Ukázka průvodce službou Secure Boot E2E Automation

Zásady skupiny AvailableUpdatesPolicy

Toto je klíč řízený objektem zásad skupiny nebo ADMX, který:

• Zachová se napříč restartováními.

• Nastavuje se pomocí Zásady skupiny / MDM.

• Nezpůsobí smyčky opakování (vymaže se přes ClearRolloutFlags).

• Je správný klíč pro nasazení řízené zásadami?

Referenční informace: metoda Zásady skupiny Objects (GPO) zabezpečeného spouštění pro zařízení s Windows s aktualizacemi spravovanými IT

zpět na "Referenční dokumentace nastavení Aktualizace certifikátu" 

WinCSFlags – Systémové příznaky konfigurace Windows

Správci domény můžou alternativně použít systém Windows Configuration System (WinCS) vydaný s aktualizacemi operačního systému Windows k nasazení aktualizací zabezpečeného spouštění na klienty a servery Windows připojené k doméně. Skládá se z nástroje rozhraní příkazového řádku (CLI) pro dotazování a místní použití konfigurací zabezpečeného spouštění na počítač.

Referenční informace: Rozhraní API systému Windows Configuration System (WinCS) pro zabezpečené spouštění

zpět na "Referenční dokumentace nastavení Aktualizace certifikátu"

Zpět na začátek

Skripty potřebné pro fázi 1

Ukázkové skripty shromažďování dat inventáře zabezpečeného spouštění

zpět na "Fáze 1: Detekce a monitorování stavu na podnikové úrovni"

Místní testování

Před nasazením prostřednictvím objektu zásad zásad zabezpečení otestujte skript kolekce na jednom počítači a ověřte funkčnost. 

• Místní spuštění skriptu
  
  kolekce Otevřete příkazOvý řádek PowerShellu se zvýšenými oprávněními a spusťte:

  & .\Detect-SecureBootCertUpdateStatus.ps1 -OutputPath "C:\Temp\SecureBootTest" 

• Ověření výstupu JSON

  
  # View the collected data  Get-Content "C:\Temp\SecureBootTest\*_latest.json" | ConvertFrom-Json | Format-List

  Klíčová pole k ověření  
  • SecureBootEnabled – hodnota True nebo False
  • OverallStatus – Complete, ReadyForUpdate, NeedsData nebo Error
  • BucketHash – kbelík zařízení pro porovnávání
  dat spolehlivosti • SecureBootTaskEnabled – zobrazuje stav úlohy aktualizace zabezpečeného spouštění.

• Test agregačního skriptu

  
  # Generate reports from collected data  & .\Aggregate-SecureBootCertStatus.ps1" '
      -InputPath "C:\Temp\SecureBootTest" '
      -OutputPath "C:\Temp\SecureBootReports"
  
  # Otevření řídicího panelu HTML   

  Start-Process "C:\Temp\SecureBootReports\SecureBoot_Dashboard_*.html"

zpět na "Fáze 1: Detekce a monitorování stavu na podnikové úrovni" 

Nastavení sdílené síťové složky

• Vytvoření sdílené síťové složky
  
  Na souborovém serveru vytvořte vyhrazenou sdílenou složku pro data shromažďování:

  
  # Run on file server as Administrator  $SharePath = "D:\SecureBootCollection"
  $ShareName = "SecureBootData$"
  
  # Vytvořit složku
  New-Item -ItemType Directory -Path $SharePath -Force
  
  # Vytvořit skrytou sdílenou složku (přípona $ se skryje ze seznamu procházení)
  New-SmbShare -Name $ShareName -Path $SharePath '
      -Description "Secure Boot Certificate Status Collection" '
      -FullAccess "Domain Admins"
      -ChangeAccess –Ověření uživatelé    

• Konfigurace oprávnění NTFS

  
  # Get current ACL  $Acl = Get-Acl $SharePath
  
  # Povolit ověřeným uživatelům psát soubory
  $WriteRule = New-Object System.Security.AccessControl.FileSystemAccessRule(
      "Ověření uživatelé",
      "CreateFiles,AppendData,WriteAttributes,WriteExtendedAttributes",
      "ContainerInherit,ObjectInherit",
      "Žádné",
      "Povolit"
  )
  $Acl.AddAccessRule($WriteRule)
  
  # Povolit správcům domény úplné řízení (pro agregaci)
  $AdminRule = New-Object System.Security.AccessControl.FileSystemAccessRule(
      "Domain Admins",
      "FullControl",
      "ContainerInherit,ObjectInherit",
      "Žádné",
      "Povolit"
  )
  $Acl.AddAccessRule($AdminRule)
  
  # Použít oprávnění
  Set-Acl -Path $SharePath -AclObject $Acl       

• Ověření přístupu ke sdílené složce

  
  # Test from a domain-joined workstation  Test-Path "\fileserver\SecureBootData$"
  # By měl vrátit: True

zpět na "Fáze 1: Detekce a monitorování stavu na podnikové úrovni" 

Nasazení objektu zásad

Použijte automatizační skript poskytnutý z řadiče domény:

Tento skript provede následující akce:

• Vytvoří nový objekt zásad_zásad_ se zadaným názvem.

• Zkopíruje skript kolekce do adresáře SYSVOL pro zajištění vysoké dostupnosti.

• Konfiguruje spouštěcí skript počítače.

• Propojení objektu zásad skupiny s cílovou organizační jednotky

• Volitelně vytvoří naplánovanou úlohu pro pravidelné shromažďování.

Následující tabulka obsahuje pokyny k tomu, jak dlouho bude zpoždění na základě velikosti vašeho vozového parku.

zpět na "Fáze 1: Detekce a monitorování stavu na podnikové úrovni" 

Souhrn nastavení objektu zásad zásad zabezpečení

zpět na "Fáze 1: Detekce a monitorování stavu na podnikové úrovni" 

Ověření

• Vynutit aktualizaci objektu zásad skupiny na test Machine

  
  ## On a test workstation  gpupdate /force
  
  # Restartujte klientské počítače do spouštěcího skriptu, jinak se aktivuje podle dalšího plánu.  
  Restart-Computer -Force

• Ověření shromažďování dat

  # Zkontrolujte, jestli se data shromáždila (na souborovém serveru nebo z libovolného počítače).
  Get-ChildItem "\fileserver\SecureBootData$" |  
      Sort-Object LastWriteTime -Descending |  
      Select-Object -Prvních 10
   
  # Ověření obsahu
  JSON Get-Content "\\fileserver\SecureBootData$\TESTPC_latest.json" | ConvertFrom-Json 

• Kontrola aplikace objektu zásad zásad uživatelů

  # Ověřte, že se objekt zásad skupiny používá v počítači
  . gpresult /r /scope:computer | Select-String SecureBoot
  S
  Skript také uloží místní kopii pro redundanci:
  Get-ChildItem "C:\ProgramData\SecureBootCollection\" 

zpět na "Fáze 1: Detekce a monitorování stavu na podnikové úrovni"

Zpět na začátek 

Skripty potřebné pro fázi 2

Ukázkové skripty shromažďování dat inventáře zabezpečeného spouštění

zpět na "Fáze 2: Skripty orchestrace aktualizací certifikátu zabezpečeného spouštění" 

Start-SecureBootRolloutOrchestrator.ps1

• Účel: Plně automatizovaná kontinuální orchestrace s automatizovaným nasazením objektů zásad zásad_

• Funkce

  • Volání Aggregate-SecureBootData.ps1 pro stav zařízení

  • Generuje vlny zavádění pomocí progresivního zdvojování.

  • Vytvoří objekt zásad skupiny pro nasazení certifikátu pomocí jedné z následujících metod.

    • Zásady skupiny zabezpečeného spouštění DostupnéUpdatesPolicy = 0x5944 (výchozí)

    • Metoda WinCS (Parameter –UseWinCS)

  • Vytvoří skupiny zabezpečení AD pro cílení.

  • Přidá účty počítačů do skupin zabezpečení.

  • Konfiguruje filtrování zabezpečení objektů zásad zabezpečení.

  • Propojení objektu zásad skupiny s cílovou organizační jednotky

  • Monitory pro blokované kontejnery (nedostupná zařízení)

  • Automatické odblokování při obnovení zařízení

• Používání

  
  # Interactive (testing) .\Start-SecureBootRolloutOrchestrator.ps1 '
      -AggregationInputPath "\\fileserver\SecureBootData$" '
      -ReportBasePath "C:\SecureBootReports" '
      -PollIntervalMinutes 30

  
  # Interactive (testing), leveraging WinCS method .\Start-SecureBootRolloutOrchestrator.ps1 '
      -AggregationInputPath "\\fileserver\SecureBootData$" '
      -ReportBasePath "C:\SecureBootReports" '
      -PollIntervalMinutes 1440 -UseWinCS

• příkazy Správa

  
  # List blocked buckets .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -ListBlockedBuckets

  
  # Unblock specific bucket .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -UnblockBucket "Dell|Zeměpisná šířka5520|BIOS1.2"

  
  # Unblock all .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -UnblockAll

• Parametry

  Parametr	Základní	Popis
  AggregationInputPath	Povinná	Cesta UNC k souborům JSON koncového bodu
  ReportBasePath	Povinná	Místní cesta pro sestavy a stav
  Cílová JEDNOTKA	Kořen domény	Organizační jednotka pro propojení objektů zásad skupiny
  WavePrefix	SecureBoot-Rollout	Předpona objektu zásad skupiny nebo předpony pojmenování skupin
  MaxWaitHours	72	Hodiny před kontrolou dostupnosti zařízení
  PollIntervalMinutes	1440	Počet minut mezi kontrolami stavu
  DryRun	False	Zobrazit, co by se stalo bez změn

zpět na "Fáze 2: Skripty orchestrace aktualizací certifikátu zabezpečeného spouštění"  

Deploy-OrchestratorTask.ps1

• Účel: Nasadí orchestrátor jako naplánovanou úlohu Windows.

• Výhody

  • Žádné výzvy zabezpečení PowerShellu (Bypass executionPolicy)

  • Běží nepřetržitě na pozadí.

  • Nevyžaduje se žádná interakce s uživatelem.

  • Přežije restartování

• Používání

  • Nasazení s účtem doménové služby (doporučeno)

    • Use AvailableUpdates Zásady skupiny (Výchozí metoda)

      .\Deploy-OrchestratorTask.ps1 '
          -AggregationInputPath "\\server\SecureBootData$" '
          -ReportBasePath "C:\SecureBootReports" '
          -ServiceAccount "DOMÉNA\svc_secureboot"

    • Použití metody WinCS

      .\Deploy-OrchestratorTask.ps1 '
          -AggregationInputPath "\\server\SecureBootData$" '
          -ReportBasePath "C:\SecureBootReports" '
          -ServiceAccount "DOMAIN\svc_secureboot" -UseWinCS

  • Nasazení pomocí účtu SYSTEM

    • Use AvailableUpdates Zásady skupiny (Výchozí metoda)

      .\Deploy-OrchestratorTask.ps1 '
          -AggregationInputPath "\\server\SecureBootData$" '
          -ReportBasePath "C:\SecureBootReports"

    • Použití method.\Deploy-OrchestratorTask.ps1 WinCS

          -AggregationInputPath "\\server\SecureBootData$" '
          -ReportBasePath "C:\SecureBootReports" -UseWinCS

    • Požadavky na účet služby

      • Správa domény (pro New-GPO, New-ADGroup, Add-ADGroupMember)

      • Přístup pro čtení ke sdílené složce JSON

      • Přístup k zápisu do ReportBasePath

zpět na "Fáze 2: Skripty orchestrace aktualizací certifikátu zabezpečeného spouštění"  

Get-SecureBootRolloutStatus.ps1

• Účel: Umožňuje zobrazit průběh zavádění z libovolné pracovní stanice.

• Co ukazuje

  • Stav naplánované úlohy (spuštěno/připraveno/zastaveno)

  • Číslo aktuální vlny

  • Cílová zařízení vs. aktualizovaná

  • Indikátor průběhu vizuálu

  • Souhrn blokovaných kbelíků

  • Odkaz na nejnovější řídicí panel HTML

• Používání

  
  # Quick status check .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports"

  
  # Continuous monitoring (refreshes every 30 seconds) .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -Watch 30

  
  # View blocked buckets .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -ShowBlocked

  
  # View wave history .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -ShowWaves

  
  # View recent log .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -ShowLog

  
  # Open dashboard in browser .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -OpenDashboard

• Ukázkový výstup

  
  ==============================================================    STAV
  ZAVEDENÍ ZABEZPEČENÉHO SPOUŠTĚNÍ    2026-02-17 19:30:00
  ======================================================

  Scheduled Task: Running

  
  ROLLOUT PROGRESS
  ---------------------------------------- Stav: InProgress
  Aktuální vlna: 5
  Celkem Cílený: 1250
  Celkem aktualizováno: 847

  Progress: [█████████████████████░░░░░░░░░░░░░░░░░░░] 67.8%

  
  BLOCKED BUCKETS: 2 buckets need attention   Podrobnosti získáte spuštěním příkazu -ShowBlocked.

  
  LATEST DASHBOARD
  C:\SecureBootReports\Aggregation_20260217_193000\SecureBoot_Dashboard.html __________________________________________________________________________________________

zpět na "Fáze 2: Skripty orchestrace aktualizací certifikátu zabezpečeného spouštění"

Zpět na začátek 

Fáze 1: Infrastruktura detekce

• Krok 1: Vytvoření sdílené složky kolekce

  
  # On file server $sharePath = "D:\SecureBootData"
  New-Item -ItemType Directory -Path $sharePath -Force
  New-SmbShare -Name "SecureBootData$" -Path $sharePath -FullAccess "Domain Admins" -ChangeAccess "Domain Computers"

  
  # Set NTFS permissions $acl = Get-Acl $sharePath
  $rule = New-Object System.Security.AccessControl.FileSystemAccessRule("Domain Computers";"Modify";"Allow")
  $acl. AddAccessRule($rule)
  Set-Acl $sharePath $acl

• Krok 2: Nasazení objektu zásad skupiny detekce

  
  .\Deploy-GPO-SecureBootCollection.ps1 `     -DomainName "contoso.com" '
      -OUPath "OU=Workstations,DC=contoso,DC=com" '
      -CollectionSharePath "\\server\SecureBootData$"

• Krok 3: Počkejte, až se koncové body hlásí (24–48 hodin)

  # Kontrola průběhu
  shromažďování (Get-ChildItem "\\server\SecureBootData$" -Filter "*.json"). Počet

zpět na postup nasazení E2E (rychlá referenční příručka) 

Fáze 2: Orchestrované zavedení

• Krok 4: Kontrola požadavků

  • Nasazený objekt zásad zjišťování (krok 2)

  • Minimálně 50 nebo více koncových bodů, které hlásí JSON

  • Účet služby s právy Správa domény

  • Server pro správu s PowerShellem 5.1 nebo novějším

• Krok 5: Nasazení orchestratoru jako naplánované úlohy

  
  .\Deploy-OrchestratorTask.ps1 `     -AggregationInputPath "\\server\SecureBootData$" '
      -ReportBasePath "C:\SecureBootReports" '
      -ServiceAccount "DOMÉNA\svc_secureboot"

• Krok 6: Monitorování průběhu

  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports"

• Krok 7: Zobrazení řídicího panelu

  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -OpenDashboard

• Krok 8: Správa blokovaných kontejnerů

  
  # List blocked .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -ListBlockedBuckets

  
  # Investigate and unblock .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -UnblockBucket "Manufacturer|Model |BIOS"

• Krok 9: Ověření dokončení

  
  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" # Ve stavu # by se mělo zobrazit Dokončeno.

zpět na postup nasazení E2E (rychlá referenční příručka)  

Stavová Files

Orchestrátor udržuje stav v ReportBasePath\RolloutState\:

zpět na postup nasazení E2E (rychlá referenční příručka) 

Zpět na začátek 

Orchestrator nepostupuje

1. Kontrola naplánovaného úkolu

   Get-ScheduledTask -TaskName "SecureBoot-Rollout-Orchestrator"

2. Kontrola protokolů

   Get-Content "C:\SecureBootReports\RolloutState\Orchestrator_*.log" -Tail 50

3. Ověření aktuálnosti dat JSON

   (Get-ChildItem "\\server\SecureBootData$" -Filter "*.json" | Where-Object { $_.LastWriteTime -gt (Get-Date).AddDays(-1) }).Count

zpět na "Řešení potíží" 

Blokované kontejnery

1. Seznam je blokovaný.

   .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -ListBlockedBuckets

2. Prozkoumejte dostupnost zařízení.

3. Zkontrolujte problémy s firmwarem.

4. Odblokovat po vyšetřování.

zpět na "Řešení potíží"  

Objekt zásad se nepoužívá

1. Ověřte, že objekt zásad zásad uživatele existuje.

   Get-GPO -Name "SecureBoot-Rollout-Wave*"

2. Zkontrolujte filtrování zabezpečení.

   Get-GPPermission -Name "GPO-Name" -All

3. Ověřte, že je počítač ve skupině zabezpečení.

4. Použijte objekt zásad skupiny na cíl.

   gpupdate /force

zpět na "Řešení potíží"

Zpět na začátek