Použití nastavení aktualizace certifikátu zabezpečeného spouštění pomocí cílení na základě modelu v Microsoft Intune

V tomto článku:

• Úvod

• Předpoklady

• Krok 1 – Konfigurace nastavení aktualizace certifikátu zabezpečeného spouštění v Intune (katalog nastavení)

• Krok 2 – Vytvoření filtru přiřazení pro cílení na základě modelu

• Krok 3 – Přiřazení zásady pomocí filtru přiřazení

• Nejčastější dotazy

• Zdroje informací

Úvod

Tyto doprovodné materiály pomáhají správcům IT povolit proces aktualizace certifikátu zabezpečeného spouštění pomocí zásad katalogu Microsoft Intune Nastavení. Popisuje, jak nakonfigurovat nastavení zabezpečeného spouštění, které umožňuje proces aktualizace certifikátu, a postup nasazení této konfigurace. Také ukazuje, jak používat filtry přiřazení založené namodelu k podpoře řízeného postupného zavádění na hardwaru, který už byl ověřen pro úspěšné zpracování aktualizace.

Předpoklady

Způsobilost k aktualizaci certifikátu zabezpečeného spouštění určuje partnerCSP zásad zabezpečeného  spouštění a firmware zařízení. Tento rozsah není vždy v souladu s časovými osami údržby Windows (tj. aktualizacemi) nebo Intune požadavky na registraci.

požadavky na Intune a zásady

• Přihlaste se pomocí účtu, který má oprávnění k vytváření filtrů a vytváření a přiřazování zásad katalogu Nastavení.

• Zařízení musí být zaregistrovaná v Intune (filtry přiřazení platí jenom pro spravovaná zařízení).

Požadavky na způsobilost zabezpečeného spouštění

• Seznam podporovaných verzí Windows je k dispozici v Microsoft Intune metodě zabezpečeného spouštění pro zařízení s Windows s aktualizacemi spravovanými IT.

• Zařízení musí mít povolené zabezpečené spouštění a měla by být v aktuální servisní aktualizaci.

Krok 1 – Konfigurace nastavení aktualizace certifikátu zabezpečeného spouštění v Intune (katalog nastavení)

V tomto kroku vytvoříte profil konfigurace zařízení v katalogu Nastavení systému Windows v Microsoft Intune. Nakonfigurujete také nastavení zabezpečeného spouštění, které povolí proces aktualizace certifikátu zabezpečeného spouštění.

Co vytvoříte

Konfigurační profil zařízení v katalogu nastavení systému Windows, který umožňuje povolit Aktualizace certifikátu zabezpečeného spouštění:

Vytvoření profilu katalogu Nastavení

1. Přihlaste se do Centra pro správu Microsoft Intune.

2. Přejděte na Zařízení > Spravovat zařízení > Konfigurace.

3. Vyberte Vytvořit > Nová zásada.

4. V části Vytvořit profil:

5. Platforma: Windows 10 a novější

6. Typ profilu: Katalog nastavení

7. Vyberte Vytvořit.

8. Pojmenujte profil (např. Aktualizace certifikátu zabezpečeného spouštění), přidejte volitelný popis a vyberte Další.

9. V nastavení konfigurace vyberte Přidat nastavení.

10. Ve výběru nastavení vyhledejte Zabezpečené spouštění a vyberte ho v části Procházet podle kategorie.

11. Přidejte do profilu nastavení Aktualizace Povolit certifikát zabezpečeného spouštění ze tří uvedených v kategorii Zabezpečené spouštění.

    Poznámka: Další nastavení zabezpečeného spouštění v této kategorii můžete nakonfigurovat stejným způsobem, pokud to váš scénář nasazení vyžaduje.

12. Nakonfigurujte hodnotu nastavení na Povoleno.

13. Vyberte Další a pokračujte k přiřazením. (Filtr použijete v kroku 3.)

Krok 2 – Vytvoření filtru přiřazení pro cílení na základě modelu

Dále vytvoříte filtr přiřazení Intune, který cílí na konkrétní modely zařízení. Cílení na základě modelu umožňuje nastavit rozsah aktualizací certifikátů zabezpečeného spouštění na vybrané hardwarové modely. Toto řízené a fázované nasazení nevyžaduje další Microsoft Entra ID skupiny.

Proč se pro nasazení certifikátů zabezpečeného spouštění doporučuje cílení na základě modelu

• Variabilita firmwaru – OEM implementují zabezpečené spouštění odlišně, takže rozsah na úrovni modelu snižuje neočekávané chování.

• Předchozí ověření – Aktualizace certifikátů u známé funkční hardwarové sady můžete ověřit před širším uvedením.

Co vytvoříte

Filtr přiřazení spravovaných zařízení , který cílí (nebo vylučuje) konkrétní modely zařízení.

Vytvoření filtru přiřazení

1. Přihlaste se do Centra pro správu Microsoft Intune.

2. Přejděte do části Správa tenanta > Filtry přiřazení > Vytvořit.

3. Vyberte Spravovaná zařízení.

4. V části Základy nastavte:

   • Název filtru (popisný)

   • Popis (volitelné, ale doporučené)

   • Platforma: Windows 10 a novější.

5. Vyberte Další.

6. V části Pravidla zvolte jeden přístup:

   • Tvůrce pravidel (doporučeno pro většinu správců)

   • Syntaxe pravidla (ruční úpravy výrazů)

Vytvoření pravidla založeného na modelu (tvůrce pravidel)

1. V Tvůrci pravidel vyberte vlastnost modelu .

2. Zvolte operátor.

3. Zadejte řetězce modelu, které chcete spárovat.

4. Vyberte Přidat výraz a přidejte ho do pravidla.

5. V případě potřeby můžete pomocí funkce And/Or rozšířit pravidlo na další modely nebo přidat další kritéria založená na dalších možných filtrovatelných vlastnostech.

Náhled a vytvoření filtru

1. Vyberte Náhled zařízení a potvrďte, která zaregistrovaná zařízení se shodují.

2. Vyberte Další.

3. (Volitelné) Pokud je používáte, přiřaďte značky oboru .

4. Vyberte Další.

5. V části Zkontrolovat a vytvořit vyberte Vytvořit.

Krok 3 – Přiřazení zásady pomocí filtru přiřazení

Nakonec přiřadíte profil katalogu Nastavení k zařízení nebo skupině uživatelů a použijete filtr přiřazení. To určuje, která zaregistrovaná zařízení při vyhodnocování zásad přijímají a zpracovávají nastavení aktualizace certifikátu zabezpečeného spouštění.

Co budete dělat

Přiřadíte profil katalogu Nastavení zabezpečeného spouštění z kroku 1 ke skupině a pak použijete filtr z kroku 2 v režimu Zahrnutí nebo vyloučení .

Použití filtru přiřazení

1. V Centru pro správu Microsoft Intune přejděte na Zařízení > Spravovat zařízení > Konfigurace.

2. Vyberte profil katalogu Nastavení, který jste vytvořili v kroku 1 výše.

3. Otevřete Vlastnosti > Přiřazení > Upravit.

4. Přiřaďte profil příslušné skupině uživatelů nebo skupině zařízení.

   Tip: Pokud nemáte žádná další kritéria pro omezení cílení, přiřaďte tuto zásadu virtuální skupině Všechna zařízení . K vymezení rozsahu přiřazení použijte filtr přiřazení modelu zařízení z kroku 2. Tato kombinace je dostatečná pro většinu nasazení. Virtuální skupina Všechna zařízení je integrovaná, nevyžaduje žádnou údržbu skupiny a je optimalizovaná pro škálování. Filtr přiřazení pak zužuje použitelnost při ohlášení zařízení na základě vlastností zařízení bez nutnosti dalších Microsoft Entra skupin.

5. Vyberte Upravit filtr.

6. Zvolte jednu z nich:

   • Zahrnout filtrovaná zařízení do přiřazení: Zásadu obdrží jenom zařízení, která odpovídají filtru.

   • Vyloučit filtrovaná zařízení v přiřazení: Zařízení, která odpovídají filtru, nedostanou zásadu.

7. V kroku 2 vyberte existující filtr přiřazení a zvolte Vybrat.

8. Vyberte Zkontrolovat a uložit > Uložit.

Vysvětlení chování zařízení

• Intune filtr vyhodnocuje při registraci zařízení, při každém přihlášení a při každém opětovném vyhodnocení přiřazené zásady.

• Povolení nastavení zabezpečeného spouštění nezaručuje okamžitou aplikaci certifikátu. V případě nastavení zabezpečeného spouštění, které aktivuje proces aktualizace, se úloha zabezpečeného spouštění Systému Windows spouští každých 12 hodin. Některé aktualizace můžou vyžadovat restartování.

Nejčastější dotazy

Zdroje informací

• Definice nastavení a povolené hodnoty: CSP zásad SecureBoot

• Tok katalogu nastavení a chování nastavení: Microsoft Intune metoda zabezpečeného spouštění pro zařízení s Windows s aktualizacemi spravovanými IT

• Pozadí a časové osy: Vypršení platnosti certifikátu zabezpečeného spouštění Windows a aktualizace certifikační autority

• Vytvoření, zobrazení náhledu a použití filtrů: Vytvoření filtrů přiřazení v Microsoft Intune

• Podporované vlastnosti, operátory a syntaxe: Odkaz na vlastnosti a operátory filtru přiřazení

• Doporučená možnost plánování a Intune celkového zavedení: Playbook zabezpečeného spouštění pro certifikáty, jejichž platnost vyprší v roce 2026

• Přístup založený pouze na monitorování a vytváření sestav Intune): Monitorování stavu certifikátu zabezpečeného spouštění s Microsoft Intune nápravami