Gerir atualizações de certificados de arranque seguro

Este artigo fornece orientações para os operadores do Azure Stack Hub prepararem-se e completarem passos de mitigação relacionados com certificados Secure Boot nos sistemas integrados do Azure Stack Hub.

Descrição geral

O Azure Stack Hub utiliza um modelo baseado em pré-requisitos de firmware do OEM para a preparação dos certificados do Secure Boot. Espera-se que os certificados atualizados do Secure Boot sejam entregues através de pacotes de firmware OEM. Os hotfixes e atualizações da plataforma finalizam então a mitigação, garantindo que o gestor de arranque é atualizado para usar a nova cadeia de certificados e apresentando alertas quando os pré-requisitos não são cumpridos.

Certificados de Secure Boot do Azure Stack Hub que expiram em 2026

Todos os dispositivos baseados em Windows incluem um conjunto padrão de certificados Microsoft na Key Exchange Key (KEK) e na base de dados Secure Boot (DB). Estes certificados estão a aproximar-se da sua data de validade. Os hosts do Azure Stack Hub são afetados se contiverem alguma das versões de certificados listadas, conforme mostrado na tabela seguinte. Para continuar a receber atualizações regulares do Secure Boot, atualize os certificados aplicando primeiro o pacote de firmware OEM do Azure Stack Hub apropriado que atualiza os certificados do Secure Boot, e depois aplicando os hotfixes ou atualizações necessárias do Azure Stack Hub para completar a mitigação. Após aplicar hotfixes ou atualizações, os alertas do sistema orientam os administradores a realizar ações adicionais, como atualizar o pacote de firmware OEM (se ainda não for aplicado) ou executar um cmdlet de Endpoint Privilegiado (PEP) para atualizar o gestor de arranque, se necessário.

* Durante a renovação do certificado UEFI CA 2011 da Microsoft Corporation, dois certificados separam a assinatura do boot loader da opção de ROM. Esta separação permite um controlo mais fino sobre a confiança do sistema. Por exemplo, sistemas que precisam de confiar em ROMs de opção podem adicionar a ROM da Microsoft Option UEFI CA 2023 sem adicionar confiança a carregadores de arranque de terceiros.

Pré-requisitos

Antes de começar, certifique-se de que tem os seguintes pré-requisitos:

• Instale o pacote de firmware OEM mais recente que atualize os certificados Secure Boot recomendados para o seu sistema integrado no Azure Stack Hub.
• Aplique o hotfix Azure Stack Hub ou a atualização da plataforma que contenha a lógica de mitigação do Secure Boot (ver Caminhos de lançamento suportados).
• Esteja preparado para reinicios controlados e automatizados de nós que ocorrem como parte da aplicação de hotfixes ou atualizações, ou durante a fase de aplicação quando ativados através do cmdlet Privileged Endpoint (PEP) como parte do processo de mitigação.

Caminhos de lançamento suportados

As atualizações da plataforma do Azure Stack Hub e os hotfixes correspondentes fornecem suporte à mitigação do Secure Boot.

• O Azure Stack Hub versão 2604 suporta mitigação do Secure Boot.
• A versão 2601 do Azure Stack Hub suporta mitigação do Secure Boot atualizando para a versão 2604 mais recente, ou aplicando o hotfix 2601 mais recente que inclui mitigação do Secure Boot (hotfix 1.2601.1.16 ou posterior).
• A versão 2506 do Azure Stack Hub suporta mitigação do Secure Boot atualizando para a versão mais recente da 2601 que inclui mitigação do Secure Boot, ou aplicando o hotfix específico da versão que inclui mitigação do Secure Boot (hotfix 1.2506.3.50 ou posterior).

Estas atualizações e hotfixes permitem à plataforma:

• Valide a presença dos certificados Secure Boot 2023 necessários entregues através do pacote de firmware OEM.
• Alertar se os certificados Secure Boot 2023 não estiverem presentes.
• Detetar quando o gestor de arranque ainda não foi atualizado para usar a nova cadeia de certificados.
• Finaliza a atualização do gestor de arranque quando os pré-requisitos forem cumpridos.
• Alertar os administradores, por meio de alertas da plataforma, para executarem um cmdlet do Privileged Endpoint (PEP) para finalizar a atualização do gestor de arranque quando o pacote de firmware OEM for aplicado após hotfixes ou atualizações.

Se aplicar atualizações ou hotfixes após a plataforma atualizar os certificados através do pacote de firmware OEM, o gestor de arranque atualiza-se automaticamente como parte do processo de atualização ou hotfix.

Este plano de ação corretiva atualiza o gestor de arranque para utilizar a cadeia de certificados atualizada do Arranque Seguro e poderá iniciar reinícios controlados e automatizados dos nós para concluir a mitigação.

Fluxo de trabalho recomendado para mitigação

Para garantir um processo de mitigação fluido, com visibilidade clara através de alertas da plataforma e minimizar o risco de perturbações, siga este fluxo de trabalho:

Etapa 1: aplicar primeiro firmware OEM (recomendado)

• Aplique o pacote de firmware OEM que instala os certificados atualizados do Secure Boot 2023.
• Complete todos os passos de ativação exigidos pelo OEM (específicos do OEM).

Etapa 2: aplicar o hotfix ou atualização do Azure Stack Hub

Aplique a atualização suportada ou o hotfix específico de versão que permite a mitigação do Secure Boot para a sua versão do Azure Stack Hub:

• Para a versão 2601, aplique o hotfix 2601 mais recente que inclui mitigação do Secure Boot.
• Para a versão 2506, atualize para a versão 2601 mais recente que inclua mitigação do Secure Boot, ou aplique o hotfix específico da versão que inclui mitigação do Secure Boot, quando disponível.
• Para a versão 2501, atualize para uma versão 2506 suportada que inclua mitigação Secure Boot, quando disponível, ou aplique o hotfix específico da versão que inclui mitigação Secure Boot, quando disponível.

Durante ou após a manutenção, a plataforma avalia a prontidão dos certificados e emite alertas conforme necessário.

Fase 3: finalizar a atualização do gestor de arranque (se necessário)

Se a plataforma indicar, através de alertas, que os certificados de firmware estão presentes mas o gestor de arranque ainda não foi atualizado para usar a nova cadeia de certificados (se aplicou o pacote de firmware OEM após aplicar um hotfix ou atualização do Azure Stack Hub), execute o seguinte cmdlet PEP para aplicar o passo final de mitigação, conforme indicado pelos alertas da plataforma: Start-SecretRotation -UpdateBootManager.

Lógica detalhada de mitigação (o que a plataforma verifica)

A plataforma realiza as seguintes verificações e ações como parte do processo de mitigação:

Verificações e alertas sobre o estado dos certificados

A plataforma verifica a presença dos certificados Secure Boot 2023 necessários. Se faltar algum certificado necessário, a plataforma emite um alerta para esse certificado e orienta o operador a aplicar o pacote de firmware OEM mais recente que instala os certificados em falta.

Validação da cadeia do gestor de arranque e alertas

Se estiverem presentes os certificados mínimos exigidos (incluindo Windows UEFI CA 2023 na base de dados e 2023 KEK), a plataforma valida se o gestor de arranque está a usar a cadeia de certificados atualizada. Se o gestor de arranque não for atualizado, a plataforma emite um alerta a instruir o operador a executar o cmdlet PEP para finalizar a atualização do gestor de arranque.

Orientações sobre HLH

Para ambientes onde gere o Hardware Lifecycle Host (HLH), consulte o seu OEM para orientações específicas para HLH. Se tais orientações não estiverem disponíveis, siga as orientações padrão Microsoft Windows para atualizar o firmware com base na marca e modelo HLH, e para completar os passos de mitigação necessários conforme descrito em:
Expiração do certificado de Secure Boot do Windows e atualizações da AC - Suporte da Microsoft

Impacto nas máquinas virtuais dos locatários

As atualizações de certificados do Secure Boot e as ações de mitigação do gestor de arranque no Azure Stack Hub não afetam diretamente as máquinas virtuais dos inquilinos.

• As VMs do Azure Stack Hub tenant são máquinas virtuais Gen1, que não suportam Secure Boot.
• As ações de mitigação do Secure Boot aplicam-se apenas à cadeia de arranque do host e não modificam a configuração da VM de inquilino nem os sistemas operativos convidados.
• Não são necessárias alterações ao nível dos convidados, reconfiguração ou medidas de mitigação para as cargas de trabalho dos inquilinos.
• As cargas de trabalho dos inquilinos mantêm-se inalteradas.

Impacto na infraestrutura do Azure Stack Hub

A mitigação de certificados do Secure Boot visa principalmente hosts físicos do Azure Stack Hub.

• A plataforma Azure Stack Hub gere e atualiza as VMs da infraestrutura durante as atualizações do hub.
• As VMs de infraestrutura que cria ou atualiza como parte das atualizações da plataforma captam automaticamente o estado atualizado do Secure Boot.

FAQ

Esta secção responde a algumas perguntas frequentes sobre o processo de mitigação do certificado Secure Boot.

Preciso de aplicar tanto um hotfix como uma atualização da plataforma?

Não. Deve aplicar a atualização suportada ou o hotfix específico de versão para a sua versão atual do Azure Stack Hub:

• Para a versão 2601, aplique o hotfix 2601 mais recente que inclui mitigação do Secure Boot.
• Para a versão 2506, atualize para a versão mais recente da 2601 que inclui mitigação do Secure Boot, ou aplique o hotfix específico da versão que inclui mitigação do Secure Boot, quando disponível.
• Para a versão 2501, atualize para uma versão 2506 suportada que inclua mitigação do Secure Boot, quando disponível, ou aplique o hotfix específico da versão que inclui mitigação do Secure Boot, quando disponível.

Em todos os casos, o pacote de firmware OEM é um pré-requisito para a instalação dos certificados necessários. Depois de cumpridos os pré-requisitos, a plataforma finaliza a atualização do gestor de arranque.

E se eu instalar o hotfix ou atualizar antes do pacote de firmware OEM?

A plataforma suporta este cenário. Inicialmente, os alertas da plataforma indicam que os novos certificados do Secure Boot estão em falta e solicitam-lhe que atualize o pacote de firmware do OEM. Depois de aplicar a atualização do firmware OEM, siga os alertas da plataforma. Se solicitado, execute o seguinte cmdlet Privileged Endpoint (PEP) para finalizar a atualização do gestor de arranque: Start-SecretRotation -UpdateBootManager.

O cmdlet PEP reinicia o meu sistema?

O fluxo de aplicação PEP é concebido para reiniciar os nós um de cada vez durante a etapa de finalização.

Solução de problemas

Esta secção apresenta passos de resolução de problemas comuns que possam surgir durante o processo de mitigação.

O alerta indica certificados em falta

• Instale o pacote de firmware OEM mais recente que forneça os certificados em falta.
• Depois de aplicar a atualização do pacote de firmware OEM, siga os alertas da plataforma. Se solicitado, execute o seguinte cmdlet Privileged Endpoint (PEP) para finalizar a atualização do gestor de arranque: Start-SecretRotation -UpdateBootManager.

O alerta indica que o gestor de arranque não foi atualizado

Execute Start-SecretRotation -UpdateBootManager.

Passos seguintes

• Azure Stack Hub melhores práticas de segurança
• Recolha de dados do Azure Stack Hub