Secure Boot E2E automatiseerimise juhendi näidis

AvailableUpdatesPolicy rühmapoliitika

See on GPO/ADMX-iga juhitav võti, mis:

• Püsib kõigis taaskäivitamistes

• Määrab Rühmapoliitika / MDM

• Ei põhjusta uuesti proovimise tsükleid (cleared via ClearRolloutFlags)

• Kas poliitikapõhise juurutuse jaoks on õige võti?

Viide: RÜHMAPOLIITIKA objektide (GPO) meetod Secure Boot Windowsi seadmetes IT-hallatavate värskendustega

tagasi lehele "Serdi Teabevärskendused sätete viide" 

WinCSFlags – Windowsi konfiguratsioonisüsteemi lipud

Domeeniadministraatorid saavad teise võimalusena kasutada Windowsi operatsioonisüsteemi värskendustega välja antud Windowsi konfiguratsioonisüsteemi (WinCS), et juurutada turvalise algkäivituse värskendused domeeniga liidetud Windowsi klientrakendustes ja serverites. See koosneb käsurealiidese (CLI) utiliidist , mille abil saab teha päringuid ja rakendada seadmele kohalikult secure Booti konfiguratsioone.

Viide: Windowsi konfiguratsioonisüsteemi (WinCS) API-d turvaliseks käivitamiseks

tagasi lehele "Serdi Teabevärskendused sätete viide"

tagasi üles

1. etapi jaoks vajalikud skriptid

Secure Boot Inventory Data Collectioni skriptide näidis

tagasi "Phase 1: Detection and Status Monitoring at Enterprise level" ("Etapp 1: tuvastamine ja oleku jälgimine suurettevõtte tasandil")

Kohalik testimine

Enne juurutamist GPO kaudu testige funktsiooni kontrollimiseks kogumisskripti ühes arvutis. 

• Käivita kogumi skript kohalikult
  
  Avage ülemaõigustes PowerShelli viip ja käivitage:

  & .\Detect-SecureBootCertUpdateStatus.ps1 -OutputPath "C:\Temp\SecureBootTest" 

• JSON-väljundi kontrollimine

  
  # View the collected data  Get-Content "C:\Temp\SecureBootTest\*_latest.json" | ConvertFrom-Json | Format-List

  Kinnitatavad  
  võtmeväljad • SecureBootEnabled – peab olema tõene või väär
  • OverallStatus – Complete, ReadyForUpdate, NeedsData või Error
  • BucketHash – seadme salv usaldusandmete vastendamiseks
  • SecureBootTaskEnabled – näitab secure Boot Update'i toimingu olekut.

• Testi koondskripti

  
  # Generate reports from collected data  & .\Aggregate-SecureBootCertStatus.ps1" '
      -InputPath "C:\Temp\SecureBootTest" '
      -OutputPath "C:\Temp\SecureBootReports"
  
  # Avage HTML-i armatuurlaud   

  Start-Process "C:\Temp\SecureBootReports\SecureBoot_Dashboard_*.html"

tagasi "Phase 1: Detection and Status Monitoring at Enterprise level" ("Etapp 1: tuvastamine ja oleku jälgimine suurettevõtte tasandil") 

Võrguketta häälestamine

• Võrguketta
  
  loomine Looge oma failiserveris andmete kogumiseks spetsiaalne jagamine.

  
  # Run on file server as Administrator  $SharePath = "D:\SecureBootCollection"
  $ShareName = "SecureBootData$"
  
  # Loo kaust
  New-Item -ItemType'i kaust -tee $SharePath -Force
  
  # Peidetud ühiskasutuse loomine ($ järelliide peidetakse sirvimisloendis)
  New-SmbShare -Name $ShareName -Path $SharePath '
      -Kirjeldus "Secure Boot Certificate Status Collection" '
      -FullAccess "Domain Admins" '
      -ChangeAccess "Autenditud kasutajad"    

• NTFS-i õiguste konfigureerimine

  
  # Get current ACL  $Acl = Get-Acl $SharePath
  
  # Luba autenditud kasutajatel faile
  kirjutada $WriteRule = New-Object System.Security.AccessControl.FileSystemAccessRule(
      "Autenditud kasutajad",
      "CreateFiles,AddendData,WriteAttributes,WriteExtendedAttributes",
      "ContainerInherit,ObjectInherit",
      "Pole",
      "Allow" (Luba)
  )
  $Acl.AddAccessRule($WriteRule)
  
  # Luba domeeniadministraatoritel täielik kasutusõigus (koondamiseks)
  $AdminRule = New-Object System.Security.AccessControl.FileSystemAccessRule(
      "Domeeniadministraatorid",
      "FullControl",
      "ContainerInherit,ObjectInherit",
      "Pole",
      "Allow" (Luba)
  )
  $Acl.AddAccessRule($AdminRule)
  
  # Rakenda õigused
  Set-Acl –tee $SharePath -AclObject $Acl       

• Accessi ühiskasutuse kinnitamine

  
  # Test from a domain-joined workstation  Test-Path "\\fileserver\SecureBootData$"
  # Peaks tagastama: Tõene

tagasi "Phase 1: Detection and Status Monitoring at Enterprise level" ("Etapp 1: tuvastamine ja oleku jälgimine suurettevõtte tasandil") 

GPO juurutamine

Kasutage domeenikontrolleri pakutavat automatiseerimisskripti.

See skript teeb järgmist:

• Loob uue määratud nimega GPO

• Kopeerib suure kättesaadavuse jaoks kogumisskripti SYSVOL-i

• Konfigureerib arvuti käivitusskripti

• Lingib GPO siht-OU-ga

• Soovi korral loob ajastatud toimingu perioodiliseks kogumiseks

Järgmises tabelis on toodud juhised selle kohta, kui kaua viivitused olenevad teie laevastiku suurusest.

tagasi "Phase 1: Detection and Status Monitoring at Enterprise level" ("Etapp 1: tuvastamine ja oleku jälgimine suurettevõtte tasandil") 

GPO sätete kokkuvõte

tagasi "Phase 1: Detection and Status Monitoring at Enterprise level" ("Etapp 1: tuvastamine ja oleku jälgimine suurettevõtte tasandil") 

Kontrollimine

• Force GPO Update on Test Machine

  
  ## On a test workstation  gpupdate /force
  
  # Taaskäivitage klientarvutid skripti käivitamiseks või see käivitub järgmisel ajakaval.  
  Restart-Computer – jõustamine

• Andmete kogumise kontrollimine

  # Kontrollige, kas andmeid koguti (failiserveris või mis tahes seadmes)
  Get-ChildItem "\\fileserver\SecureBootData$" |  
      Sort-Object LastWriteTime -Descending |  
      Select-Object – esimene 10
   
  # Kinnita JSON-sisu
  Get-Content "\\fileserver\SecureBootData$\TESTPC_latest.json" | ConvertFrom-Json 

• GPO rakenduse kontrollimine

  # Veenduge, et GPO oleks arvutile
  rakendatud gpresult /r /scope:arvuti | Select-String "SecureBoot"
  S
  Skript salvestab ka kohaliku koopia koondamiseks.
  Get-ChildItem "C:\ProgramData\SecureBootCollection\" 

tagasi "Phase 1: Detection and Status Monitoring at Enterprise level" ("Etapp 1: tuvastamine ja oleku jälgimine suurettevõtte tasandil")

tagasi üles 

2. etapi jaoks vajalikud skriptid

Secure Boot Inventory Data Collectioni skriptide näidis

tagasi "Phase 2: Secure Boot Certificate Update Orchestration Scripts" 

Start-SecureBootRolloutOrchestrator.ps1

• Eesmärk: Täielik automaatne, pidev orkestreerimine automaatse GPO juurutamisega.

• Mida see teeb?

  • Kõned Aggregate-SecureBootData.ps1 seadme oleku jaoks

  • Genereerib väljalaskelained progressiivse kahekordistamise abil

  • Loob serdi juurutamiseks GPO, kasutades ühte järgmistest meetoditest

    • Secure boot Group policy AvailableUpdatesPolicy = 0x5944 (vaikesäte)

    • WinCS-meetod (parameeter – UseWinCS)

  • Loob sihtimiseks AD turberühmad

  • Lisab arvutikontod turberühmadesse

  • Konfigureerib GPO turbefiltrimise

  • Lingib GPO siht-OU-ga

  • Blokeeritud salvede kuvarid (kättesaamatud seadmed)

  • Automaatne blokeeringu eemaldamine seadmete taastamisel

• Kasutamine

  
  # Interactive (testing) .\Start-SecureBootRolloutOrchestrator.ps1 '
      -AggregationInputPath "\\fileserver\SecureBootData$" '
      -ReportBasePath "C:\SecureBootReports" '
      -PollIntervalMinutes 30

  
  # Interactive (testing), leveraging WinCS method .\Start-SecureBootRolloutOrchestrator.ps1 '
      -AggregationInputPath "\\fileserver\SecureBootData$" '
      -ReportBasePath "C:\SecureBootReports" '
      -PollIntervalMinutes 1440 -UseWinCS

• käskude Haldus

  
  # List blocked buckets .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" - ListBlockedBuckets

  
  # Unblock specific bucket .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -UnblockBucket "Dell|Laiuskraad5520|BIOS1.2"

  
  # Unblock all .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" - UnblockAll

• Parameetrid

  Parameeter	Vaikesäte	Kirjeldus
  AggregationInputPath	Nõutav	UNC-tee lõpp-punkti JSON-failideni
  ReportBasePath	Nõutav	Aruannete ja oleku kohalik tee
  TargetOU	Domeeni juur	OU GOS-ide linkimiseks
  WavePrefix	SecureBoot-Rollout	GPO/rühma nime eesliide
  MaxWaitHours	72	Tunnid enne seadme juurdepääsetavuse kontrollimist
  PollIntervalMinutes	1440	Olekukontrollide vahelised minutid
  DryRun	False	Saate kuvada, mis juhtub ilma muudatusteta

tagasi "Phase 2: Secure Boot Certificate Update Orchestration Scripts"  

Deploy-OrchestratorTask.ps1

• Eesmärk: Juurutab orkestri Windowsi ajastatud toiminguna.

• Eelised

  • PowerShelli turbeviipasid pole (ExecutionPolicy Bypass)

  • Töötab pidevalt taustal

  • Kasutajasuhtlused pole nõutavad

  • Püsib taaskäivitustel

• Kasutamine

  • Juurutamine domeeniteenuse kontoga (soovitatav)

    • Use AvailableUpdates Rühmapoliitika (vaikemeetod)

      .\Deploy-OrchestratorTask.ps1 '
          -AggregationInputPath "\\server\SecureBootData$" '
          -ReportBasePath "C:\SecureBootReports" '
          -ServiceAccount "DOMAIN\svc_secureboot"

    • WinCS-i meetodi kasutamine

      .\Deploy-OrchestratorTask.ps1 '
          -AggregationInputPath "\\server\SecureBootData$" '
          -ReportBasePath "C:\SecureBootReports" '
          -ServiceAccount "DOMEEN\svc_secureboot" -UseWinCS

  • Juurutamine SYSTEM-kontoga

    • Use AvailableUpdates Rühmapoliitika (vaikemeetod)

      .\Deploy-OrchestratorTask.ps1 '
          -AggregationInputPath "\\server\SecureBootData$" '
          -ReportBasePath "C:\SecureBootReports"

    • WinCS-i method.\Deploy-OrchestratorTask.ps1 kasutamine

          -AggregationInputPath "\\server\SecureBootData$" '
          -ReportBasePath "C:\SecureBootReports" - UseWinCS

    • Teenusekonto nõuded

      • Domeeni Haldus (New-GPO, New-ADGroup, Add-ADGroupMember)

      • JSON-failiketta lugemisõigus

      • ReportBasePathi kirjutamisõigus

tagasi "Phase 2: Secure Boot Certificate Update Orchestration Scripts"  

Get-SecureBootRolloutStatus.ps1

• Eesmärk: Saate kuvada mis tahes tööjaam väljalaske edenemise.

• Mida see kuvab?

  • Ajastatud toimingu olek (töötab/valmis/peatatud)

  • Praegune lainenumber

  • Sihitud seadmed ja värskendatud seadmed

  • Visuaalne edenemisriba

  • Blokeeritud salvede kokkuvõte

  • Lingi uusima HTML-i armatuurlauaga

• Kasutamine

  
  # Quick status check .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports"

  
  # Continuous monitoring (refreshes every 30 seconds) .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -Watch 30

  
  # View blocked buckets .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -ShowBlocked

  
  # View wave history .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -ShowWaves

  
  # View recent log .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -ShowLog

  
  # Open dashboard in browser .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" - OpenDashboard

• Väljundi näidis

  
  ==============================================================    SECURE BOOT ROLLOUT STATUS
     2026-02-17 19:30:00
  ======================================================

  Scheduled Task: Running

  
  ROLLOUT PROGRESS
  ---------------------------------------- Olek: inProgress
  Praegune laine: 5
  Sihtrühm kokku: 1250
  Kokku värskendatud: 847

  Progress: [█████████████████████░░░░░░░░░░░░░░░░░░░] 67.8%

  
  BLOCKED BUCKETS: 2 buckets need attention   Käivita koos üksikasjadega -ShowBlocked

  
  LATEST DASHBOARD
  C:\SecureBootReports\Aggregation_20260217_193000\SecureBoot_Dashboard.html __________________________________________________________________________________________

tagasi "Phase 2: Secure Boot Certificate Update Orchestration Scripts"

tagasi üles 

Etapp 1: tuvastustaristu

• 1. toiming: kogumi ühiskasutuse loomine

  
  # On file server $sharePath = "D:\SecureBootData"
  New-Item -ItemType'i kaust -tee $sharePath -Force
  New-SmbShare -Name "SecureBootData$" -Path $sharePath -FullAccess "Domain Admins" -ChangeAccess "Domain Computers"

  
  # Set NTFS permissions $acl = Get-Acl $sharePath
  $rule = New-Object System.Security.AccessControl.FileSystemAccessRule("Domain Computers","Modify","Allow")
  $acl. AddAccessRule($rule)
  Set-Acl $sharePath $acl

• 2. juhis: juurutage tuvastamise GPO

  
  .\Deploy-GPO-SecureBootCollection.ps1 `     -DomainName "contoso.com" '
      -OUPath "OU=Workstations,DC=contoso,DC=com" '
      -CollectionSharePath "\\server\SecureBootData$"

• 3. toiming: lõpp-punktide aruande ootamine (24–48 tundi)

  # Kogumi edenemise
  kontrollimine (Get-ChildItem "\\server\SecureBootData$" - Filter "*.json"). Loendus

tagasi jaotisse "E2E juurutustoimingud (lühijuhend)" 

Etapp 2: orkestreeritud väljalaskmine

• 4. juhis: eeltingimuste kontroll

  • Juurutatud tuvastamise GPO (juhis 2)

  • Vähemalt 50 lõpp-punkti, mis teatavad JSON-ist

  • Domeeni Haldus õigustega teenusekonto

  • PowerShell 5.1+ haldusserver

• 5. juhis: juurutage Orchestrator ajastatud toiminguna

  
  .\Deploy-OrchestratorTask.ps1 `     -AggregationInputPath "\\server\SecureBootData$" '
      -ReportBasePath "C:\SecureBootReports" '
      -ServiceAccount "DOMAIN\svc_secureboot"

• 6. juhis: edenemise jälgimine

  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports"

• 7. juhis: kuva armatuurlaud

  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -OpenDashboard

• 8. juhis: blokeeritud salvede haldamine

  
  # List blocked .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" - ListBlockedBuckets

  
  # Investigate and unblock .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -UnblockBucket "Manufacturer|Mudel|BIOS"

• 9. juhis: lõpuleviimise kinnitamine

  
  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" # Status should show "Completed" (Lõpetatud)

tagasi jaotisse "E2E juurutustoimingud (lühijuhend)"  

Osariik Files

Orkestritor säilitab oleku asukohas ReportBasePath\RolloutState\:

tagasi jaotisse "E2E juurutustoimingud (lühijuhend)" 

tagasi üles 

Orchestrator Not Progressing

1. Ajastatud toimingu kontrollimine

   Get-ScheduledTask -TaskName "SecureBoot-Rollout-Orchestrator"

2. Logide kontrollimine

   Get-Content "C:\SecureBootReports\RolloutState\Orchestrator_*.log" -Tail 50

3. JSON-andmete värskuse kontrollimine

   (Get-ChildItem "\\server\SecureBootData$" -Filter "*.json" | Where-Object { $_.LastWriteTime -gt (Get-Date).AddDays(-1) }).Count

tagasi jaotisse "Tõrkeotsing" 

Blokeeritud salved

1. Loend on blokeeritud.

   .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -ListBlockedBuckets

2. Uurige seadme kasutatavust.

3. Otsige püsivaraprobleeme.

4. Tühista blokeering pärast uurimist.

tagasi jaotisse "Tõrkeotsing"  

GPO ei kehti

1. Veenduge, et GPO oleks olemas.

   Get-GPO -Name "SecureBoot-Rollout-Wave*"

2. Kontrollige turbefiltrit.

   Get-GPPermission -Name "GPO-Name" -All

3. Veenduge, et arvuti on turberühmas.

4. Rakendage GPO sihile.

   gpupdate /force

tagasi jaotisse "Tõrkeotsing"

tagasi üles