Users Guide

Zulässige Dateiformate
Die Secure Boot-Richtlinie enthält nur einen Schlüssel im PK, es können sich jedoch mehrere Schlüssel im KEK befinden. Im
Idealfall verwaltet entweder der Hersteller oder Besitzer der Plattform den passenden privaten Schlüssel zum PK. Die zu den
öffentlichen Schlüsseln im KEK passenden privaten Schlüssel werden von Dritten (z. B. Betriebssystem- und Geräteanbietern)
aufbewahrt. Auf diese Weise können Plattformbesitzer oder Dritte Einträge in der db oder dbx eines bestimmten Systems
hinzufügen oder entfernen.
Die Secure Boot-Richtlinie verwendet db und dbx, um die Ausführung von Abbilddateien vor dem Start zu autorisieren. Damit
eine Abbilddatei ausgeführt wird, muss sie einem Schlüssel oder Hash-Wert in der db zugeordnet werden und nicht einem
Schlüssel oder Hash-Wert in der dbx. Jeder Versuch, den Inhalt der db oder dbx zu aktualisieren, muss von einem privaten PK
oder KEK signiert werden. Jeder Versuch, den Inhalt des PK oder KEK zu aktualisieren, muss von einem privaten PK signiert
werden.
Tabelle 14. Zulässige Dateiformate
Richtlinienkomponente Zulässige Dateiformate Zulässige
Dateierweiterungen
Max. erlaubte Datensätze
PK X.509-Zertifikat (nur binäres
DER-Format)
1. .cer
2.
.der
3. .crt
Eins
KEK
X.509-Zertifikat (nur binäres
DER-Format)
Öffentlicher Schlüsselspeicher
1. .cer
2.
.der
3. .crt
4.
.pbk
Mehr als einer
DB und DBX
X.509-Zertifikat (nur binäres
DER-Format)
EFI-Image (System-BIOS
berechnet und importiert das
Image-Digest)
1. .cer
2.
.der
3. .crt
4.
.efi
Mehr als einer
Die Einstellungen für Secure Boot können in den System-BIOS-Einstellungen durch Klicken auf „Systemsicherheit“ aufgerufen
werden. Um zu den System-BIOS-Einstellungen zu gelangen, drücken Sie F2, wenn das Firmenlogo während des POST
angezeigt wird.
● Standardmäßig ist Secure Boot deaktiviert und die Secure Boot-Richtlinie auf Standard eingestellt. Um die Secure Boot-
Richtlinie zu konfigurieren, müssen Sie Secure Boot aktivieren.
● Wenn der Secure Boot-Modus auf Standard eingestellt ist, zeigt dies an, dass das System über Standard-Zertifikate und
Image-Digests verfügt oder werkseitig ein Hash-Wert geladen wurde. Damit wird die Sicherheit von Standard-Firmware,
Treibern, Options-ROMs und Boot Loadern gewährleistet.
● Zur Unterstützung neuer Treiber oder Firmware auf einem Server muss das entsprechende Zertifikat in die Datenbank
des Secure Boot-Zertifikatsspeichers eingetragen werden. Daher muss die Secure Boot-Richtlinie auf Benutzerdefiniert
eingestellt werden.
Ist die Secure Boot-Richtlinie auf Benutzerdefiniert eingestellt, erbt sie die standardmäßig im System geladenen
Standardzertifikate und Image-Digests, die Sie ändern können. Mit einer als Benutzerdefiniert konfigurierten Secure Boot-
Richtlinie können Sie Aktionen wie Anzeigen, Exportieren, Importieren, Löschen, Alles löschen, Zurücksetzen und Alles
zurücksetzen ausführen. Mit diesen Operationen können Sie die Secure Boot-Richtlinien konfigurieren.
Durch die Konfiguration der Secure Boot-Richtlinie als Benutzerdefiniert können die Optionen zur Verwaltung des
Zertifikatsspeichers mit verschiedenen Aktionen wie Exportieren, Importieren, Löschen, Alle löschen, Zurücksetzen und Alles
zurücksetzen für PK, KEK, DB und DBX verwendet werden. Durch Klicken auf den entsprechenden Link können Sie die Richtlinie
auswählen (PK/KEK/DB/DBX), an der Sie die Änderung vornehmen möchten und die entsprechende Aktionen durchführen.
Jeder Abschnitt verfügt über Links, um die Operationen Import, Export, Löschen und Zurücksetzen auszuführen. Links sind je
96
Managed System einrichten