Users Guide

Le forum UEFI (Unified Extensible Firmware Interface), un organisme de l'industrie qui développe des normes pour les logiciels
de pré-démarrage, définit le démarrage sécurisé dans la spécification UEFI. Les fournisseurs de systèmes informatiques, de
cartes d'extension et de systèmes d'exploitation collaborent sur cette spécification pour promouvoir l'interopérabilité. En tant
que composant de la spécification UEFI, le démarrage sécurisé représente une norme à l'échelle de l'industrie pour la sécurité
dans l'environnement de pré-démarrage.
Lorsqu'il est activé, le démarrage sécurisé empêche le chargement des pilotes de périphériques UEFI non signés, affiche un
message d'erreur et ne permet pas au périphérique de fonctionner. Vous devez désactiver le démarrage sécurisé pour charger
les pilotes de périphérique non signés.
Sur les serveurs PowerEdge Dell de 14
e
génération et les versions ultérieures, vous pouvez activer ou désactiver la
fonction Démarrage sécurisé à l'aide des différentes interfaces (RACADM, WSMAN, REDFISH et interface utilisateur de
Lifecycle Controller).
Formats de fichier acceptables
La stratégie Démarrage sécurisé ne contient qu'une clé dans PK, mais plusieurs clés peuvent résider dans KEK. Idéalement, le
fabricant ou le propriétaire de la plate-forme conserve la clé privée correspondant à la clé publique PK. Les tiers (tels que les
fournisseurs de systèmes d'exploitation et les fournisseurs de périphériques) conservent les clés privées correspondant aux clés
publiques dans KEK. De cette manière, les propriétaires de la plate-forme ou les tiers peuvent ajouter ou supprimer des entrées
dans la base de données ou la base de données des signatures interdites d'un système spécifique.
La stratégie Démarrage sécurisé utilise la base de données et la base de données des signatures interdites pour autoriser
l'exécution du fichier image de pré-démarrage. Pour qu'un fichier image soit exécuté, il doit être associé à une clé ou une valeur
de hachage dans la base de données, et ne doit pas être associé à une clé ou une valeur de hachage dans la base de données
des signatures interdites. Toute tentative de mise à jour du contenu de la base de données ou de la base de données des
signatures interdites doit être signée par une clé KEK ou PK privée. Toute tentative de mise à jour du contenu de PK ou KEK doit
être signée par une clé PK privée.
Tableau 14. Formats de fichier acceptables
Composant de stratégie Formats de fichier
acceptables
Extensions de fichier
acceptables
Nombre max.
d'enregistrements autorisé
PK Certificat X.509 (format DER
binaire uniquement)
1. .cer
2.
.der
3. .crt
un
KEK
Certificat X.509 (format DER
binaire uniquement)
Magasin de clés publiques
1. .cer
2.
.der
3. .crt
4.
.pbk
Plusieurs
Base de données et base
de données des signatures
interdites
Certificat X.509 (format DER
binaire uniquement)
Image EFI (le BIOS du
système calcule et importe le
condensat d'image)
1. .cer
2.
.der
3. .crt
4.
.efi
Plusieurs
La fonction Paramètres de démarrage sécurisé est accessible en cliquant sur Sécurité du système sous Paramètres du BIOS du
système. Pour accéder à Paramètres du BIOS du système, appuyez sur la touche F2 lorsque le logo de la société s'affiche lors
de l'auto-test de démarrage.
● Par défaut, le démarrage sécurisé est désactivé et la stratégie Démarrage sécurisé est définie sur Standard. Pour configurer
la stratégie de démarrage sécurisé, vous devez activer le démarrage sécurisé.
96
Installation du système géré