Windows VM 顯示 Secure Boot 憑證尚未更新，或你正準備安排重啟維護窗口。
最快解法：先逐台確認 Windows 來賓版本、Proxmox EFI 磁碟與 BitLocker 復原金鑰，再按對應版本的官方流程試點、分批更新並驗收。舊憑證到期不等於 VM 立即無法啟動，但可能影響後續啟動元件保護。
適合：管理 Proxmox 與 Windows VM 的系統管理員、MSP，以及負責企業 Windows 虛擬機的 IT 團隊。
你可以用本文整理試點、分批變更和驗收記錄；若復原金鑰無法取用，先不要開始更新。
本文討論的是 Windows 來賓 VM 的 Secure Boot 憑證，不是 Proxmox 宿主機自身的 Secure Boot 設定。
先分清到期影響，再決定是否安排更新
Microsoft 說明，部分 2011 年簽發的 Secure Boot 憑證自 2026 年 6 月起到期。到期不是「所有 VM 當天都不能開機」的通知：未更新的裝置仍可能啟動並接收一般 Windows 更新，但後續啟動元件的保護可能受到限制。請依照 Microsoft 對 Secure Boot 憑證到期影響的說明判斷風險，不要把「目前仍可開機」當成更新已完成。
舊憑證到期後，Windows VM 還能啟動嗎？
可能可以；實際結果取決於來賓系統、憑證部署狀態及啟動鏈路。到期本身不能直接推論 VM 必然停機，但若忽略更新，後續啟動元件保護可能不完整。遇到啟動異常時，應依 Microsoft 的更新與疑難排解文件檢查，不要用關閉 Secure Boot 作為未經評估的通用解法。
也要區分 Windows Secure Boot 2023 憑證與舊憑證：證書部署是來賓系統更新流程的一部分，並非只要在 Proxmox 端切換一個開關，就能確認所有 Windows VM 已完成輪換。Microsoft 的Windows 客戶端憑證更新說明及Windows Server 相關問題排查文件應按你的來賓版本分開核對。
變更前核對來賓狀態與可復原條件
先建立 VM 清單，逐台記錄作業系統版本、是否使用 UEFI、Secure Boot 狀態、EFI 磁碟是否存在，以及 BitLocker 是否啟用。這些資訊用來界定哪些機器應納入試點；不要只憑 VM 名稱或宿主機上的設定猜測來賓狀態。
在 Proxmox 管理介面核對該 VM 的硬體設定，並可用 qm config <VMID> 檢視設定摘要。以下只是辨識欄位的示意，不是要求你照抄或修改：
bios: ovmf
efidisk0: <儲存位置與磁碟設定>
實際欄位、EFI 磁碟選項和證書登記行為，應以目標 Proxmox VE 版本的官方虛擬機文件為準。Proxmox EFI 磁碟保存與 VM 韌體相關的狀態；它不是 Windows 內部更新結果的替代證據。若設定畫面或欄位與目前文件不符，先停止，不要把其他版本的操作方式直接套用。
更新前需要準備什麼？
先確保有可驗證的 VM 備份或復原點，確認 BitLocker 復原金鑰可依組織流程取得，並寫下維護窗口、負責人及回退條件。宿主機設定備份不等同於來賓 VM 的復原方案；有備份也不代表金鑰已妥善保管。
用一台可復原 VM 試行，而非直接批次套用
先挑選非關鍵、可還原且能代表正式環境的 Windows VM。記錄變更前的 Proxmox VM 設定與 Windows 狀態，按照目標 PVE 版本和來賓作業系統適用的 Microsoft 流程執行；每一步都要能對應到官方文件。不要只複製社群貼文中的命令或按鈕名稱，因為討論內容不等同於所有版本皆適用的操作程序。
Proxmox 上的檢查與 Windows 來賓內的檢查回答不同問題：前者用來核對 VM 韌體及 EFI 磁碟設定，後者才用來確認 Windows 內的憑證部署狀態。Microsoft 的更新說明若要求先完成特定系統更新或等待部署狀態變更，應按文件處理；沒有明確符合條件時，不要自行推定已成功。
怎麼檢查 Windows VM 的 Secure Boot 憑證是否更新？
先用 Microsoft 對應來賓版本的支援方法檢查憑證部署狀態，再與 Proxmox 端的 EFI 設定及 VM 啟動結果交叉核對。單看 Secure Boot 已啟用、VM 能開機，或 EFI 磁碟存在，都不足以證明新憑證已部署。Reddit 上有使用者分享 Proxmox Windows VM 的更新與狀態確認經驗，也有人詢問 Windows 11 VM 的處理方式；這些個案討論與求助貼文只能反映使用者遇到的問題，不能當作官方通用步驟或故障率證據。
按風險分批更新，將 BitLocker 納入回退判斷
試點通過後，按業務重要性和復原難度安排後續 VM。每批都應記錄涉及的 VM、維護時間、執行人、預期結果，以及停止擴大操作的條件。更新可能需要重啟，憑證或 Secure Boot 狀態變化也可能影響啟動測量；不要承諾一定能在線完成、無需重啟，或所有來賓行為完全一致。
| 作法 | 適用條件 | 主要風險 | 決策 |
|---|---|---|---|
| 先做單台試點 | 版本與 EFI 狀態已核對，且 VM 可復原 | 試點結果未必涵蓋所有來賓差異 | 優先採用，通過驗收後再分批 |
| 直接批次更新 | 不同 VM 的版本、設定和金鑰狀態都已確認一致 | 單一流程假設錯誤可能同時影響多台 VM | 有充分驗證紀錄才考慮 |
| 暫緩個別 VM | 復原金鑰無法確認、狀態不明或試點失敗 | 舊憑證相關的後續保護風險仍需追蹤 | 先釐清原因，不要盲目重試或關閉 Secure Boot |
若 BitLocker VM 在重啟時進入復原畫面，依組織流程取得並核對復原金鑰；不要把金鑰貼到工單、終端輸出或公開討論區。Microsoft 的操作指南和 manage-bde 保護器命令文件可用於了解保護器管理方式，但涉及金鑰的輸出必須按內部規範處理。
從宿主機與 Windows 兩側驗收，留下差異紀錄
更新後怎麼確認結果？
在 Proxmox 端依該版本文件檢查 EFI 與證書登記狀態；在 Windows 來賓內按 Microsoft 支援的方法確認憑證部署結果，然後實際驗證 VM 能正常啟動、Secure Boot 狀態符合預期，且 BitLocker 沒有未解決的復原問題。不要用單一畫面或狀態欄位代替完整驗收。
例如，你可以用 manage-bde -status C: 檢視磁碟加密狀態；下方為示意輸出，不代表憑證更新結果：
Conversion Status: Fully Encrypted
Protection Status: Protection On
這項命令只協助檢查 BitLocker 狀態，不會證明 Secure Boot 新憑證已部署。請把試點、成功、失敗與待處理 VM 分別記錄，並保存核對時間、來賓版本、EFI 設定和驗收結果。若遇到啟動異常或復原金鑰無法使用，將該 VM 標為例外，停止批次操作並按 Microsoft 文件進一步診斷。
後續也要留意 Proxmox 與 Microsoft 文件對支援版本和部署機制的更新。你可以把已驗證流程整理成團隊變更紀錄，但每次用於不同版本或不同 EFI 設定前，都要重新核對適用條件。若團隊對哪些操作屬於伺服器服務範圍有疑問，可先查看服務範圍說明；這不應被理解為 Secure Boot 更新或 BitLocker 復原代辦。
以 VM 變更需求選擇宿主機，而非期待租用服務代做更新
如果你目前在共享雲端執行多台 Windows VM，需先確認 CPU 排程是否穩定、磁碟與 EFI 設定是否能按需求管理，以及頻寬或流量計費是否符合長期使用；不同方案限制各異，應以實際服務條款核對。若你需要的是可自行管理 Proxmox、安排來賓更新與維護窗口的獨享伺服器，選擇時應按 VM 數量、儲存配置和備份方式評估，而不是把租用伺服器視為憑證更新或 BitLocker 復原服務。
你可先在 OSFP Cloud 的伺服器方案頁面核對目前可用的 Proxmox 系統與硬體配置，再依實際 VM 清單規劃分批更新。無論採用哪種宿主機，憑證部署、BitLocker 金鑰保管與復原驗收仍應由你的維運流程負責。