策を完了することで、証明書を更新します。 修正プログラムまたは更新プログラムを適用した後、システム アラートは、OEM ファームウェア パッケージの更新 (まだ適用されていない場合) や、ブート マネージャーを更新する特権エンドポイント (PEP) コマンドレットの実行など、追加のアクションを実行するように管理者に案内します (必要な場合)。

* Microsoft Corporation UEFI CA 2011 証明書の更新中に、2 つの証明書がオプション ROM 署名とブート ローダー署名を分離します。 この分離により、システムの信頼を細かく制御できます。 たとえば、オプション ROM を信頼する必要があるシステムでは、サード パーティ製のブート ローダーの信頼を追加することなく、Microsoft オプション ROM UEFI CA 2023 を追加できます。

Prerequisites

始める前に、以下の前提条件を満たしていることを確認してください。

• Azure Stack Hub統合システムに推奨されるセキュア ブート証明書を更新する最新の OEM ファームウェア パッケージをインストールします。
• セキュア ブート軽減ロジックを含むAzure Stack Hub修正プログラムまたはプラットフォーム更新プログラムを適用します (サポートされているリリース パスを参照)。
• 修正プログラムまたは更新プログラムの適用の一環として、または軽減プロセスの一環として Privileged Endpoint (PEP) コマンドレットを使用してトリガーされたときに適用手順中に発生する、制御された自動ノード再起動に備えてください。

サポートされているリリース パス

Azure Stack Hub プラットフォームの更新プログラムと対応する修正プログラムにより、セキュア ブート軽減のサポートが提供されます。

• Azure Stack Hub バージョン 2604 では、セキュア ブートの軽減策がサポートされています。
• Azure Stack Hub バージョン 2601 では、最新の 2604 ビルドに更新するか、セキュア ブートの軽減策 (修正プログラム 1.2601.1.16 以降) を含む最新の 2601 修正プログラムを適用することで、セキュア ブートの軽減策がサポートされています。
• Azure Stack Hub バージョン 2506 では、セキュア ブートの軽減策を含む最新の 2601 ビルドに更新するか、セキュア ブートの軽減策 (修正プログラム 1.2506.3.50 以降) を含むバージョン固有の修正プログラムを適用することで、セキュア ブートの軽減策がサポートされます。

これらの更新プログラムと修正プログラムにより、プラットフォームで次の機能が有効になります。

• OEM ファームウェア パッケージを通じて提供される必要なセキュア ブート 2023 証明書が存在するかどうかを検証します。
• セキュア ブート 2023 証明書が存在しない場合にアラートを生成します。
• 新しい証明書チェーンを使用するようにブート マネージャーがまだ更新されていないことを検出します。
• 前提条件が満たされたら、ブート マネージャーの更新を完了します。
• プラットフォーム アラートを通じて管理者に、特権エンドポイント (PEP) コマンドレットを実行して、修正プログラムまたは更新プログラムの後に OEM ファームウェア パッケージが適用されたときにブート マネージャーの更新を完了するように求めます。

プラットフォームが OEM ファームウェア パッケージを使用して証明書を更新した 後 に更新プログラムまたは修正プログラムを適用すると、ブート マネージャーは更新プログラムまたは修正プログラム プロセスの一部として自動的に更新されます。

この実施アクション プランは、更新されたセキュア ブート証明書チェーンを使用するようにブート マネージャーを更新し、軽減策の完了の一環として制御された自動ノード再起動を開始する可能性があります。

推奨される軽減ワークフロー

プラットフォームアラートを通じて明確な可視性を備えたスムーズな軽減プロセスを確保し、中断のリスクを最小限に抑えるには、次のワークフローに従います。

ステージ 1: OEM ファームウェアを最初に適用する (推奨)

• 更新されたセキュア ブート 2023 証明書をインストールする OEM ファームウェア パッケージを適用します。
• OEM に必要なライセンス認証手順 (OEM 固有) を完了します。

ステージ 2: 修正プログラムまたは更新プログラムAzure Stack Hub適用する

Azure Stack Hub バージョンのセキュア ブート軽減策を有効にする、サポートされている更新プログラムまたはバージョン固有の修正プログラムを適用します。

• バージョン 2601 の場合は、セキュア ブートの軽減策を含む最新の 2601 修正プログラムを適用します。
• バージョン 2506 の場合は、セキュア ブートの軽減策を含む最新の 2601 リリースに更新するか、セキュア ブートの軽減策を含むバージョン固有の修正プログラム (使用可能な場合) を適用します。
• バージョン 2501 の場合は、セキュア ブートの軽減策を含むサポートされている 2506 リリースに更新するか、利用可能な場合はセキュア ブートの軽減策を含むバージョン固有の修正プログラムを適用します。

サービス中またはサービス後に、プラットフォームは証明書の準備状況を評価し、必要に応じてアラートを表示します。

ステージ 3: ブート マネージャーの更新を最終処理する (必要な場合)

プラットフォームで、ファームウェア証明書が存在するが、ブート マネージャーが新しい証明書チェーンを使用するようにまだ更新されていない (Azure Stack Hub修正プログラムまたは更新プログラムを適用した後に OEM ファームウェア パッケージを適用した場合) 場合は、プラットフォームアラートで示されているように、次の PEP コマンドレットを実行して、最終的な軽減手順を適用します。 Start-SecretRotation -UpdateBootManager。

詳細な軽減ロジック (プラットフォームが確認するもの)

プラットフォームは、軽減プロセスの一環として、次のチェックとアクションを実行します。

証明書の準備チェックとアラート

プラットフォームは、必要なセキュア ブート 2023 証明書が存在するかどうかを確認します。 必要な証明書がない場合、プラットフォームはその証明書のアラートを生成し、不足している証明書をインストールする最新の OEM ファームウェア パッケージを適用するようにオペレーターに指示します。

ブート マネージャー チェーンの検証とアラート

必要な最小限の証明書（DB 内の Windows UEFI CA 2023 と 2023 KEK を含む）が存在する場合、プラットフォームは、ブート マネージャーが更新された証明書チェーンを使用しているかどうかを検証します。 ブート マネージャーが更新されていない場合、プラットフォームは、PEP コマンドレットを実行してブート マネージャーの更新を完了するようにオペレーターに指示するアラートを生成します。

HLH ガイダンス

ハードウェア ライフサイクル ホスト (HLH) を管理する環境については、OEM に HLH 固有のガイダンスを確認してください。 このようなガイダンスが利用できない場合は、標準のMicrosoft Windowsガイダンスに従って、HLH の作成とモデルに基づいてファームウェアを更新し、次に示すように必要な軽減手順を完了します。
Windowsセキュア ブート証明書の有効期限と CA の更新 - Microsoft サポート。

テナント仮想マシンへの影響

Azure Stack Hubでのセキュア ブート証明書の更新とブート マネージャーの軽減アクションは、テナント仮想マシンに直接影響しません。

• Azure Stack Hubテナント VM は Gen1 仮想マシンであり、セキュア ブートはサポートされていません。
• セキュア ブート軽減アクションは、ホスト ブート チェーンにのみ適用され、テナント VM の構成やゲスト オペレーティング システムは変更されません。
• テナント ワークロードに対してゲスト レベルの変更、再構成、または軽減手順は必要ありません。
• テナント ワークロードは影響を受けません。

Azure Stack Hub インフラストラクチャへの影響

セキュア ブート証明書の軽減策は、主に物理Azure Stack Hub ホストを対象とします。

• Azure Stack Hub プラットフォームは、ハブの更新中にインフラストラクチャ VM を管理および更新します。
• プラットフォームの更新の一部として作成または更新するインフラストラクチャ VM は、更新されたセキュア ブートの状態を自動的に取得します。

FAQ

このセクションでは、セキュア ブート証明書の軽減プロセスについてよく寄せられる質問に回答します。

修正プログラムとプラットフォーム更新プログラムの両方を適用する必要がありますか?

No. 現在のAzure Stack Hub バージョンに対して、サポートされている更新プログラムまたはバージョン固有の修正プログラムを適用する必要があります。

• バージョン 2601 の場合は、セキュア ブートの軽減策を含む最新の 2601 修正プログラムを適用します。
• バージョン 2506 の場合は、セキュア ブートの軽減策を含む最新の 2601 リリースに更新するか、セキュア ブートの軽減策を含むバージョン固有の修正プログラム (使用可能な場合) を適用します。
• バージョン 2501 の場合は、セキュア ブートの軽減策を含むサポートされている 2506 リリースに更新するか、利用可能な場合はセキュア ブートの軽減策を含むバージョン固有の修正プログラムを適用します。

いずれの場合も、OEM ファームウェア パッケージは、必要な証明書をインストールするための前提条件です。 前提条件が満たされると、プラットフォームによってブート マネージャーの更新が完了します。

OEM ファームウェア パッケージの前に修正プログラムまたは更新プログラムをインストールした場合はどうしますか?

プラットフォームでは、このシナリオがサポートされています。 最初に、プラットフォームのアラートは、新しいセキュア ブート証明書が見つからないことを示し、OEM ファームウェア パッケージを更新するように求められます。 OEM ファームウェアの更新プログラムを適用した後、プラットフォームのアラートに従います。 メッセージが表示されたら、次の特権エンドポイント (PEP) コマンドレットを実行して、ブート マネージャーの更新を完了します: Start-SecretRotation -UpdateBootManager。

PEP コマンドレットはシステムを再起動しますか?

PEP 強制フローは、最終処理の手順中にノードを一度に 1 つずつ再起動するように設計されています。

Troubleshooting

このセクションでは、軽減プロセス中に発生する可能性がある一般的な問題のトラブルシューティング手順について説明します。

アラートは、証明書が見つからない場合を示します

• 不足している証明書を提供する最新の OEM ファームウェア パッケージをインストールします。
• OEM ファームウェア パッケージの更新プログラムを適用した後、プラットフォームのアラートに従います。 メッセージが表示されたら、次の特権エンドポイント (PEP) コマンドレットを実行して、ブート マネージャーの更新を完了します: Start-SecretRotation -UpdateBootManager。

アラートは、ブート マネージャーが更新されていないことを示します

Start-SecretRotation -UpdateBootManager を実行します。

次のステップ

• Azure Stack Hubセキュリティのベスト プラクティス
• Azure Stack Hub データ収集