Microsoft Intune metode til sikker bootstart til Windows-enheder med it-administrerede opdateringer
Gælder for
Oprindelig publiceret dato: 4. december 2025
KB-id: 5073196
Denne artikel indeholder en vejledning til:
-
Organisationer, der har deres egen it-afdeling, der administrerer Windows-enheder og -opdateringer.
Bemærk! Hvis du er en person, der ejer en personlig Windows-enhed, skal du se artiklen Windows-enheder til private brugere, virksomheder og skoler med Microsoft-administrerede opdateringer.
Tilgængelighed af denne support
-
11. november 2025: For versioner af Windows 11 og Windows 10 stadig i support.
|
Skift dato |
Ændringsbeskrivelse |
|---|---|
|
4. februar 2026 |
Kendt problem løst |
|
17. december 2025 |
Sektionen Kendt problem tilføjet |
I denne artikel:
Introduktion
I dette dokument beskrives understøttelse af installation, administration og overvågning af certifikatopdateringer til sikker bootstart ved hjælp af Microsoft Intune. Indstillingerne består af:
-
Muligheden for at udløse installation på en enhed
-
En indstilling til at tilmelde sig/fravælge buckets med høj konfidens
-
En indstilling til at tilmelde sig/fravælge Microsoft-administration af opdateringer
Microsoft Intune konfigurationsmetode
Denne metode tilbyder indstillingen Sikker bootstart ved hjælp af Microsoft Intune, som domæneadministratorer kan indstille til at installere opdateringer til sikker bootstart på alle domænetilknyttede Windows-klienter. Desuden kan to assistenter til sikker bootstart administreres med indstillinger for tilmelding/fravalg.
I Microsoft Intune
-
Under Enheder > Administrer enheder skal du vælge Konfiguration.
-
Vælg Opret , og vælg Ny politik.
-
Gå til Opret en profil i ruden til højre.
-
Udfyld Platform med Windows 10 og nyere.
-
-
Vælg indstillingskataloget under Profiltype.
-
Begynd at oprette en profil ved at give profilen et navn. I dette eksempel bruger vi "Sikker bootstart" som navn. Tryk på Næste.
-
Under Konfigurationsindstillinger skal du vælge Tilføj indstillinger og bruge indstillingsvælgeren til at finde indstillingerne for sikker bootstart ved at søge efter Sikker bootstart. Du bør få vist tre indstillinger i kategorien Sikker bootstart. Disse er de samme indstillinger, der er beskrevet i nøgleopdateringer til sikker bootstart i registreringsdatabasen: Windows-enheder med it-administrerede opdateringer og metoden til Gruppepolitik-objekter (GPO) for sikker bootstart til Windows-enheder med it-administrerede opdateringsdokumenter.
-
Aktivér Secureboot Certificate Opdateringer er valgt som standard og aktiveret.
-
De indstillinger for tilmelding og fravalg, der er beskrevet nedenfor, kan konfigureres til at opfylde dine miljø- og installationsbehov.
-
-
Afslut profilen for de enheder, der skal bruge disse indstillinger.
Beskrivelse af indstilling
Konfigurer administreret tilvalg af Microsoft Update
Microsoft Intune indstillingsnavn: Konfigurer Microsoft Update Managed Opt In
Beskrivelse: Denne politik giver virksomheder mulighed for at deltage i en kontrolleret funktionsudrulning af sikker bootstartcertifikatopdatering, der administreres af Microsoft.
-
Aktiveret: Microsoft hjælper med at installere certifikater på enheder, der er tilmeldt implementeringen.
-
Deaktiveret (standard): Ingen deltagelse i kontrolleret udrulning.
Krav:
-
Enheden skal sende påkrævede diagnosticeringsdata til Microsoft. Du kan finde flere oplysninger under Konfigurere Diagnostiske Windows-data i din organisation – Windows Beskyttelse af personlige oplysninger | Microsoft Learn.
-
Svarer til registreringsdatabasenøglen MicrosoftUpdateManagedOptIn.
Konfigurere Opt-Out med høj konfidens
Microsoft Intune indstillingsnavn: Konfigurer Opt-Out med høj konfidens
Beskrivelse: Denne politik styrer, om certifikatopdateringer til sikker bootstart anvendes automatisk via månedlige sikkerheds- og ikke-sikkerhedsrelaterede opdateringer til Windows. Enheder, som Microsoft har valideret som i stand til at behandle variable opdateringer af sikker bootstart, modtager disse opdateringer som en del af kumulative månedlige opdateringer og anvender dem automatisk. Da det ikke er alle hardware- og firmwarekombinationer, der kan valideres udtømmende, er Microsoft afhængig af målrettede test- og diagnosticeringsdata for at bestemme enhedens parathed. Det er kun enheder med tilstrækkelige diagnosticeringsdata, der kan betragtes med stor konfidens. Hvis diagnostiske data ikke er tilgængelige for en given enhed, kan de ikke klassificeres med høj sikkerhed.
-
Aktiveret: Automatisk installation via månedlige opdateringer er blokeret.
-
Deaktiveret (standard): Enheder, der har valideret deres opdateringsresultater, får automatisk certifikatopdateringer som en del af de månedlige opdateringer.
Bemærk!
-
Tilsigtede enheder bekræftes for at behandle opdateringer korrekt.
-
Konfigurer denne politik til at administrere automatisk installation via månedlige opdateringer.
-
Svarer til registreringsdatabasenøglen HighConfidenceOptOut.
Aktivér Secureboot Certificate Opdateringer
Microsoft Intune indstillingsnavn: Aktivér Secureboot Certificate Opdateringer
Beskrivelse: Denne politik styrer, om Windows starter installationsprocessen for certifikat til sikker bootstart på enheder.
-
Aktiveret: Windows starter automatisk installation af opdaterede certifikater til sikker bootstart.
-
Deaktiveret (standard): Windows installerer ikke certifikater automatisk.
Bemærk!
-
Den opgave, der behandler denne indstilling, kører hver 12. time. Nogle opdateringer kræver muligvis en genstart for at fuldføre sikkert.
-
Når certifikater er anvendt på firmware, kan de ikke fjernes fra Windows. Rydning af certifikater skal udføres via firmwaregrænsefladen.
-
Svarer til registreringsdatabasenøglen AvailableUpdates.
Kendte problemer
Symptomer
Konfigurationsindstillinger for sikker bootstart, der er installeret via Microsoft Intune Mobile Enhedshåndtering (MDM), er i øjeblikket blokeret på Pro-udgaver af Windows 10 og Windows 11.
-
Forsøg på at anvende disse politikker medfører Microsoft Intune Fejlkode 65000.
-
Hændelseslogge registrerer muligvis POLICYMANAGER_E_AREAPOLICY_NOTAPPLICABLEINEDITION, hvilket angiver, at funktionen ikke er tilgængelig i denne udgave.
Løsning
Licenstjenesten Microsoft Intune blev opdateret d. 27. januar 2026 for at tillade installation af konfigurationsindstillinger for sikker bootstart på Pro-udgaver af Windows 10 og Windows 11. Enheder, der har modtaget deres Microsoft Intune licens før denne dato, skal forny deres licens for at løse dette problem. Licenser fornys automatisk hver måned, så dette problem vil blive løst for alle enheder inden den 27. februar 2026. For at løse dette problem med det samme kan du forny licensen på din enhed ved at køre følgende kommandoer på brugerens vegne (under brugerens kontekst):
-
ClipDLS.exe fjern abonnement
-
ClipRenew.exe
Ressourcer
Se også Opdateringer af registreringsdatabasenøgler til sikker bootstart: Windows-enheder med it-administrerede opdateringer for at få oplysninger om registreringsdatabasenøglerne UEFICA2023Status og UEFICA2023Fejl for at få oplysninger om resultaterne af enheden.
Se Hændelser med sikker bootstart DB og DBX-variable opdateringshændelser for hændelser, der er nyttige til at forstå status for enheder, enhedsattributter og enhedsbucket-id'er. Vær særligt opmærksom på begivenheder 1801 og 1808, der er beskrevet på siden med begivenheder.
Har du brug for mere hjælp?
Vil du have flere indstillinger?
Udforsk abonnementsfordele, gennemse kurser, få mere at vide om, hvordan du sikrer din enhed og meget mere.
Communities hjælper dig med at stille og besvare spørgsmål, give feedback og høre fra eksperter med omfattende viden.
