Забележка
- Първоначална дата на публикуване: 4 декември 2025 г.
- ИД на БЗ: 5073196
Тази статия има указания за:
- Организации, които имат собствен ИТ отдел, който управлява устройства с Windows и актуализации.
Забележка: Ако сте физическо лице, което притежава лично устройство с Windows, вижте статията Устройства с Windows за домашни потребители, фирми и учебни заведения с актуализации, управлявани от Microsoft.
Забележка
Наличност на тази поддръжка
- 11 ноември 2025 г.: За версиите на Windows 11 и Windows 10 все още се поддържат.
Регистър на промените
| Промяна на датата | Описание на промяната |
|---|---|
| 23 март 2026 г. | Актуализиран известен проблем с код за грешка на Microsoft Intune 65000. |
| 9 март 2026 г. | Премахнати са неподдържаните версии на Windows 10 от раздела "Важи за". |
| 4 март 2026 г. | Добавен е Windows 11, версия 25H2, към списъка "Важи за" |
| 4 февруари 2026 г. | Известен проблем е разрешен |
| 17 декември 2025 г. | Добавен е раздел "Известен проблем" |
В тази статия:
- Въведение
- Метод за конфигуриране на Microsoft Intune
- Описание на настройката
- Известни проблеми
- Ресурси
Въведение
Този документ описва поддръжката за разполагане, управление и наблюдение на актуализациите на сертификата за защитено стартиране с помощта на Microsoft Intune. Настройките се състоят от:
- Възможността за задействане на разполагане на устройство
- Настройка за включване/отписване от набори с висока достоверност
- Настройка за включване/отписване от управлението на актуализации от Microsoft
Метод за конфигуриране на Microsoft Intune
Този метод предлага настройка за защитено стартиране с помощта на Microsoft Intune, която домейновите администратори могат да задават за разполагане на актуализации на защитеното стартиране за всички клиенти на Windows, присъединени към домейн. Освен това две помощни действия за защитено стартиране могат да се управляват с настройки за включване/отписване.
В Microsoft Intune,
Под "Управление на устройства"> изберете "Конфигурация".
Изберете "Създаване и изберете Нови правила".
- Отидете на "Създаване на профил" в десния екран.
- Попълнете платформата с Windows 10 и по-нова версия.
Изберете каталога с настройки под типа профил.
Започнете да създавате профил, като дадете име на профила. В този пример използваме "Защитено зареждане" като име. Натиснете Напред.
Под "Настройки за конфигурация" изберете "Добавяне на настройки " и използвайте инструмента за избор на настройки, за да намерите настройките на "Защитено зареждане", като потърсите "Защитено зареждане". Би трябвало да видите три настройки в категорията "Защитено зареждане". Това са същите настройки, описани в актуализациите на ключове от системния регистър за защитено стартиране: устройства с Windows с актуализации, управлявани от информационни технологии, и метода на обектите с групови правила (GPO) за защитено стартиране за устройства с Windows с документи за актуализации, управлявани от информационни технологии.
Активиране на Актуализации на сертификати за защитено стартиране е избрано по подразбиране и разрешено.
Настройките за включване и изключване, описани по-долу, могат да бъдат конфигурирани така, че да отговарят на вашата среда и нужди на разполагане.
Завършете профила за устройствата, които ще използват тези настройки.
Описание на настройката
Конфигуриране на управлявано включване за Microsoft Update
Име на настройка на Microsoft Intune: Конфигуриране на управлявано включване за Microsoft Update
Описание:
Тези правила позволяват на предприятията да участват в контролирано внедряване на функция за актуализация на сертификат за защитено стартиране, управлявана от Microsoft.
- Разрешено: Microsoft помага при разполагането на сертификати на устройства, които са записани в внедряването.
- Дезактивирано (по подразбиране): Няма участие в контролирано внедряване.
Изисквания:
- Устройството трябва да изпрати необходимите диагностични данни на Microsoft. За подробности вж. Конфигуриране на диагностични данни на Windows във вашата организация – поверителност на Windows | Microsoft Learn.
- Отговаря на ключа от системния регистър MicrosoftUpdateManagedOptIn.
Конфигуриране на високонадеждно отписване
Microsoft Intune Име на настройка: Конфигуриране на Opt-Out с висока достоверност
Описание:
Тези правила контролират дали актуализациите на сертификата за защитено стартиране се прилагат автоматично чрез месечни актуализации на защитата и несвързани със защитата на Windows. Устройства, които Microsoft е проверил като способни да обработват променливи актуализации на защитеното стартиране, ще получат тези актуализации като част от кумулативни месечни актуализации и ще ги прилагат автоматично. Тъй като не всички комбинации от хардуер и фърмуер могат да бъдат изчерпателно проверени, Microsoft разчита на целенасочени данни за тестване и диагностика, за да определи готовността на устройството.
Само устройства с достатъчно диагностични данни могат да се разглеждат с висока достоверност; ако диагностичните данни не са налични за дадено устройство, те не могат да бъдат класифицирани с висока достоверност.
- Активирано: Автоматичното разполагане чрез месечни актуализации е блокирано.
- Дезактивирано (по подразбиране): Устройства, които са потвърдили своите резултати от актуализацията, автоматично ще получават актуализации на сертификати като част от месечните актуализации.
Бележки:
- Потвърждава се, че целевите устройства обработват актуализациите успешно.
- Конфигурирайте тези правила, за да управлявате автоматичното разполагане чрез месечни актуализации.
- Съответства на ключа от системния регистър HighConfidenceOptOut.
Разрешаване на Актуализации на сертификат за защитено стартиране
Име на настройка на Microsoft Intune: Разрешаване на Актуализации на сертификат за защитено стартиране
Описание:
Тези правила контролират дали Windows инициира процеса на внедряване на сертификата за защитено стартиране на устройствата.
- Разрешено: Windows автоматично започва да разполага актуализирани сертификати за защитено стартиране.
- Дезактивирано (по подразбиране): Windows не разполага сертификати автоматично.
Бележки:
- Задачата, която обработва тази настройка, се изпълнява на всеки 12 часа. Някои актуализации може да изискват рестартиране, за да завършат безопасно.
- След като сертификатите са приложени към фърмуера, те не могат да бъдат премахнати от Windows. Изчистването на сертификатите трябва да се извърши чрез интерфейса на фърмуера.
- Съответства на ключа от системния регистър AvailableUpdates.
Известни проблеми
Код на грешка на Microsoft Intune 65000 на Pro издания на Windows
Симптоми
Настройките за конфигуриране на защитено стартиране, разположени чрез Управление на устройства за мобилни устройства (MDM) на Microsoft Intune, в момента са блокирани на Pro издания на Windows 10 и Windows 11.
- Опитите за прилагане на тези правила водят до код на грешка на Microsoft Intune 65000.
- Регистрационните файлове на събитията може да записват POLICYMANAGER_E_AREAPOLICY_NOTAPPLICABLEINEDITION, което показва, че функцията не е налична в това издание.
Решение
Услугата за лицензиране на Microsoft Intune беше актуализирана на 27 януари 2026 г., за да позволи внедряване на конфигурационни настройки за защитено стартиране в Pro издания на Windows 10 и Windows 11.
Забележка
Код на грешка на Microsoft Intune 65000 все още може да се появява на Pro издания на Windows 11, версия 23H2. Решение на този проблем е планирано да бъде публикувано в бъдеща актуализация на Windows.
Устройства, които са получили лиценза си за Microsoft Intune преди тази дата, ще трябва да подновят лиценза си, за да разрешат този проблем. Лицензите се подновяват автоматично всеки месец, така че този проблем ще бъде разрешен за устройства до 27 февруари 2026 г. (с изключение на някои устройства с Windows 11, версия 23H2, както е отбелязано по-горе). За да подновите лиценза на устройството си ръчно, изпълнете следните команди от името на потребителя (в контекста на потребителя):
- ClipDLS.exe removesubscription
- ClipRenew.exe
Ресурси
Вижте също Актуализации на ключове от системния регистър за защитено стартиране: устройства с Windows с актуализации, управлявани от информационни технологии , за подробности относно ключовете от системния регистър UEFICA2023Status и UEFICA2023Error за наблюдение на резултатите за устройствата.
Вижте събития за актуализиране на база данни за защитено стартиране и DBX променливи за събития, които са полезни за разбирането на състоянието на устройствата, атрибутите на устройствата и ИД на набора устройства. Обърнете специално внимание на събитията от 1801 г. и 1808 г., описани на страницата със събития.