Прилагане на настройки за актуализиране на сертификат за защитено стартиране с помощта на насочване, базирано на модел, в Microsoft Intune

Отнася се за
Windows 10 ESU Windows 10 Enterprise LTSC 2021 Windows 11 Home and Pro, version 21H2 Windows 11 Enterprise Multi-Session, version 21H2 Windows 11 Enterprise and Education, version 21H2 Windows 11 IoT Enterprise, version 21H2 Windows 11 Home and Pro, version 22H2 Windows 11 Enterprise Multi-Session, version 22H2 Windows 11 Enterprise and Education, version 22H2 Windows 11 IoT Enterprise, version 22H2 Windows 11 SE, version 23H2 Windows 11 Home and Pro, version 23H2 Windows 11 Enterprise and Education, version 23H2 Windows 11 Enterprise Multi-Session, version 23H2 Windows 11 SE, version 24H2 Windows 11 Enterprise and Education, version 24H2 Windows 11 Enterprise Multi-Session, version 24H2 Windows 11 Home and Pro, version 24H2 Windows 11 IoT Enterprise, version 24H2 Windows 11 version 25H2, all editions

Забележка

  • Първоначална дата на публикуване: 10 март 2026 г.
  • ИД на БЗ: 5084490

Тази статия има указания за

  • ИТ професионалисти и администратори на Intune, които управляват устройства с Windows, разполагат контроли за актуализиране на сертификата за защитено стартиране чрез правилата на каталога с настройки и наблюдават работните потоци за актуализиране.
  • Екипи, които трябва да насочат разполагания към конкретни модели на хардуер с помощта на филтри за присвояване.

В тази статия:

Въведение

Това ръководство помага на ИТ администраторите да активират процеса на актуализиране на сертификата за защитено стартиране чрез правилата за каталога с настройки на Microsoft Intune. Той описва как да конфигурирате настройката за защитено стартиране, която разрешава процеса на актуализиране на сертификата, и как да разположите тази конфигурация. Тя акцентира също така върху начина на използване на филтри за присвояване, базирани на модел , за поддръжка на контролирано, поетапно внедряване на хардуер, който вече е бил проверен за успешна обработка на актуализацията.

Задължителни компоненти

Отговаряне на условията за актуализиране на сертификата за защитено стартиране се определя от правилата за защитено стартиране, CSP и фърмуера на устройството. Този обхват не винаги съответства на изискванията за обслужване (т.е. актуализации) на Windows или изискванията за записване в Intune.

Intune и предварителни изисквания за правила

  • Влезте с акаунт, който има разрешения за създаване на филтри и за създаване/присвояване на правила за каталога с настройки.
  • Устройствата трябва да са записани в Intune (филтрите за присвояване важат само за управлявани устройства).

Предварителни изисквания за отговаряне на условията за защитено стартиране

Стъпка 1 – Конфигурирайте настройките за актуализиране на сертификата за защитено стартиране в Intune (каталог с настройки)

В тази стъпка създавате профил на конфигурация на устройство в каталога на настройките на Windows в Microsoft Intune. Можете също да конфигурирате настройките на защитеното стартиране, които разрешават процеса на актуализиране на сертификата за защитено стартиране.

Какво ще създадете

Профил за конфигурация на устройство от каталога на настройките на Windows, който разрешава разрешаването на Актуализации на сертификат за защитено стартиране:

Създаване на профил в каталога "Настройки"

  1. Влезте в центъра за администриране на Microsoft Intune.

  2. Отидете в "Устройства>", "Управление на конфигурацията на устройствата>".

  3. Изберете "Създаване на>нови правила".

  4. В "Създаване на профил":

  5. Платформа: Windows 10 и по-нова версия

  6. Тип профил: Каталог с настройки

  7. Изберете Създай.

  8. Дайте име на профила (например актуализация на сертификат за защитено стартиране), добавете незадължително описание и изберете "Напред".

  9. В "Настройки за конфигуриране" изберете "Добавяне на настройки".

  10. В избора на настройки потърсете защитено стартиране и го изберете под "Преглед по категория".

  11. Добавете настройката Разреши Актуализации на сертификат за защитено стартиране от трите представени в категорията "Защитено стартиране" към профила.

    Забележка

    Можете да конфигурирате другите настройки на защитеното стартиране в тази категория по същия начин, ако вашият сценарий на разполагане ги изисква.

  12. Конфигурирайте стойността на настройката на "Разрешено".

  13. Изберете "Напред ", за да продължите със задачите. (Ще приложите филтър в стъпка 3).

Стъпка 2 – Създайте филтър на задачата за насочване, базирано на модел

След това създавате филтър за възлагане на Intune, който е насочен към конкретни модели устройства. Насочването, базирано на модел, ви позволява да приложите актуализациите на сертификата за защитено стартиране към избрани хардуерни модели. Това контролирано и поетапно разполагане не изисква допълнителни групи на Microsoft Entra ID.

Защо се препоръчва насочване, базирано на модел, за внедряване на сертификат за защитено стартиране

  • Променливост на фърмуера – OEM прилагат защитеното стартиране по различен начин, така че обхващането на ниво модел намалява неочакваното поведение.
  • Предварителна проверка – можете да проверявате актуализациите на сертификата на хардуерен набор за известен добър преди широкото внедряване.

Какво ще създадете

Филтър за присвояване на управлявани устройства , който е насочен към (или изключва) конкретни модели устройства.

Създаване на филтъра на задачата

  1. Влезте в центъра за администриране на Microsoft Intune.

  2. Към "Администриране> на клиент"Филтри> за присвояванеСъздай.

  3. Изберете "Управлявани устройства".

  4. В "Основи" зададете:

    • Име на филтър (описателно).
    • Описание (незадължително, но препоръчително).
    • Платформа: Windows 10 и по-нова версия.

  5. Изберете Напред.

  6. В "Правила" изберете един подход:

    • Конструктор на правила (препоръчва се за повечето администратори)
    • Синтаксис на правило (ръчно редактиране на изрази)

Създаване на правило, базирано на модел (конструктор на правила)

  1. В конструктора на правила изберете свойството на модела.
  2. Изберете оператор.
  3. Въведете низовете на моделите, които искате да съвпадат.
  4. Изберете "Добавяне на израз", за да го добавите към правилото.
  5. Ако е необходимо, използвайте И/Или , за да разширите правилото до допълнителни модели или да добавите допълнителни критерии въз основа на други възможни свойства, които могат да се филтрират.

Съвет

Използвайте устройства за предварителен преглед, за да проверите дали филтърът съответства на желания набор. Списъкът за предварителен преглед поддържа търсене по име на устройството, версия на операционната система, модел на устройството и производител на устройството.

Визуализация и създаване на филтъра

  1. Изберете Визуализация на устройства , за да потвърдите кои от записаните устройства съвпадат.
  2. Изберете Напред.
  3. (По избор) Задайте етикети на обхвата , ако ги използвате.
  4. Изберете Напред.
  5. В "Преглед+създаване" изберете "Създаване".

Стъпка 3 – Задайте правилата, като използвате филтъра за присвояване

И накрая, присвоявате профила на каталога "Настройки" на устройство или група потребители и прилагате филтъра за присвояване. Това определя кои записани устройства получават и обработват настройките за актуализиране на сертификата за защитено стартиране по време на оценката на правилата.

Какво ще направите

Ще зададете профила в каталога "Настройки за защитено стартиране" от стъпка 1 към група, след което ще приложите филтъра от стъпка 2 в режим на включване или изключване .

Прилагане на филтъра на задачата

  1. В центъра за администриране на Microsoft Intune отидете на "Устройства>", "Управление на конфигурацията на устройствата>".

  2. Изберете профила на каталога "Настройки", който създадохте в стъпка 1 по-горе.

  3. Отворете "Свойства>", "Редактиране на присвоения>".

  4. Присвоете профила към съответната потребителска група или група устройства.

    Съвет

    Ако не разполагате с други критерии за ограничаване на целевото насочване, задайте тези правила към виртуалната група "Всички устройства ". Използвайте филтъра за присвояване на модел на устройство от стъпка 2, за да определите обхвата на задачата. Тази комбинация е достатъчна за повечето разполагания. Виртуалната група "Всички устройства " е вградена, не изисква групова поддръжка и е оптимизирана за мащабиране. След това филтърът за присвояване стеснява приложимостта при отбелязване на устройството въз основа на свойствата на устройството, без да изисква допълнителни групи на Microsoft Entra.

  5. Изберете Редактиране на филтър.

  6. Изберете една от следните:

    • Включване на филтрирани устройства в задачата: само устройствата, които съответстват на филтъра, получават правилата.
    • Изключване на филтрирани устройства в назначаването: устройства, които отговарят на филтъра, не получават правилата.

  7. Изберете вашия съществуващ филтър за възложена задача от стъпка 2 и изберете "Избере".

  8. Изберете Преглед + записване>Запиши.

Разбиране на поведението на устройството

  • Intune оценява филтъра, когато устройството се записва, всеки път, когато се вкарва и всеки път, когато присвоените правила се оценяват отново.
  • Разрешаването на настройката за защитено стартиране не гарантира незабавно прилагане на сертификата. За настройката за защитено стартиране, която задейства процеса на актуализиране, задачата за защитено стартиране на Windows се изпълнява на всеки 12 часа. Някои актуализации може да изискват рестартиране.

Често задавани въпроси

Колко често устройствата обработват настройката "Разрешаване на Актуализации на сертификати за защитено стартиране"?

Задачата за защитено стартиране на Windows, която обработва настройката, се изпълнява на всеки 12 часа.

Трябва ли да очаквам рестартиране?

Инициирането на актуализацията чрез Intune не води до рестартиране, въпреки че може да е необходимо рестартиране, за да завършите актуализацията.

Мога ли да анулирам или премахна новите сертификати, след като бъдат приложени?

След като сертификатите се приложат към фърмуера, Windows не може да ги премахне. Изчистването на сертификатите трябва да се извърши чрез интерфейса на фърмуера.

Защо трябва да направя това преди юни 2026 г.?

По-старите сертификати започват да изтичат през юни 2026 г. Устройства, които не са получили по-новите сертификати от 2023 г., ще загубят възможността да получават нови защити за сигурност при ранно стартиране (напр. база данни за защитено стартиране и актуализации за анулиране).

Ресурси