Актуализации на сертификата за защитено стартиране: указания за професионалисти и организации в областта на информационните технологии

Отнася се за
Windows 10 Windows 10, version 1607, all editions Win 10 Ent LTSC 2019 Win 10 IoT Ent LTSC 2019 Windows 10 IoT Core LTSC Windows 10 Enterprise LTSC 2021 Windows 10 IoT Enterprise LTSC 2021 Windows 10, version 22H2, all editions Windows 11 Home and Pro, version 21H2 Windows 11 Enterprise Multi-Session, version 21H2 Windows 11 Enterprise and Education, version 21H2 Windows 11 IoT Enterprise, version 21H2 Windows 11 Home and Pro, version 22H2 Windows 11 Enterprise Multi-Session, version 22H2 Windows 11 Enterprise and Education, version 22H2 Windows 11 IoT Enterprise, version 22H2 Windows 11 SE, version 23H2 Windows 11 Home and Pro, version 23H2 Windows 11 Enterprise and Education, version 23H2 Windows 11 Enterprise Multi-Session, version 23H2 Windows 11 SE, version 24H2 Windows 11 Enterprise and Education, version 24H2 Windows 11 Enterprise Multi-Session, version 24H2 Windows 11 Home and Pro, version 24H2 Windows 11 IoT Enterprise, version 24H2 Windows Server 2012 ESU Windows Server 2012 R2 ESU Windows Server 2016 Windows Server 2019 Windows Server 2022 Windows Server 2025

Забележка

  • Първоначална дата на публикуване: 26 юни 2025 г.
  • ИД на БЗ: 5062713

Забележка

Регистър на промените
Промяна на датата Описание на промяната
5 май 2026 г.
30 март 2026 г.
  • Разрешен е известният проблем "Актуализациите на сертификата за защитено стартиране може да са неуспешни с ИД на събитие 1795 на виртуални машини на Hyper-V"
24 март 2026 г.
  • Актуализиран е известният проблем "Актуализациите на сертификата за защитено стартиране може да са неуспешни с ИД на събитие 1795 на виртуални машини на Hyper-V"
16 март 2026 г.
  • Премахната е секцията "Примерни данни за надеждност" под "Примерен скрипт за събиране на данни за наличности за защитено стартиране", тъй като е остарял.
3 март 2026 г.
  • Преформатирахме примерния резултат под раздела "Подготовка", така че да остане в кутията.
24 февруари 2026 г.
  • Актуализирано съдържание за "Примерен скрипт за събиране на данни за инвентар за защитено стартиране" в раздел " Подготовка".
  • Добавен е нов раздел "Пробен изход" в раздел "Подготовка".
23 февруари 2026 г.
  • Актуализирано съдържание за "Примерен скрипт за събиране на данни за инвентар за защитено стартиране" в раздел " Подготовка".
13 февруари 2026 г.
  • Добавени са елементите "Примерни данни за доверие" към раздела " Подготовка".
  • Премахнат е "сценарий за събиране на данни за чакащи събития 1801 и 1808 г." от раздела "Подготовка", тъй като той вече не е необходим.
3 февруари 2026 г.
  • Преместени и преформатирани често срещани проблеми в раздела за отстраняване на неизправности.
  • Добавен нов често срещан проблем: "Актуализациите на сертификата за защитено стартиране може да са неуспешни с ИД на събитие 1795 на виртуални машини на Hyper-V".
26 януари 2026 г.
  • Актуализиран е текстът под "Помощ за автоматично разполагане" от " И двете помощници изискват диагностични данни." на " Само контролираната помощ за внедряване на функции изисква диагностични данни.
11 ноември 2025 г. Коригирани са две правописни грешки под "Поддръжка за внедряване на сертификат за защитено стартиране".
  • 0x0800 - Името на сертификата е променено от "Microsoft UEFI CA 2023" на "Microsoft Option ROM UEFI CA 2023".
  • 0x1000 – Променено "Microsoft Option ROM CA 2023" на "Microsoft UEFI CA 2023".
10 ноември 2025 г.
  • Коригирани са две правописни грешки под "Нов сертификат": от " Microsoft Corporation KEK CA 2023" на " Microsoft Corporation KEK 2K CA 2023" и от " Microsoft Option ROM CA 2023" на " Microsoft Option ROM UEFI CA 2023".
  • Нови скриптове на PowerShell бяха добавени под заглавките "Проверка на състоянието на защитено стартиране във вашата автопарка: Защитеното стартиране разрешено ли е?" и "Подготовка".

В тази статия:

Общ преглед

Тази статия е предназначена за организации с отдадени ИТ специалисти, които активно управляват актуализациите в целия си парк от устройства. По-голямата част от тази статия ще се фокусира върху дейностите, които са необходими, за да може ИТ отделът на организацията да бъде успешен в разполагането на новите сертификати за защитено стартиране. Тези дейности включват тестване на фърмуера, наблюдение на актуализациите на устройствата, иницииране на разполагане и диагностициране на проблеми, когато възникнат. Представени са няколко метода за разполагане и наблюдение. В допълнение към тези основни дейности предлагаме няколко помощни средства за внедряване, включително опцията за записване на клиентски устройства за участие в контролирано внедряване на функции (CFR) специално за внедряване на сертификат.

Тактически наръчник за разполагане за ИТ специалисти

Планирайте и изпълнявайте актуализации на сертификата за защитено стартиране в цялата си група устройства чрез подготовка, наблюдение, разполагане и отстраняване на грешки.

Проверка на състоянието на защитено стартиране във вашата автопарка: Защитеното зареждане разрешено ли е?

Повечето устройства, произведени след 2012 г., поддържат защитено зареждане и се доставят с разрешено защитено зареждане. За да проверите дали дадено устройство е с разрешено защитено зареждане, направете едно от следните неща:

  • Метод с GUI: Отидете в "Старт>",> "Настройки", "Поверителност" & "Защита>Защита в Windows>защита на устройството". Под "Защита на устройството" секцията " Защитено стартиране " трябва да показва, че защитеното стартиране е включено.
  • Метод на командния ред: В команден прозорец с администраторски права в PowerShell въведете Confirm-SecureBootUEFI и след това натиснете Enter. Командата трябва да връща True , което означава, че защитеното стартиране е включено.

При широкомащабни разполагания за автопарк от устройства софтуерът за управление, използван от ИТ специалистите, ще трябва да предоставя проверка за разрешаване на защитеното стартиране.

Например методът за проверка на състоянието на защитено стартиране на устройства, управлявани от Microsoft Intune, е да създадете и разположите скрипт за съответствие по избор на Intune. Настройките за съответствие на Intune са включени в Използване на настройки за съответствие по избор за устройства с Linux и Windows с Microsoft Intune.

Забележка

  • Примерен скрипт на Powershell за проверка дали защитеното стартиране е разрешено:
  • # Initialize result object in preparation for checking Secure Boot state 
  • $result = [PSCustomObject]@{ 
  •    SecureBootEnabled = $null 
  • } 
  • try { 
  •    $result.SecureBootEnabled = Confirm-SecureBootUEFI -ErrorAction Stop 
  •    Write-Verbose "Secure Boot enabled: $($result.SecureBootEnabled)" 
  • } catch { 
  •    $result.SecureBootEnabled = $null 
  •    Write-Warning "Unable to determine Secure Boot status: $_" 
  • } 

Ако защитеното зареждане не е разрешено, можете да пропуснете стъпките за актуализиране по-долу, тъй като те не са приложими.

Как се внедряват актуализациите

Има няколко начина за насочване към устройства за актуализации на сертификати за защитено стартиране. Подробностите за разполагането, включително настройки и събития, ще бъдат обсъдени по-нататък в този документ. Когато насочвате към дадено устройство актуализации, в него се прави настройка, която показва, че то трябва да започне процеса на прилагане на новите сертификати. Планирана задача се изпълнява на устройството на всеки 12 часа и открива, че устройството е било обект на актуализации. Структура на това, което прави задачата, е следната:

  1. Windows UEFI CA 2023 се прилага към базата данни.
  2. Ако устройството има Microsoft Corporation UEFI CA 2011 в базата данни, тогава задачата прилага Microsoft Option ROM UEFI CA 2023 и Microsoft UEFI CA 2023 към базата данни.
  3. След това задачата добавя Microsoft Corporation KEK 2K CA 2023.
  4. Накрая планираната задача актуализира диспечера за зареждане на Windows до този, подписан от Windows UEFI CA 2023. Windows ще открие, че е необходимо рестартиране, преди диспечерът за зареждане да може да бъде приложен. Актуализацията на диспечера за зареждане ще бъде отложена, докато рестартирането не се случи естествено (например когато се приложат месечните актуализации), след което Windows отново ще се опита да приложи актуализацията на диспечера за зареждане.

Всяка от стъпките по-горе трябва да бъде завършена успешно, преди планираната задача да премине към следващата стъпка. По време на този процес ще бъдат налични регистрите на събитията и други състояния, за да се помогне при наблюдението на разполагането. Повече подробности за наблюдението и регистрите на събитията са дадени по-долу.

Актуализирането на сертификатите за защитено стартиране позволява бъдеща актуализация на диспечера за зареждане за 2023 г., който е по-защитен. Конкретни актуализации за диспечера за зареждане ще има в бъдещите издания.

Стъпки за разполагане

  • Подготовка: Инвентаризация и тестови устройства.
  • Съображения за фърмуера
  • Мониторинг: Проверете работата по наблюдение и базово ниво на вашия автопарк.
  • Внедряване: Целеви устройства за актуализации, започвайки с малки подмножества и разширявайки се въз основа на успешни тестове.
  • Отстраняване на грешки: Проучете и отстранете всички проблеми с помощта на регистрационни файлове и поддръжка от доставчици.

Подготовка

Хардуер и фърмуер за наличности. Съставете представителна извадка от устройства, базирана на производителя на системата, модела на системата, версията/датата на BIOS, версията на продукта от основната платка и т.н. и тествайте актуализации на тези устройства преди широко внедряване.  Тези параметри са общодостъпни в системната информация (MSINFO32). Използвайте включените примерни команди на PowerShell, за да проверявате за състоянието на актуализация на защитеното стартиране и за инвентаризация на устройствата във вашата организация.

Забележка

  • Тези команди се прилагат, ако състоянието на защитено стартиране е разрешено.
  • Много от тези команди се нуждаят от администраторски права, за да работят.

Примерен скрипт за събиране на данни за наличности за защитено стартиране

Копирайте и поставете този примерен скрипт и го променете, ако е необходимо за вашата среда: Примерният скрипт за събиране на данни за инвентар за защитено стартиране.

Забележка

  • Примерен резултат:
  • {"UEFICA2023Status":"Updated","UEFICA2023Error":null,"UEFICA2023ErrorEvent":null,
    "AvailableUpdates":"0x0","AvailableUpdatesPolicy":null,"Hostname":"LAPTOP-FEDU3LOS",
    "CollectionTime":"2026-02-23T08:40:36.5498322-08:00","SecureBootEnabled":true,
    "HighConfidenceOptOut":null,"MicrosoftUpdateManagedOptIn":null,"OEMManufacturerName":
    "Microsoft Corporation","OEMModelSystemFamily":"Surface","OEMModelNumber":
    "Surface Laptop 4","FirmwareVersion":32.101.143","FirmwareReleaseDate":"11/03/2025",
    "OSArchitecture":"AMD64","CanAttemptUpdateAfter":"2026-02-20T16:11:15.5890000Z","LatestEventId":
    1808,"BucketId":"04b339674931caf378feadaa64c64f0613227f70a7cd7258be63bb9e2d81767f",
    "Confidence":"UpdateType:Windows UEFI CA 2023 (DB), Option ROM CA 2023 (DB),
    3P UEFI CA 2023 (DB), KEK 2023, Boot Manager (2023)","SkipReasonKnownIssue":null,
    "Event1801Count":0,"Event1808Count":5,"Event1795Count":0,"Event1795ErrorCode":null,
    "Event1796Count":0,"Event1796ErrorCode":null,"Event1800Count":0,"RebootPending":false,
    "Event1802Count":0,"KnownIssueId":null,"Event1803Count":0,"MissingKEK":false,"OSVersion":
    "10.0.26200","LastBootTime":"2026-02-19T04:28:00.5000000-08:00","BaseBoardManufacturer":
    "Microsoft Corporation","BaseBoardProduct":"Surface Laptop 4","SecureBootTaskEnabled":true,
    "SecureBootTaskStatus":"Ready","WinCSKeyApplied":true,"WinCSKeyStatus":"Applied"}

Нива на надеждност на защитеното стартиране

Доверително ниво Значение Изисква се действие
Висока достоверност Microsoft потвърди, че този клас устройства е безопасен за актуализации Безопасно разполагане на актуализации на сертификати
Под наблюдение - необходими са повече данни Microsoft все още събира диагностични данни за внедряване на защитено стартиране за тези устройства Изчакайте класификация от Microsoft
Няма наблюдавани данни – изисква се действие Класът на устройството не е известен на Microsoft Enterprise трябва да тества и да планира внедряването
Временно поставена на пауза Известни проблеми със съвместимостта Проверка за актуализация на OEM BIOS; Изчакайте Microsoft да разреши проблема
Не се поддържа – известно ограничение Ограничения за платформи или хардуери Документът като изключение

Първата стъпка, ако защитеното стартиране е разрешено, е да проверите дали има чакащи събития, които наскоро са актуализирани, или са в процес на актуализиране на сертификатите за защитено стартиране. От особен интерес представляват най-новите събития от 1801 и 1808 година. Тези събития са описани подробно в събитията за актуализиране на база данни за защитено стартиране и променливи DBX. Също така проверете в раздела "Мониторинг и разполагане" как събитията могат да показват състоянието на чакащите актуализации.

Следващата стъпка е да направите опис на устройствата във вашата организация. С командите на PowerShell съберете следните подробности, за да съставите представителна извадка:

Забележка

  • Основни идентификатори (2 стойности)
  • 1. HostName – $env: COMPUTERNAME
  • 2. CollectionTime - Get-Date
  • Системен регистър: Главен ключ за защитено стартиране (3 стойности)
  • 3. SecureBootEnabled – Confirm-SecureBootUEFI кратка команда или HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot
  • 4. HighConfidenceOptOut – HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot
  • 5. НаличниАктуализации – HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot
  • Системен регистър: Сервизен ключ (3 стойности)
  • 6. UEFICA2023Status -HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing
  • 7. WindowsUEFICA2023Capable – HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing
  • 8. UEFICA2023Error – HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing
  • Системен регистър: Атрибути на устройството (7 стойности)
  • 9. OEMManufacturerName - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\DeviceAttributes
  • 10. OEMModelSystemFamily – HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\DeviceAttributes
  • 11. OEMModelNumber – HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\DeviceAttributes
  • 12. Версия на фърмуера – HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\DeviceAttributes
  • 13. FirmwareReleaseDate – HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\DeviceAttributes
  • 14. OSArchitecture - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\DeviceAttributes
  • 15. CanAttemptUpdateAfter – HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\DeviceAttributes
  • Регистър на събитията: Системен регистрационен файл (5 стойности)
  • 16. LatestEventId – Последното събитие за защитено стартиране
  • 17. BucketID – извлечен от събитие 1801/1808
  • 18. Confidence - извлечен от събитие 1801/1808
  • 19. Event1801Count – брой на събитията
  • 20. Event1808Count – брой на събитията
  • WMI/CIM заявки (4 стойности)
  • 21. OSVersion - Get-CimInstance Win32_OperatingSystem
  • 22. LastBootTime – Get-CimInstance Win32_OperatingSystem
  • 23. BaseBoardManufacturer – Get-CimInstance Win32_BaseBoard
  • 24. BaseBoardProduct - Get-CimInstance Win32_BaseBoard
  •      25. (Get-CIMInstance Win32_ComputerSystem). Производител
  •      26. (Get-CIMInstance Win32_ComputerSystem). модел
  •     27. (Get-CIMInstance Win32_BIOS). Description + ", " + (Get-CIMInstance Win32_BIOS). ReleaseDate.ToString("MM/dd/yyyy")
  •     28. (Get-CIMInstance Win32_BaseBoard). Продукт

Съображения за фърмуера

Разполагането на новите сертификати за защитено стартиране на вашия автопарк от устройства изисква фърмуерът на устройството да играе роля за завършването на актуализацията. Въпреки че Microsoft очаква, че по-голямата част от фърмуера на устройството ще работи според очакванията, е необходимо внимателно тестване, преди да разположите новите сертификати.

Прегледайте вашия хардуерен инвентар и създайте малка, представителна извадка от устройства въз основа на следните уникални критерии, като например:

  • Производител
  • Номер на модела
  • Версия на фърмуера
  • OEM версия на базовата платка и др.

Преди да разположите широко за устройства във вашия автопарк, препоръчваме ви да тествате актуализациите на сертификата на представителни примерни устройства (както е определено от фактори като производител, модел, версия на фърмуера), за да сте сигурни, че актуализациите са обработени успешно. Препоръчителните указания за броя на примерните устройства, които да се тестват за всяка уникална категория, е 4 или повече.

Това ще помогне за изграждането на доверие в процеса на разполагане и ще помогне да се избегнат неочаквани въздействия върху по-широкия ви автопарк.

В някои случаи може да е необходима актуализация на фърмуера за успешно актуализиране на сертификатите за защитено стартиране. В тези случаи препоръчваме да се консултирате с OEM на вашето устройство, за да проверите дали е наличен актуализиран фърмуер.

Windows във виртуализирани среди

За Windows, който се изпълнява във виртуална среда, има два метода за добавяне на новите сертификати към променливите на фърмуера на защитеното стартиране:

  • Създателят на виртуалната среда (AWS, Azure, Hyper-V, VMware и др.) може да предостави актуализация за средата и да включи новите сертификати във виртуализирания фърмуер. Това би свършило работа за нови виртуализирани устройства.
  • За Windows, който работи дългосрочно във VM, актуализациите могат да се прилагат чрез Windows като всички други устройства, ако виртуализираният фърмуер поддържа актуализации на защитеното стартиране.

Мониторинг и разполагане

Препоръчваме ви да започнете наблюдението на устройството преди внедряването, за да се уверите, че мониторингът работи правилно и предварително имате добра представа за състоянието на автопарка. Опциите за наблюдение са разгледани по-долу.

Microsoft предоставя няколко метода за разполагане и наблюдение на актуализациите на сертификата за защитено стартиране.

Помощ за автоматизираното разполагане

Microsoft предоставя две помощни средства при разполагане. Тези помощни средства могат да се окажат полезни за подпомагане на разполагането на новите сертификати във вашия автопарк. Само помощта за контролирано внедряване на функции изисква диагностични данни.

  • Опция за кумулативни актуализации с доверителни набори: Microsoft може автоматично да включва групи устройства с висока вероятност в месечните актуализации на базата на диагностични данни, споделени към днешна дата, в полза на системи и организации, които не могат да споделят диагностични данни. Тази стъпка не изисква разрешаването на диагностичните данни.

    • За организации и системи, които могат да споделят диагностични данни, това дава на Microsoft видимостта и увереността, че устройствата могат успешно да разположат сертификатите. Повече информация за разрешаването на диагностичните данни е налична в: Конфигуриране на диагностични данни на Windows във вашата организация. Ние създаваме "набори" за всяко уникално устройство (както е определено от атрибути, които включват производител, версия на дънната платка, производител на фърмуера, версия на фърмуера и допълнителни точки за данни). За всеки набор наблюдаваме доказателствата за успех на няколко устройства. След като видим достатъчно успешни актуализации и без грешки, ще считаме набора "с висока достоверност" и ще включим тези данни в месечните кумулативни актуализации. Когато месечните актуализации се прилагат към устройство с висока достоверност, Windows автоматично ще приложи сертификатите към променливите на защитеното стартиране на UEFI във фърмуера.
    • Наборите с висока достоверност включват устройства, които обработват актуализациите правилно. Естествено, не всички устройства предоставят диагностични данни и това може да ограничи доверието на Microsoft в способността на устройството да обработва актуализациите правилно.
    • Тази помощ е разрешена по подразбиране за устройства с висока достоверност и може да бъде забранена с настройка, специфична за устройството. Повече информация ще бъде споделена в бъдещите издания на Windows.

  • Контролирано внедряване на функции (CFR): Запишете се за устройства, управлявани от Microsoft, ако диагностичните данни са разрешени.

    • Controlled Feature Rollout (CFR) може да се използва с клиентски устройства в организационни флотилии. Това изисква устройствата да изпращат задължителни диагностични данни до Microsoft и да са сигнализирали, че устройството се включва за разрешаване на CFR на устройството. Подробните данни за това как да се включите са описани по-долу.

    • Microsoft ще управлява процеса на актуализиране за тези нови сертификати на устройства с Windows, където са налични диагностични данни и устройствата участват в контролирано внедряване на функции (CFR). Въпреки че CFR може да помогне при внедряването на новите сертификати, организациите няма да могат да разчитат на CFR за възстановяване на своите автопаркове – това ще изисква следване на стъпките, описани в този документ в раздела за методите за внедряване, които не са обхванати от автоматизирани помощни средства.

    • Ограничения: Има няколко причини, поради които CFR може да не работи във вашата среда. Например:

      • Не са налични диагностични данни или диагностичните данни не могат да се използват като част от внедряването на CFR.
      • Устройствата не са на поддържани клиентски версии на Windows 11 и Windows 10 с разширени актуализации на защитата (ESU).

Методи на разполагане, които не са обхванати от автоматизирани помощни средства

Изберете метода, който отговаря на вашата среда. Избягвайте методите на смесване на едно и също устройство:

  • Ключове от системния регистър: управление на разполагането и наблюдение на резултатите.
    Има множество ключове от системния регистър за управление на поведението при разполагането на сертификатите и за наблюдение на резултатите. Освен това има два ключа за включване и отписване на помощните средства за разполагане, описани по-горе. За повече информация относно ключовете от системния регистър вж. Актуализации на ключове от системния регистър за защитено стартиране – устройства с Windows с актуализации, управлявани от информационни технологии.

  • Обекти с групови правила (GPO): Управление на настройките; наблюдение чрез системния регистър и регистрационните файлове на събитията.
    Microsoft ще предоставя поддръжка за управление на актуализациите на защитеното стартиране с помощта на групови правила в бъдеща актуализация. Имайте предвид, че тъй като групови правила са за настройки, наблюдението на състоянието на устройството ще трябва да се извършва с помощта на алтернативни методи, включително наблюдение на ключовете от системния регистър и записите в регистъра на събитията.

  • WinCS (Windows Configuration System) CLI: Използвайте инструменти за командния ред за клиенти, присъединени към домейн.
    Домейновите администратори могат също така да използват системата за конфигуриране на Windows (WinCS), включена в актуализациите за операционната система Windows, за да разположат актуализациите на защитеното стартиране в присъединени към домейна клиенти и сървъри на Windows. Тя се състои от поредица от помощни програми за командния ред (както традиционен изпълним файл, така и модул на PowerShell) за заявка и прилагане на конфигурации на защитеното стартиране локално към компютър. За повече информация вж. следните статии:

  • Microsoft Intune/Configuration Manager: Разполагане на скриптове на PowerShell. Доставчик на услуги за конфигурация (CSP) ще бъде предоставен в бъдеща актуализация, за да позволи разполагане с помощта на Intune.

Наблюдение на регистрите на събитията

Предоставят се две нови събития, които да помогнат при разполагането на актуализациите на сертификата за защитено стартиране. Тези събития са описани подробно в събитията за актуализиране на променливи DB за защитено стартиране и DBX:

  • Идентификатор на събитие: 1801
    Това събитие е събитие за грешка, което показва, че актуализираните сертификати не са приложени към устройството. Това събитие предоставя някои специфични за устройството данни, включително атрибутите на устройството, които ще ви помогнат да съпоставите кои устройства все още се нуждаят от актуализиране.
  • Идентификатор на събитие: 1808
    Това събитие е информационно събитие, което показва, че устройството има необходимите нови сертификати за защитено стартиране, приложени към фърмуера на устройството.

Стратегии за разполагане

За да намалите риска, разполагайте актуализациите на защитеното стартиране на етапи, а не наведнъж. Започнете с малък поднабор от устройства, проверете резултатите и след това разширете до допълнителни групи. Предлагаме ви да започнете с подмножества от устройства и когато придобиете доверие в тези разполагания, да добавите допълнителни подмножества от устройства. Могат да се използват множество фактори, за да се определи какво влиза в подмножество, включително резултати от тестове на примерни устройства, организационна структура и т.н.

Решението кои устройства да разположите зависи от вас. Някои възможни стратегии са изброени тук.

  • Голям парк от устройства: започнете, като разчитате на помощите, описани по-горе, за най-често срещаните устройства, които управлявате. Успоредно с това се фокусирайте върху по-рядко срещаните устройства, управлявани от вашата организация. Тествайте малки примерни устройства и, ако тестването е успешно, разположете в останалите устройства от същия тип. Ако тестването създаде проблеми, проучете причината за проблема и определете стъпките за отстраняване. Можете също така да помислите за класове устройства, които имат по-висока стойност във вашия автопарк, и да започнете тестването и внедряването, за да се уверите, че тези устройства имат актуализирана защита на ранен етап.
  • Малък флот, голямо разнообразие: Ако автопаркът, който управлявате, съдържа голямо разнообразие от машини, при които тестването на отделни устройства би било непосилно, помислете за това да разчитате в голяма степен на двете помощни средства, описани по-горе, особено за устройства, които вероятно са често срещани устройства на пазара. Първоначално се фокусирайте върху устройства, които са критични за ежедневната работа, тествайте и след това внедрете. Продължете да се придвижвате надолу в списъка с устройства с висок приоритет, тестване и разполагане, докато наблюдавате автопарка, за да потвърдите, че помощните средства помагат за останалата част от устройствата.

Забележки

  • Обърнете внимание на по-старите устройства, особено на устройствата, които вече не се поддържат от производителя. Въпреки че фърмуерът трябва да извърши операциите за актуализиране правилно, някои може да не го направят. В случаите, когато фърмуерът не работи правилно и устройството вече не се поддържа, помислете за подмяна на устройството, за да осигурите защита на защитеното зареждане в целия си автопарк.
  • Новите устройства, произведени през последните 1 – 2 години, може вече да имат актуализирани сертификати, но може да нямат приложен към системата подписан от Windows UEFI CA 2023 диспечер за зареждане. Прилагането на този диспечер за зареждане е критична последна стъпка в разполагането за всяко устройство.
  • След като устройството бъде избрано за актуализации, може да измине известно време, преди актуализациите да са завършени. Оценете 48 часа и един или повече рестартирания, за да се приложат сертификатите.

Често задавани въпроси (ЧЗВ)

За често задавани въпроси, вижте статията в ЧЗВ за защитеното стартиране .

Отстраняване на неизправности

Вижте документа за отстраняване на неизправности за повече подробности.

Допълнителни ресурси

Съвет

Отбележете с показалец тези допълнителни ресурси.