Users Guide

Zulässige Dateiformate
Die Secure Boot-Richtlinie enthält nur einen Schlüssel in PK, KEK kann jedoch mehrere Schlüssel enthalten. Im Idealfall sollten entweder
der Plattformhersteller oder der Plattformbesitzer dafür sorgen, dass der private Schlüssel mit dem öffentlichen Schlüssel in PK identisch
ist. Drittanbieter (wie beispielsweise Anbieter von Betriebssystemen und Geräten) gewährleisten, dass die privaten Schlüssel mit den
öffentlichen Schlüsseln in KEK übereinstimmen. Auf diese Weise können Plattformbesitzer und Drittanbieter Einträge in der db oder dbx
eines bestimmten Systems hinzufügen oder aus diesen entfernen.
Die Secure Boot-Richtlinie verwendet db und dbx für die Autorisierung der Ausführung der Pre-Boot-Abbilddatei. Damit eine Abbilddatei
ausgeführt wird, muss dieser ein Schlüsssel oder Hashwert in db zugeordnet sein, und es darf dieser kein Schlüssel oder Hash-Wert in dbx
zugeordnet sein. Alle Versuche zur Aktualisierung der Inhalte von db oder dbx müssen mit einem privaten Schlüssel in PK oder KEK signiert
sein. Alle Versuche, die Inhalte von PK oder KEK zu aktualisieren, müssen mit einem privaten Schlüssel in PK signiert sein.
Richtlinienkomponente Zulässige Dateiformate Zulässige
Dateierweiterungen
Max. zulässige Datensätze
PK X.509-Zertifikat (nur im binären
DER-Format)
1. .cer
2.
.der
3. .crt
Eins
KEK
X.509-Zertifikat (nur im binären
DER-Format)
Öffentlicher Schlüsselspeicher
1. .cer
2.
.der
3. .crt
4.
.pbk
Mehr als einer
DB und DBX
X.509-Zertifikat (nur im binären
DER-Format)
EFI-Abbild (System-BIOS
berechnet und importiert den
Abbildhashwert)
1. .cer
2.
.der
3. .crt
4.
.efi
Mehr als einer
Auf die Funktion für Secure Boot-Einstellungen können Sie zugreifen, indem Sie auf „System Security“ (Systemsicherheit) unter „System
BIOS Settings“ (System-BIOS-Einstellungen) klicken. Wechseln Sie zu „System BIOS Settings“ (System-BIOS-Einstellungen), drücken Sie
F2, wenn das Firmenlogo während des POST (Einschaltselbsttest) angezeigt wird.
● Secure Boot ist standardmäßig deaktiviert und die Secure Boot-Richtlinie ist auf „Standard“ festgelegt. Wenn Secure Boot aktiviert
werden muss, müssen Sie für Secure Boot „Enabled“ (Aktiviert) festlegen.
● Wenn der Secure Boot-Modus auf „Standard“ gesetzt ist, weist dies darauf hin, dass das System über Standardzertifikate und
Image Digests verfügt oder Hash werkseitig aufgespielt wurde. Dies sorgt für die Sicherheit von standardmäßiger Firmware, Treibern,
Option-ROMs und Bootloadern.
● Für den Fall, dass Unterstützung für einen neuen Treiber oder eine neue Firmware auf dem Server erforderlich ist, muss das
entsprechende Zertifikat in der DB des Secure Boot-Zertifikatspeichers registriert werden. Aus diesem Grund muss die Secure
Boot-Richtlinie für „Custom“ (Benutzerdefiniert) konfiguriert werden.
Wenn die Secure Boot-Richtlinie als „Custom“ (Benutzerdefiniert) konfiguriert ist, erbt sie die im System standardmäßig geladenen
Standardzertifikate und Imagehashwerte, an denen Sie bei Bedarf Änderungen vornehmen können. Ist die Secure Boot-Richtlinie als
„Custom“ (Benutzerdefiniert) konfiguriert, können Sie Vorgänge wie z. B. Anzeigen, Exportieren, Importieren, Löschen, Alle löschen,
Zurücksetzen, Alle zurücksetzen durchführen. Dadurch können Sie die Secure Boot-Richtlinien entsprechend Ihren Anforderungen
konfigurieren.
Mit der benutzerdefinierten Konfiguration der Secure Boot-Richtlinie werden die Optionen zum Verwalten des Zertifikatspeichers wie
„Export“ (Exportieren), „Import“ (Importieren), „Delete“ (Löschen), „Delete All“ (Alle löschen), „Reset“ (Zurücksetzen) und „Reset All“
(Alle zurücksetzen) in PK, KEK, DB und DBX aktiviert. Sie können die Richtlinie auswählen, (PK/KEK/DB/DBX), an denen Sie Änderungen
vornehmen möchten, und entsprechende Aktionen durch Klicken auf den jeweiligen Link durchführen. Jeder Abschnitt enthält Links
für das Ausführen von Vorgängen wie Importieren, Exportieren, Löschen und Zurücksetzen. Die Links werden je nachdem, was bei der
jeweiligen Konfiguration zum gegebenen Zeitpunkt anwendbar ist aktiviert. „Delete All“ (Alle löschen) und „Reset All“ (Alle zurücksetzen)
84
Managed System einrichten