Παρακολούθηση κατάστασης πιστοποιητικού Ασφαλούς εκκίνησης με Microsoft Intune αποκατασταση

Σε αυτό το άρθρο:

Εισαγωγή
Προαπαιτούμενα
Δέσμη ενεργειών εντοπισμού
Δημιουργία της Αποκατάστασης στο Intune
Προβολή και εξαγωγή αποτελεσμάτων
Συνήθεις ερωτήσεις
Πόροι

Εισαγωγή

Τα πιστοποιητικά ασφαλούς εκκίνησης της Microsoft (CAs 2011) λήγουν από τον Ιούνιο του 2026. Όλες οι συσκευές Windows με ενεργοποιημένη την Ασφαλή εκκίνηση πρέπει να ενημερωθούν στα πιστοποιητικά του 2023 πριν από τη λήξη τους, για να διασφαλιστεί η συνεχής υποστήριξη για τις ενημερώσεις ασφαλείας.

Αυτός ο οδηγός παρέχει μια προσέγγιση μόνο παρακολούθησης χρησιμοποιώντας Microsoft Intune αποκαταστασηών (Προληπτικές αποκαταστασης). Η δέσμη ενεργειών εντοπισμού συλλέγει την κατάσταση ασφαλούς εκκίνησης και πιστοποιητικού από κάθε συσκευή και την αναφέρει στην πύλη Intune — δεν εκτελείται καμία ενέργεια αποκατάστασης στις συσκευές. Αυτό παρέχει στους διαχειριστές μια κεντρική, με δυνατότητα εξαγωγής προβολή της προόδου ενημέρωσης πιστοποιητικών σε όλες τις Intune εγγεγραμμένες συσκευές Windows.

Γιατί να χρησιμοποιήσετε αυτήν την προσέγγιση;

Όφελος	Περιγραφή
Ορατότητα σε όλο το πλάτος της συσκευής	Δείτε κάθε Intune κατάσταση πιστοποιητικού συσκευής Windows σε ένα σημείο
Εξαγώγιμα	Εξαγωγή αποτελεσμάτων σε αρχείο CSV απευθείας από την πύλη Intune
Μη επεξεργασμένες τιμές μητρώου	Δείτε τα πραγματικά δεδομένα μητρώου, όχι μόνο διαβίβασα/αποτυχία
Περιβάλλον συσκευής	Περιλαμβάνει κατασκευαστή, μοντέλο, έκδοση BIOS και τύπο υλικολογισμικού
Τηλεμετρία αρχείου καταγραφής συμβάντων	Καταγράφει αναγνωριστικά συμβάντων Ασφαλούς εκκίνησης (1801/1808), αναγνωριστικά κάδου και επίπεδα εμπιστοσύνης
Μηδενική αφή	Εκτελείται σιωπηρά ως ΣΥΣΤΗΜΑ — δεν απαιτείται αλληλεπίδραση χρήστη

Για πλήρεις πληροφορίες σχετικά με τις ενημερώσεις πιστοποιητικών, ανατρέξτε στο θέμα Ενημερώσεις πιστοποιητικών ασφαλούς εκκίνησης: Οδηγίες για επαγγελματίες IT και οργανισμούς.

Προαπαιτούμενα

Πριν από την ανάπτυξη της δέσμης ενεργειών εντοπισμού, βεβαιωθείτε ότι το περιβάλλον σας πληροί τις απαραίτητες απαιτήσεις.

Αυτή η λύση αξιοποιεί τις αποκαταστασης σε Microsoft Intune. Για μια πλήρη λίστα των προϋποθέσεων, ανατρέξτε στο θέμα Χρήση αποκαταστασης για τον εντοπισμό και την επιδιόρθωση ζητημάτων υποστήριξης - Microsoft Intune.

Δέσμες ενεργειών εντοπισμού

Η δέσμη ενεργειών εντοπισμού είναι μια δέσμη ενεργειών του PowerShell που συλλέγει ολοκληρωμένα δεδομένα απογραφής Ασφαλούς εκκίνησης από κάθε συσκευή και τα εξάγει ως συμβολοσειρά JSON. Η δέσμη ενεργειών διαβάζει από τις ακόλουθες προελεύσεις:

Μητρώο : Κατάσταση ενημέρωσης πιστοποιητικού ασφαλούς εκκίνησης, κλειδιά συντήρησης, χαρακτηριστικά συσκευής και ρυθμίσεις opt-in/opt-out από το HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot και τα δευτερεύοντα κλειδιά του

WMI/CIM — Έκδοση λειτουργικού συστήματος, χρόνος τελευταίας εκκίνησης και πληροφορίες υλικού baseboard

Αρχεία καταγραφής συμβάντων — Καταχωρήσεις αρχείων καταγραφής συμβάντων συστήματος για τα αναγνωριστικά συμβάντων 1801 και 1808 (συμβάντα ενημέρωσης Ασφαλούς εκκίνησης)

Η έξοδος JSON εμφανίζεται στην πύλη Intune στην περιοχή > Παρακολούθηση > Κατάσταση συσκευής > "Έξοδος ανίχνευσης πριν από την αποκατάσταση" και μπορεί να εξαχθεί σε CSV για ανάλυση.

Σημαντικό: Αυτή είναι μια δέσμη ενεργειών μόνο για εντοπισμό. Δεν γίνονται αλλαγές στη συσκευή. Δεν απαιτείται δέσμη ενεργειών αποκατάστασης.

Δημιουργία του αρχείου δέσμης ενεργειών

Μεταβείτε στη δέσμη ενεργειών συλλογής δεδομένων απογραφής sample Secure Boot (KB5072718)
Αντιγραφή του πλήρους περιεχομένου δέσμης ενεργειών από τη σελίδα
Ανοίξτε ένα πρόγραμμα επεξεργασίας κειμένου (π.χ., Σημειωματάριο, κώδικας VS) και επικολλήστε τη δέσμη ενεργειών
Αποθήκευση του αρχείου ως Detect-SecureBootCertUpdateStatus.ps1

Δημιουργία της Αποκατάστασης στο Intune

Ακολουθήστε αυτά τα βήματα για να αναπτύξετε τη δέσμη ενεργειών εντοπισμού ως αποκατάσταση (πακέτο δέσμης ενεργειών) στο Microsoft Intune.

Βήμα 1: Δημιουργία του πακέτου δέσμης ενεργειών

Είσοδος στο κέντρο διαχείρισης Microsoft Intune
Μετάβαση στις Συσκευές > Αποκατασταση
Κάντε κλικ στην επιλογή + Δημιουργία πακέτου δέσμης ενεργειών

Βήμα 2: Βασικά στοιχεία

Ρυθμίστε τις παραμέτρους των ακόλουθων ρυθμίσεων στην καρτέλα Βασικά στοιχεία:

Ρύθμιση	Τιμή
Όνομα	Παρακολούθηση κατάστασης πιστοποιητικού ασφαλούς εκκίνησης
Περιγραφή	Παρακολουθεί την κατάσταση ενημέρωσης πιστοποιητικών Ασφαλούς εκκίνησης σε όλο τον στόλο. Μόνο ανίχνευση — δεν εκτελείται καμία ενέργεια αποκατάστασης.
Publisher	(το όνομα του οργανισμού σας)

Κάντε κλικ στο κουμπί "Επόμενο"

Βήμα 3: Ρυθμίσεις

Ρυθμίστε τις παραμέτρους των ακόλουθων ρυθμίσεων στην καρτέλα Ρυθμίσεις:

Ρύθμιση	Τιμή	Σημειώσεις
Αρχείο δέσμης ενεργειών εντοπισμού	Αποστολή Detect-SecureBootCertificateStatus.ps1	Η δέσμη ενεργειών από την προηγούμενη ενότητα
Αρχείο δέσμης ενεργειών αποκατάστασης	(αφήστε το κενό)	Δεν απαιτείται αποκατάσταση — αυτό είναι μόνο παρακολούθηση
Εκτέλεση αυτής της δέσμης ενεργειών με χρήση των διαπιστευτηρίων σύνδεσης	Όχι	Εκτελείται ως SYSTEM για να εξασφαλιστεί η πρόσβαση στο Confirm-SecureBootUEFI και το μητρώο
Έλεγχος επιβολής υπογραφής δέσμης ενεργειών	Όχι	Ορισμός σε Ναι εάν η εταιρεία σας απαιτεί υπογεγραμμένες δέσμες ενεργειών
Εκτέλεση δέσμης ενεργειών σε PowerShell 64 bit	Ναι	Απαιτείται για Confirm-SecureBootUEFI cmdlet και ακριβείς αναγνώσεις μητρώου

Κάντε κλικ στο κουμπί "Επόμενο"

Βήμα 4: Ετικέτες πεδίου εφαρμογής

Προσθέστε τυχόν ετικέτες εύρους που απαιτούνται από τον οργανισμό σας ή αφήστε τις ως προεπιλεγμένες
Κάντε κλικ στο κουμπί "Επόμενο"

Βήμα 5: Αναθέσεις εργασιών

Ρύθμιση	Τιμή	Σημειώσεις
Αντιστοιχίσεις	Επιλέξτε τις ομάδες συσκευών που θέλετε να παρακολουθείτε	Χρήση όλων των συσκευών για παρακολούθηση σε ολόκληρο τον στόλο ή συγκεκριμένων ομάδων για στοχευμένη παρακολούθηση
Προγραμματισμός	Ρύθμιση παραμέτρων ανάλογα με τις ανάγκες παρακολούθησης	Προτείνεται: Μία φορά την ημέρα για την παρακολούθηση της ενεργής παράδοσης ή μία φορά την εβδομάδα για συνεχή παρακολούθηση

Σημείωση: Οι επιδιορθώσεις εκτελούνται σύμφωνα με το ρυθμισμένο χρονοδιάγραμμα της συσκευής. Η πρώτη εκτέλεση μπορεί να διαρκέσει έως και 24 ώρες μετά την ανάθεση, ανάλογα με τον κύκλο ελέγχου της συσκευής.

Κάντε κλικ στο κουμπί "Επόμενο"

Βήμα 6: Αναθεώρηση + Δημιουργία

Έλεγχος όλων των ρυθμίσεων
Κάντε κλικ στην επιλογή "Δημιουργία"

Προβολή και εξαγωγή αποτελεσμάτων

Προβολή αποτελεσμάτων στην πύλη

Μετάβαση στις Συσκευές > Αποκατασταση
Κάντε κλικ στην Παρακολούθηση κατάστασης πιστοποιητικού ασφαλούς εκκίνησης (ή στο όνομα που επιλέξατε)
Επιλογή της καρτέλας "Οθόνη"
Κάντε κλικ στην επιλογή "Κατάσταση συσκευής"
Κάντε κλικ στην επιλογή "Στήλες" και προσθέστε έξοδο εντοπισμού προ-αποκατάστασης

Παρακολούθηση κατάστασης

Θα δείτε έναν πίνακα με τις ακόλουθες στήλες:

Στήλη	Περιγραφή
Όνομα συσκευής	Το όνομα της συσκευής
Όνομα χρήστη	Ο κύριος χρήστης της συσκευής
Κατάσταση εντοπισμού	Χωρίς πρόβλημα (τα πιστοποιητικά ενημερώθηκαν) ή με πρόβλημα (τα πιστοποιητικά δεν ενημερώθηκαν)
Έξοδος εντοπισμού προ-αποκατάστασης	Το πλήρες αποτέλεσμα JSON από τη δέσμη ενεργειών
Τελευταία τροποποίηση	Την τελευταία φορά που η δέσμη ενεργειών έτρεξε στη συσκευή

Εξαγωγή σε αρχείο CSV

Στη σελίδα Κατάσταση συσκευής, κάντε κλικ στο κουμπί Εξαγωγή στο επάνω μέρος του πίνακα
Το αρχείο CSV θα κάνει λήψη όλων των στηλών, συμπεριλαμβανομένης της πλήρους εξόδου εντοπισμού JSON για κάθε συσκευή
Άνοιγμα στο Excel για φιλτράρισμα, ταξινόμηση και ανάλυση κατά οποιοδήποτε πεδίο

Συμβουλή: Στο Excel, μπορείτε να χρησιμοποιήσετε τις συναρτήσεις TEXTJOIN ή JSON για να αναλύετε το αποτέλεσμα εντοπισμού JSON σε ξεχωριστές στήλες για ευκολότερη ανάλυση.

Καρτέλα "Επισκόπηση"

Επισκόπηση Intune

Η καρτέλα "Επισκόπηση" στην "Αποκατάσταση" παρέχει έναν πίνακα εργαλείων σύνοψης:

Μετρική	Έννοια
Συσκευές με προβλήματα	Συσκευές όπου τα πιστοποιητικά δεν έχουν ενημερωθεί ακόμα
Συσκευές χωρίς προβλήματα	Συσκευές όπου τα πιστοποιητικά είναι ενημερωμένα
Συσκευές με εντοπισμό αποτυχίας	Συσκευές όπου παρουσιάστηκε σφάλμα στη δέσμη ενεργειών

Συνήθεις ερωτήσεις

Αλλάζει κάτι στις συσκευές μου αυτό;

Όχι. Αυτή είναι μια δέσμη ενεργειών μόνο για εντοπισμό. Δεν τροποποιούνται τιμές μητρώου, δεν ενεργοποιούνται ενημερώσεις και δεν εκτελείται καμία ενέργεια αποκατάστασης. Η δέσμη ενεργειών διαβάζει μόνο τιμές και τις αναφέρει.

Τι σημαίνει "Με το πρόβλημα";

"Με πρόβλημα" σημαίνει ότι στη συσκευή δεν έχουν εφαρμοστεί ακόμα τα πιστοποιητικά Ασφαλούς εκκίνησης 2023 και η διαχείριση εκκίνησης με υπογραφή 2023. Αυτό μπορεί να συμβαίνει επειδή: - Η ενημέρωση πιστοποιητικού δεν έχει ξεκινήσει - Η ενημέρωση βρίσκεται σε εξέλιξη και μπορεί να απαιτεί επανεκκίνηση για να ολοκληρωθεί - Η Ασφαλής εκκίνηση δεν είναι ενεργοποιημένη στη συσκευή - Η συσκευή δεν βασίζεται σε UEFI ή αναμένει επανεκκίνηση για να εφαρμόσει τη διαχείριση εκκίνησης.

Τι σημαίνει "Χωρίς πρόβλημα";

Ως "Χωρίς πρόβλημα" νοείται η συσκευή με ενεργοποιημένη την Ασφαλή εκκίνηση και η τιμή μητρώου UEFICA2023Status ενημερώνεται, υποδεικνύοντας ότι τα πιστοποιητικά του 2023 έχουν εφαρμοστεί με επιτυχία.

Πόσο συχνά εκτελείται η δέσμη ενεργειών;

Η δέσμη ενεργειών εκτελείται σύμφωνα με το χρονοδιάγραμμα που ρυθμίζετε στην ανάθεση εργασίας. Για ενεργή παρακολούθηση κατά την κυκλοφορία, συνιστάται καθημερινά. Για συνεχή παρακολούθηση, η εβδομαδιαία είναι επαρκής.

Τι γίνεται εάν δεν υπάρχει το κλειδί μητρώου συντήρησης;

Εάν το κλειδί HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing δεν υπάρχει σε μια συσκευή, το πεδίο UEFICA2023Status θα εμφανίσει το σφάλμα NoValue. Αυτό συνήθως σημαίνει ότι δεν έχουν ξεκινήσει ενημερώσεις πιστοποιητικού στη συσκευή.

Ποιες άδειες χρήσης απαιτούνται;

Για την αποκατάσταση απαιτούνται άδειες χρήσης Windows 10/11 για μεγάλες επιχειρήσεις E3/E5, για εκπαιδευτικά ιδρύματα A3/A5 ή F3. Αν οι συσκευές σας έχουν μόνο άδειες χρήσης Premium για Επιχειρήσεις ή Pro, δεν θα είναι διαθέσιμες οι Αποκατασταση. Ανατρέξτε στο θέμα Προαπαιτούμενα για την αποκατάσταση.