Microsoft bereitet weiterhin die Umstellung der auslaufenden Secure-Boot-Zertifikate vor.
Für klassische Clients ist das bereits relevant – in virtualisierten Umgebungen kommt aber noch eine zusätzliche Ebene hinzu.
Gerade bei Windows 11 und Windows Server 2025 würde ich das Thema deshalb bereits jetzt in die Image- und Provisioning-Prozesse aufnehmen.
Ein paar grundlegende Checks:
|
1 2 3 4 |
Confirm-SecureBootUEFI Get-Tpm Get-BitLockerVolume Get-CimInstance Win32_DeviceGuard |
In VDI-Umgebungen sollte zusätzlich geprüft werden:
🔹 UEFI-Konfiguration
🔹 vTPM und Hypervisor
🔹 Firmwarestand
🔹 BitLocker und Recovery-Prozess
🔹 Master-Image und Templates
🔹 MCS- und PVS-Provisionierung
Der entscheidende Punkt: Bei nicht-persistenten und provisionierten Systemen reicht es nicht, nur einzelne VMs zu betrachten.
Wenn Secure-Boot-Änderungen anstehen, muss klar sein, wie diese Änderungen durch Master-Image, Hypervisor und Provisioning bis auf die eigentlichen VDAs gelangen.
Besonders bei neuen Windows-11-VDI- und Windows-Server-2025-Umgebungen würde ich das Thema deshalb direkt in die technische Baseline aufnehmen.