Guía de automatización de E2E de arranque seguro de ejemplo

Directiva de grupo AvailableUpdatesPolicy

Esta es la clave controlada por GPO/ADMX que:

• Continúa durante los reinicios

• Se establece por directiva de grupo/MDM

• No causa bucles de reintento (borrado a través de ClearRolloutFlags)

• Es la clave correcta para la implementación controlada por directivas

Referencia: método de objetos de directiva de grupo (GPO) de arranque seguro para dispositivos Windows con actualizaciones administradas por TI

"Certificate Novedades Settings Reference" 

WinCSFlags: marcas del sistema de configuración de Windows

Los administradores de dominios pueden usar alternativamente el Sistema de configuración de Windows (WinCS) publicado con actualizaciones del sistema operativo Windows para implementar las actualizaciones de arranque seguro en los clientes y servidores de Windows unidos a un dominio. Consiste en una utilidad de interfaz de línea de comandos (CLI) para consultar y aplicar configuraciones de arranque seguro localmente a un equipo.

Referencia: API del sistema de configuración de Windows (WinCS) para arranque seguro

"Certificate Novedades Settings Reference"

volver al principio

Scripts necesarios para la fase 1

Ejemplo de scripts de recopilación de datos de inventario de arranque seguro

"Fase 1: Detección y supervisión del estado a nivel empresarial"

Pruebas locales

Antes de realizar la implementación a través de GPO, pruebe el script de colección en un único equipo para comprobar la funcionalidad. 

• Ejecutar script de colección localmente
  
  Abra un símbolo del sistema con privilegios elevados de PowerShell y ejecute:

  & .\Detect-SecureBootCertUpdateStatus.ps1 -OutputPath "C:\Temp\SecureBootTest" 

• Comprobar salida JSON

  
  # View the collected data  Get-Content "C:\Temp\SecureBootTest\*_latest.json" | ConvertFrom-Json | Format-List

  Campos clave para comprobar  
  • SecureBootEnabled : debe ser Verdadero o Falso
  • OverallStatus : completado, ReadyForUpdate, NeedsData o Error
  • BucketHash : cubo del dispositivo para la coincidencia
  de datos de confianza • SecureBootTaskEnabled : muestra el estado de la tarea de actualización de arranque seguro.

• Script de agregación de pruebas

  
  # Generate reports from collected data  & ".\Aggregate-SecureBootData.ps1" '
      -InputPath "C:\Temp\SecureBootTest" '
      -OutputPath "C:\Temp\SecureBootReports"
  
  # Abrir el panel
  HTML Start-Process "C:\Temp\SecureBootReports\SecureBoot_Dashboard_*.html"  

"Fase 1: Detección y supervisión del estado a nivel empresarial" 

Configuración de recurso compartido de red

• Crear el recurso compartido
  
  de red En el servidor de archivos, cree un recurso compartido dedicado para los datos de recopilación:

  
  # Run on file server as Administrator  $SharePath = "D:\SecureBootCollection"
  $ShareName = "SecureBootData$"
  
  # Crear carpeta
  New-Item directorio -ItemType -Path $SharePath -Force
  
  # Crear un recurso compartido oculto ($ sufijo se oculta de la lista de exploración)
  New-SmbShare -Name $ShareName -Path $SharePath '
      -Description "Secure Boot Certificate Status Collection" '
      -FullAccess "Administradores de dominio" '
      -ChangeAccess "Domain Computers"    

• Configurar permisos NTFS

  
  # Get current ACL  $Acl = Get-Acl $SharePath
  
  # Permitir que los usuarios autenticados escriban archivos
  $WriteRule = New-Object System.Security.AccessControl.FileSystemAccessRule(
  "Equipos de dominio" y
  "Modificar",
      "ContainerInherit,ObjectInherit",
      "Ninguno",
      "Permitir"
  )
  $Acl.AddAccessRule($WriteRule)
  
  # Permitir el control total de los administradores de dominios (para la agregación)
  $AdminRule = New-Object System.Security.AccessControl.FileSystemAccessRule(
      "Administradores de dominio",
      "FullControl",
      "ContainerInherit,ObjectInherit",
      "Ninguno",
      "Permitir"
  )
  $Acl.AddAccessRule($AdminRule)
  
  # Aplicar permisos
  Set-Acl -Path $SharePath -AclObject $Acl       

• Comprobar el acceso compartido

  
  # Test from a domain-joined workstation  Test-Path "\\fileserver\SecureBootData$"
  # Debería devolver: True

"Fase 1: Detección y supervisión del estado a nivel empresarial" 

Implementación de GPO

Use el script de automatización proporcionado desde un controlador de dominio:

Este script realizará lo siguiente:

• Crea un GPO nuevo con el nombre especificado

• Copia el script de colección a SYSVOL para alta disponibilidad

• Configura el script de inicio del equipo

• Vincula GPO a ou de destino

• Opcionalmente, se crea una tarea programada para la recopilación periódica

La tabla siguiente proporciona instrucciones sobre cuánto tiempo se basará el retraso en función del tamaño de la flota.

"Fase 1: Detección y supervisión del estado a nivel empresarial" 

Resumen de la configuración de GPO

"Fase 1: Detección y supervisión del estado a nivel empresarial" 

Comprobación

• Forzar la actualización de GPO en prueba machine

  
  ## On a test workstation  gpupdate /force
  
  # Reinicia los equipos cliente para iniciar el script o se desencadenará en la siguiente programación.  
  Restart-Computer : fuerza

• Comprobar recopilación de datos

  # Comprueba si se recopilaron datos (en el servidor de archivos o desde cualquier equipo)
  Get-ChildItem "\\fileserver\SecureBootData$" |  
      Sort-Object LastWriteTime -Descending |  
      Select-Object - Primeros 10
   
  # Comprobar el contenido
  JSON Get-Content "\\fileserver\SecureBootData$\TESTPC_latest.json" | ConvertFrom-Json 

• Comprobar la aplicación GPO

  # Comprobar que el GPO se aplica al equipo
  Select-String "SecureBoot"
  El script también guarda una copia local para redundancia:
  Get-ChildItem "C:\ProgramData\SecureBootCollection\" 

"Fase 1: Detección y supervisión del estado a nivel empresarial"

volver al principio 

Scripts necesarios para la fase 2

Ejemplo de scripts de recopilación de datos de inventario de arranque seguro

"Phase 2: Secure Boot Certificate Update Orchestration Scripts" 

Start-SecureBootRolloutOrchestrator.ps1

• Finalidad: Orquestación continua totalmente automatizada con implementación automatizada de GPO.

• Qué hace

  • Llamadas Aggregate-SecureBootData.ps1 para el estado del dispositivo

  • Genera ondas de implementación mediante duplicación progresiva

  • Crea GPO para la implementación de certificados mediante uno de los métodos siguientes

    • Directiva de grupo de arranque seguro AvailableUpdatesPolicy = 0x5944 (Predeterminado)

    • Método WinCS (Parameter –UseWinCS)

  • Crea grupos de seguridad de AD para segmentación

  • Agrega cuentas de equipo a grupos de seguridad

  • Configura el filtrado de seguridad gpo

  • Vincula GPO a ou de destino

  • Monitores para cubos bloqueados (dispositivos no accesibles)

  • Se desbloquea automáticamente cuando los dispositivos se recuperan

• Uso

  
  # Interactive (testing) .\Start-SecureBootRolloutOrchestrator.ps1 '
      -AggregationInputPath "\\fileserver\SecureBootData$" '
      -ReportBasePath "C:\SecureBootReports" '
      -PollIntervalMinutes 30

  
  # Interactive (testing), leveraging WinCS method .\Start-SecureBootRolloutOrchestrator.ps1 '
      -AggregationInputPath "\\fileserver\SecureBootData$" '
      -ReportBasePath "C:\SecureBootReports" '
      -PollIntervalMinutes 30 '
      -UseWinCS

• comandos Administración

  
  # List blocked buckets .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -ListBlockedBuckets

  
  # Unblock specific bucket .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -UnblockBucket "Dell|Latitude5520|BIOS1.2"

  
  # Unblock all .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -UnblockAll

• parámetros

  Parámetro	Valor predeterminado	Descripción
  AggregationInputPath	Obligatorio	Ruta de acceso UNC a archivos JSON de punto de conexión
  ReportBasePath	Obligatorio	Ruta de acceso local para informes y estado
  TargetOU	Raíz de dominio	Unidad organizativa para vincular GPO
  WavePrefix	SecureBoot-Rollout	Prefijo de nomenclatura de GPO/grupo
  MaxWaitHours	72	Horas antes de comprobar el alcance del dispositivo
  PollIntervalMinutes	1440	Minutos entre comprobaciones de estado
  DryRun	falso	Mostrar lo que ocurriría sin cambios

  Nota sobre PollIntervalMinutes: Al ejecutar el organizador directamente, el valor predeterminado es 1440 minutos (24 horas). Cuando se implementa a través de Deploy-OrchestratorTask.ps1, el valor predeterminado es 30 minutos. El script de implementación pasa su propio valor predeterminado al organizador. Use 30 minutos para la implementación activa, 1440 para la supervisión del mantenimiento.

  Parámetros opcionales

  Parámetro	Valor predeterminado	Descripción
  UseWinCS	falso	Usar el método WinCS en lugar de AvailableUpdatesPolicy GPO
  WinCSKey	F33E0C8E002	Clave de WinCS para la configuración de arranque seguro
  AllowListPath	(ninguno)	Ruta de acceso al archivo con nombres de host para PERMITIR para el lanzamiento piloto o dirigido. Admite .txt o .csv.
  AllowADGroup	(ninguno)	Grupo de seguridad de AD de cuentas de equipo para PERMITIR. Ejemplo: "SecureBoot-Pilot-Computers"
  ExclusionListPath	(ninguno)	Ruta de acceso al archivo con nombres de host para EXCLUIR del lanzamiento (dispositivos VIP/ejecutivos)
  ExcludeADGroup	(ninguno)	Grupo de seguridad de AD de cuentas de equipo para excluir. Ejemplo: "VIP-Computers"
  ListBlockedBuckets	falso	Mostrar cubos de dispositivos bloqueados actualmente
  DesbloquearBucket	(ninguno)	Desbloquear un cubo específico. Formato: "Fabricante|Modelo|BIOS"
  Desbloquear todo	falso	Desbloquear todos los cubos de dispositivos bloqueados

"Phase 2: Secure Boot Certificate Update Orchestration Scripts"  

Deploy-OrchestratorTask.ps1

• Finalidad: Implementa el organizador como una tarea programada de Windows.

• Beneficios

  • Sin avisos de seguridad de PowerShell (ExecutionPolicy Bypass)

  • Se ejecuta en segundo plano continuamente

  • No es necesaria ninguna interacción del usuario

  • Sobrevive reinicios

• Uso

  • Implementar con una cuenta de servicio de dominio (recomendado)

    • Usar AvailableUpdates directiva de grupo (método predeterminado)

      .\Deploy-OrchestratorTask.ps1 '
          -AggregationInputPath "\\servidor\SecureBootData$" '
          -ReportBasePath "C:\SecureBootReports" '
          -ServiceAccount "DOMAIN\svc_secureboot"

    • Usar el método WinCS

      .\Deploy-OrchestratorTask.ps1 '
          -AggregationInputPath "\\servidor\SecureBootData$" '
          -ReportBasePath "C:\SecureBootReports" '
          -ServiceAccount "DOMAIN\svc_secureboot" -UseWinCS

  • Implementar con la cuenta SYSTEM

    • Usar AvailableUpdates directiva de grupo (método predeterminado)

      .\Deploy-OrchestratorTask.ps1 '
          -AggregationInputPath "\\servidor\SecureBootData$" '
          -ReportBasePath "C:\SecureBootReports"

    • Usar wincs method.\Deploy-OrchestratorTask.ps1

          -AggregationInputPath "\\servidor\SecureBootData$" '
          -ReportBasePath "C:\SecureBootReports" -UseWinCS

    • Requisitos de la cuenta de servicio

      • Administración de dominio (para New-GPO, New-ADGroup, Add-ADGroupMember)

      • Acceso de lectura al recurso compartido de archivos JSON

      • Acceso de escritura a ReportBasePath

"Phase 2: Secure Boot Certificate Update Orchestration Scripts"  

Get-SecureBootRolloutStatus.ps1

• Finalidad: Ver el progreso de implementación desde cualquier estación de trabajo.

• Qué se muestra

  • Estado de la tarea programada (Ejecutándose, Lista/Detenida)

  • Número de onda actual

  • Dispositivos dirigidos frente a actualizados

  • Barra de progreso visual

  • Resumen de cubos bloqueados

  • Vincular al panel HTML más reciente

• Uso

  
  # Quick status check .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports"

  
  # Continuous monitoring (refreshes every 30 seconds) .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -Watch 30

  
  # View blocked buckets .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -ShowBlocked

  
  # View wave history .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -ShowWaves

  
  # View recent log .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -ShowLog

  
  # Open dashboard in browser .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -OpenDashboard

• parámetros

  Parámetro	¿Obligatorio?	Valor predeterminado	Descripción
  ReportBasePath	Obligatorio	—	Ruta de acceso local a informes y archivos de estado
  ShowLog	IEEE 802.1Q	falso	Mostrar las entradas de registro recientes del organizador
  ShowBlocked	IEEE 802.1Q	falso	Mostrar detalles de cubos bloqueados
  ShowWaves	IEEE 802.1Q	falso	Mostrar el historial de onda
  Visitas	IEEE 802.1Q	0 (deshabilitado)	Intervalo de actualización automática en segundos. Ejemplo: -Watch 30 se actualiza cada 30 segundos.
  OpenDashboard	IEEE 802.1Q	falso	Abrir el panel HTML más reciente en el explorador predeterminado

• Salida de ejemplo

  
  ==============================================================    ESTADO
  DE IMPLEMENTACIÓN DE ARRANQUE SEGURO    2026-02-17 19:30:00
  ======================================================

  Scheduled Task: Running

  
  ROLLOUT PROGRESS
  ---------------------------------------- Estado: InProgress
  Ola actual: 5
  Total dirigido: 1250
  Total actualizado: 847

  Progress: [█████████████████████░░░░░░░░░░░░░░░░░░░] 67.8%

  
  BLOCKED BUCKETS: 2 buckets need attention   Ejecutar con -ShowBlocked para obtener más información

  
  LATEST DASHBOARD
  C:\SecureBootReports\Aggregation_20260217_193000\SecureBoot_Dashboard.html __________________________________________________________________________________________

"Phase 2: Secure Boot Certificate Update Orchestration Scripts"

volver al principio 

Fase 1: Infraestructura de detección

• Paso 1: Crear recurso compartido de colección

  
  # On file server $sharePath = "D:\SecureBootData"
  New-Item directorio -ItemType -Path $sharePath -Force
  New-SmbShare -Name "SecureBootData$" -Path $sharePath -FullAccess "Domain Admins" -ChangeAccess "Domain Computers"

  
  # Set NTFS permissions $acl = Get-Acl $sharePath
  $rule = New-Object System.Security.AccessControl.FileSystemAccessRule("Domain Computers","Modify","Allow")
  $acl. AddAccessRule($rule)
  Set-Acl $sharePath $acl

• Paso 2: Implementar GPO de detección

  
  .\Deploy-GPO-SecureBootCollection.ps1 `     -DomainName "contoso.com" '
      -OUPath "OU=Workstations,DC=contoso,DC=com" '
      -CollectionSharePath "\\servidor\SecureBootData$"

• Paso 3: Espere a que los puntos de conexión informen (24-48 horas)

  # Comprobar el progreso
  de la colección (Get-ChildItem "\\servidor\SecureBootData$" -Filter "*.json"). Contar

volver a "Pasos de implementación E2E (Guía de referencia rápida)" 

Fase 2: Lanzamiento orquestado

• Paso 4: Comprobación de requisitos previos

  • Gpo de detección implementado (paso 2)

  • Al menos 50 puntos de conexión que informan de JSON

  • Cuenta de servicio con derechos de Administración de dominio

  • Servidor de administración con PowerShell 5.1+

• Paso 5: Implementar organizador como tarea programada

  
  .\Deploy-OrchestratorTask.ps1 `     -AggregationInputPath "\\servidor\SecureBootData$" '
      -ReportBasePath "C:\SecureBootReports" '
      -ServiceAccount "DOMAIN\svc_secureboot"

• Paso 6: Supervisar el progreso

  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports"

• Paso 7: Ver panel

  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -OpenDashboard

• Paso 8: Administrar cubos bloqueados

  
  # List blocked .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -ListBlockedBuckets

  
  # Investigate and unblock .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -UnblockBucket "Manufacturer|Modelo|BIOS"

• Paso 9: Comprobar la finalización

  
  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" # El estado debe mostrar "Completado"

volver a "Pasos de implementación E2E (Guía de referencia rápida)"  

Files de estado

El organizador mantiene el estado en ReportBasePath\RolloutState\:

volver a "Pasos de implementación E2E (Guía de referencia rápida)" 

volver al principio 

Organizador no progresa

1. Comprobar la tarea programada

   Get-ScheduledTask -TaskName "SecureBoot-Rollout-Orchestrator"

2. Comprobar registros

   Get-Content "C:\SecureBootReports\RolloutState\Orchestrator_*.log" -Tail 50

3. Comprobar la calidad de los datos JSON

   (Get-ChildItem "\\server\SecureBootData$" -Filter "*.json" | Where-Object { $_.LastWriteTime -gt (Get-Date).AddDays(-1) }).Count

volver a "Solución de problemas" 

Cubos bloqueados

1. Lista bloqueada.

   .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -ListBlockedBuckets

2. Investigar la accesibilidad del dispositivo.

3. Comprobar si hay problemas de firmware.

4. Desbloquear después de la investigación.

volver a "Solución de problemas"  

No se aplica GPO

1. Compruebe la existencia de GPO.

   Get-GPO -Name "SecureBoot-Rollout-Wave*"

2. Comprobar el filtrado de seguridad.

   Get-GPPermission -Name "GPO-Name" -All

3. Comprueba que el equipo está en el grupo de seguridad.

4. Aplicar el GPO en el destino.

   gpupdate /force

volver a "Solución de problemas"

volver al principio