Updates von Zertifikaten für den sicheren Start für Azure Virtual Desktop

Inhalt dieses Artikels:

• Einführung

• Inventarisieren und überwachen

• Bereitstellung

• Überlegungen zum Golden Image

• Bekannte Probleme

• Ressourcen

Einführung

Der sichere Start ist ein UEFI-Firmware-Sicherheitsfeature, mit dem sichergestellt wird, dass nur vertrauenswürdige, digital signierte Software während einer Gerätestartsequenz ausgeführt wird. Die 2011 ausgestellten Microsoft Secure Boot-Zertifikate laufen ab Juni 2026 ab. Ohne die aktualisierten 2023-Zertifikate erhalten Geräte keine neuen Schutzmaßnahmen oder Risikominderungen für neu entdeckte Sicherheitsrisiken auf Startebene mehr für den sicheren Start und den Start-Manager.

Alle im Azure Virtual Desktop-Dienst registrierten VMs mit aktiviertem sicheren Start und benutzerdefinierte Images, die zu ihrer Bereitstellung verwendet werden, müssen vor Ablauf auf die Zertifikate 2023 aktualisiert werden, um geschützt zu bleiben. Anzeigen , wann Zertifikate für den sicheren Start auf Windows-Geräten ablaufen

Gilt dies für meine Azure Virtual Desktop-Umgebung?

Szenario	Sicherer Start aktiv?	Aktion erforderlich
Sitzungshosts
Vertrauenswürdiger virtueller Start mit aktiviertem sicherem Start	Ja	Aktualisieren von Zertifikaten auf dem Sitzungshost
Vertrauenswürdiger virtueller Start mit deaktiviertem sicheren Start	Nein	Keine Aktion erforderlich
Standard Sicherheitstyp VM	Nein	Keine Aktion erforderlich
VM der 1. Generation	Nicht unterstützt	Keine Aktion erforderlich
Goldene Bilder
Image der Azure Compute Gallery mit aktiviertem sicherem Start	Ja	Aktualisieren von Zertifikaten im Quellimage
Image der Azure Compute Gallery ohne vertrauenswürdigen Start	Nein	Updates im Sitzungshost nach der Bereitstellung anwenden
Verwaltetes Image (unterstützt keinen vertrauenswürdigen Start)	Nein	Updates im Sitzungshost nach der Bereitstellung anwenden

Vollständige Hintergrundinformationen finden Sie unter Updates von Zertifikaten für den sicheren Start: Leitfaden für IT-Experten und Organisationen.

Inventarisieren und überwachen

Bevor Sie Maßnahmen ergreifen, sollten Sie eine Bestandsaufnahme Ihrer Umgebung durchführen, um Geräte zu identifizieren, für die Updates erforderlich sind. Die Überwachung ist unerlässlich, um sicherzustellen, dass Zertifikate vor dem Stichtag im Juni 2026 angewendet werden – auch wenn Sie auf automatische Bereitstellungsmethoden angewiesen sind.  Im Folgenden finden Sie Optionen, um festzustellen, ob Maßnahmen ergriffen werden müssen.

Option 1: Microsoft Intune-Korrekturen

Für Sitzungshosts, die bei Microsoft Intune registriert sind, können Sie ein Erkennungsskript mithilfe von Intune-Korrekturen (proaktive Korrekturen) bereitstellen, um automatisch den Status des Secure Boot-Zertifikats für Ihre gesamte Flotte zu erfassen. Das Skript wird im Hintergrund auf jedem Gerät ausgeführt und meldet den Status des sicheren Starts, den Fortschritt der Zertifikatupdates und die Gerätedetails an das Intune-Portal – es werden keine Änderungen an den Geräten vorgenommen. Die Ergebnisse können direkt aus dem Intune Admin Center für eine flottenweite Analyse angezeigt und in CSV exportiert werden.

Schrittweise Anweisungen zum Bereitstellen des Erkennungsskripts finden Sie unter Überwachen des Zertifikatstatus für den sicheren Start mit Microsoft Intune-Behebungen.

Option 2: Windows-Autopatch-Statusbericht für den sicheren Start

Wechseln Sie für persönliche persistente Sitzungshosts, die bei Windows Autopatch registriert sind, zum Intune Admin Center>.Berichte>, Windows Autopatch>,Windows-Qualitätsupdates>Registerkarte ">Berichte"Status des sicheren Starts. Weitere Informationen finden Sie unter Secure Boot Status-Bericht in Windows Autopatch.

Option 3: Registrierungsschlüssel für die Flottenüberwachung

Verwenden Sie Ihre vorhandenen Geräteverwaltungstools, um diese Registrierungswerte in Ihrer Flotte abzufragen.

Registrierungspfad	Taste	Zweck
HKEY_LOCAL_MACHINE:\SYSTEM\CurrentControlSet \Control\SecureBoot\Servicing	UEFICA2023Status	Aktueller Bereitstellungs-Status
HKEY_LOCAL_MACHINE:\SYSTEM\CurrentControlSet \Control\SecureBoot\Servicing	UEFICA2023Error	Gibt Fehler an (sollten nicht vorhanden sein)
HKEY_LOCAL_MACHINE:\SYSTEM\CurrentControlSet \Control\SecureBoot\Servicing	UEFICA2023ErrorEvent	Gibt die Ereignis-ID an (sollte nicht vorhanden sein)
HKEY_LOCAL_MACHINE:\SYSTEM\CurrentControlSet \Control\SecureBoot	Verfügbare Updates	Ausstehende Updatebits

Die vollständigen Details des Registrierungsschlüssels finden Sie unter Registrierungsschlüsselupdates für den sicheren Start: Windows-Geräte mit IT-verwalteten Updates.

Option 4: Ereignisprotokollüberwachung

Verwenden Sie Ihre vorhandenen Geräteverwaltungstools, um diese Ereignis-IDs aus dem Systemereignisprotokoll in Ihrer gesamten Flotte zu sammeln und zu überwachen.

Ereigniskennung	Ort	Bedeutung
1808	System	Zertifikate erfolgreich angewendet
1801	System	Aktualisieren von Status- oder Fehlerdetails

Eine vollständige Liste der Ereignisdetails finden Sie unter Ereignisse zum Aktualisieren von DB- und DBX-Variablen für den sicheren Start.

Option 5: PowerShell-Inventurskript

Führen Sie das Microsoft-Beispielskript für die Sammlung von Inventurdaten für den sicheren Start aus, um die status zum Aktualisieren des Zertifikats für den sicheren Start zu überprüfen. Das Skript sammelt mehrere Datenpunkte, darunter den Status des sicheren Starts, den Status des UEFI CA 2023-Updates, die Firmwareversion und die Ereignisprotokollaktivität.

Bereitstellung

Option 1: Automatische Updates über Windows Update (Geräte mit hoher Zuverlässigkeit)

Microsoft aktualisiert Geräte automatisch über monatliche Windows-Updates, wenn ausreichende Telemetrie die erfolgreiche Bereitstellung auf ähnlichen Hardwarekonfigurationen bestätigt.

• Status: Standardmäßig aktiviert für Geräte mit hoher Zuverlässigkeit

• Keine Aktion erforderlich, es sei denn, Sie möchten sich abmelden

Registrierung	HKEY_LOCAL_MACHINE:\SYSTEM\CurrentControlSet\Control\SecureBoot
Taste	HighConfidenceOptOut = 1 zum Abmelden
Gruppenrichtlinien	Computerkonfiguration>Administrative Vorlagen>Windows-Komponenten>Sicherer Start>Automatische Zertifikatbereitstellung über Updates> Legen Sie "Deaktiviert" fest, um die Option zu deaktivieren.

Weitere Informationen finden Sie unter Automatisierte Bereitstellungshilfen.

Option 2: Bereitstellung IT-Initiated

Manuelles Auslösen von Zertifikatupdates für einen sofortigen oder kontrollierten Rollout.

Methode	Dokumentation
Microsoft Intune	Microsoft Intune-Methode
Gruppenrichtlinien	Methode für Gruppenrichtlinienobjekte
Registrierungsschlüssel	Methode mit Registrierungsschlüssel
WinCS CLI	WinCS-APIs

Überlegungen zum Golden Image

Wenden Sie für Azure Virtual Desktop-Umgebungen mit Azure Compute Gallery-Images mit aktiviertem Secure Boot das Update des Zertifikats Secure Boot 2023 auf das Golden Image an, bevor Sie es erfassen. Verwenden Sie eine der oben beschriebenen Methoden, um das Update anzuwenden, und überprüfen Sie dann, ob die Zertifikate aktualisiert wurden, bevor Sie verallgemeinern:

Images ohne aktivierten vertrauenswürdigen Start können keine Zertifikatupdates für den sicheren Start über das Image empfangen. Dazu gehören verwaltete Images, die den vertrauenswürdigen Start nicht unterstützen, und Azure Compute Gallery-Images, bei denen der vertrauenswürdige Start nicht aktiviert ist. Wenden Sie für Geräte, die über diese Images bereitgestellt wurden, Updates im Gastbetriebssystem mithilfe einer der oben beschriebenen Methoden an.

Bekannte Probleme

Wartungsregistrierungsschlüssel ist nicht vorhanden

Problembeschreibung	HKEY_LOCAL_MACHINE:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing path does not exist
Ursache	Zertifikatupdates wurden auf dem Gerät nicht initiiert
Lösung	Warten Sie auf die automatische Bereitstellung über Windows Update, oder starten Sie die Bereitstellung manuell mit einer der oben genannten IT-initiierten Bereitstellungsmethoden

Der Status zeigt für einen längeren Zeitraum "In Bearbeitung" an

Problembeschreibung	UEFICA2023Der Status bleibt nach mehreren Tagen "In Bearbeitung"
Ursache	Möglicherweise muss das Gerät neu gestartet werden, um den Updatevorgang abzuschließen
Lösung	Starten Sie den Sitzungshost neu, und überprüfen Sie den Status nach 15 Minuten erneut. Wenn das Problem weiterhin besteht, finden Sie eine Anleitung zur Problembehandlung unter Updateereignisse für DB- und DBX-Variablen für den sicheren Start

UEFICA2023Error registry key exists

Problembeschreibung	UEFICA2023Error registry key is present
Ursache	Während der Zertifikatbereitstellung ist ein Fehler aufgetreten
Lösung	Weitere Informationen finden Sie im Systemereignisprotokoll. Informationen zur Problembehandlung finden Sie unter Ereignisse zum Aktualisieren von DB- und DBX-Variablen für den sicheren Start

Ressourcen

• Playbook für das Update von Zertifikaten für den sicheren Start

• Zertifikat-Updates für den sicheren Start: Leitfaden für IT-Experten

• Windows-Autopatch-Statusbericht für den sicheren Start
• Geräte bei Windows Autopatch registrieren