עדכוני אישור אתחול מאובטח: הדרכה עבור מומחי IT וארגונים

חל על
Windows 10 Windows 10, version 1607, all editions Win 10 Ent LTSC 2019 Win 10 IoT Ent LTSC 2019 Windows 10 IoT Core LTSC Windows 10 Enterprise LTSC 2021 Windows 10 IoT Enterprise LTSC 2021 Windows 10, version 22H2, all editions Windows 11 Home and Pro, version 21H2 Windows 11 Enterprise Multi-Session, version 21H2 Windows 11 Enterprise and Education, version 21H2 Windows 11 IoT Enterprise, version 21H2 Windows 11 Home and Pro, version 22H2 Windows 11 Enterprise Multi-Session, version 22H2 Windows 11 Enterprise and Education, version 22H2 Windows 11 IoT Enterprise, version 22H2 Windows 11 SE, version 23H2 Windows 11 Home and Pro, version 23H2 Windows 11 Enterprise and Education, version 23H2 Windows 11 Enterprise Multi-Session, version 23H2 Windows 11 SE, version 24H2 Windows 11 Enterprise and Education, version 24H2 Windows 11 Enterprise Multi-Session, version 24H2 Windows 11 Home and Pro, version 24H2 Windows 11 IoT Enterprise, version 24H2 Windows Server 2012 ESU Windows Server 2012 R2 ESU Windows Server 2016 Windows Server 2019 Windows Server 2022 Windows Server 2025

הערה

  • תאריך פרסום מקורי: 26 ביוני 2025
  • מזהה KB: 5062713

הערה

דוח שינויים
שינוי תאריך תיאור השינוי
מאי 5, 2026
מרץ 30, 2026
  • נפתרה הבעיה הידועה, "עדכוני אישור אתחול מאובטח עשויים להיכשל עם מזהה אירוע 1795 במחשבים וירטואליים של Hyper-V"
מרץ 24, 2026
  • עדכון הבעיה הידועה, "עדכוני אישור אתחול מאובטח עשויים להיכשל עם מזהה אירוע 1795 במחשבים וירטואליים של Hyper-V"
מרץ 16, 2026
  • הסרנו את המקטע "נתוני מהימנות לדוגמה" תחת "קובץ Script לדוגמה של איסוף נתוני מלאי מאובטח לאתחול" מכיוון שהוא לא מעודכן.
מרץ 3, 2026
  • עיצבנו מחדש את הפלט לדוגמה תחת המקטע "הכנה" כך שהוא יישאר בתוך התיבה.
פברואר 24, 2026
  • עודכן התוכן עבור 'קובץ Script לדוגמה לאיסוף נתוני מלאי אתחול מאובטח' תחת הסעיף ' הכנה'.
  • נוסף סעיף חדש 'פלט לדוגמה' תחת המקטע 'הכנה'.
פברואר 23, 2026
  • עודכן התוכן עבור 'קובץ Script לדוגמה לאיסוף נתוני מלאי אתחול מאובטח' תחת הסעיף ' הכנה'.
פברואר 13, 2026
  • נוספו הפריטים "נתוני ביטחון לדוגמה" לסעיף " הכנה".
  • הסרנו את "סקריפט האיסוף לאירועים ממתינים 1801 ו-1808" מהסעיף "הכנה" מכיוון שהוא כבר לא נחוץ.
פברואר 3, 2026
  • הועבר ועצב מחדש בעיות נפוצות במקטע 'פתרון בעיות'.
  • נוספה בעיה נפוצה חדשה: "עדכוני אישור אתחול מאובטח עשויים להיכשל עם מזהה אירוע 1795 במחשבים וירטואליים של Hyper-V".
ינואר 26, 2026
  • עודכן הטקסט תחת "סיוע בפריסה אוטומטית" מתוך " שני הסיועים דורשים נתוני אבחון." ל- " רק סיוע בפריסת תכונות מבוקרת דורש נתוני אבחון.
11 בנובמבר 2025 תוקנו שתי שגיאות הקלדה תחת "תמיכה בפריסת אישור אתחול מאובטח".
  • 0x0800 - שם האישור השתנה מ- "Microsoft UEFI CA 2023" ל- "Microsoft Option ROM UEFI CA 2023".
  • 0x1000 - השתנה "Microsoft Option ROM CA 2023" ל- "Microsoft UEFI CA 2023".
10 בנובמבר 2025
  • תוקנו שתי שגיאות הקלדה תחת "אישור חדש": מ- " Microsoft Corporation KEK CA 2023" ל- " Microsoft Corporation KEK 2K CA 2023" ומ- " Microsoft Option ROM CA 2023" ל- " Microsoft Option ROM UEFI CA 2023".
  • סקריפטים חדשים של PowerShell נוספו תחת הכותרות "אימות מצב אתחול מאובטח בכל הצי שלך: האם אתחול מאובטח מופעל?" ו"הכנה".

במאמר זה:

סקירה כללית

מאמר זה מיועד לארגונים עם מומחי IT ייעודיים שמנהלים באופן פעיל עדכונים בצי המכשירים שלהם. רוב מאמר זה יתמקד בפעילויות הנחוצות כדי שמחלקת ה- IT של הארגון תוכל לפרוס בהצלחה את אישורי האתחול המאובטח החדשים. פעילויות אלה כוללות בדיקת קושחה, ניטור עדכוני מכשירים, התחלת פריסה ואבחון בעיות כאשר הן מתעוררות. מוצגות שיטות מרובות של פריסה וניטור. בנוסף לפעילויות ליבה אלה, אנו מציעים כמה עזרי פריסה, כולל האפשרות להצטרף למכשירי לקוח להשתתפות בפריסת תכונות מבוקרת (CFR) במיוחד עבור פריסת אישורים.

מדריך פריסה עבור מומחי IT

תכנן ובצע עדכונים של אישורי אתחול מאובטח בכל צי המכשירים שלך באמצעות הכנה, ניטור, פריסה ותיקון.

אימות מצב אתחול מאובטח בכל הצי שלך: האם אתחול מאובטח מופעל?

רוב המכשירים שיוצרו מאז 2012 תומכים באתחול מאובטח ונשלחים כאשר מופעל אתחול מאובטח. כדי לוודא שאתחול מאובטח מופעל במכשיר, בצע אחת מהפעולות הבאות:

  • שיטת ממשק משתמש: עבור אל 'התחל'>, 'הגדרות'>, 'פרטיות& 'אבטחה'אבטחת Windows'אבטחת>>מכשיר'. תחת אבטחת מכשיר, המקטע אתחול מאובטח אמור לציין שאתחול מאובטח מופעל.
  • שיטת שורת הפקודה: בשורת פקודה עם הרשאות מלאות ב- PowerShell, הקלד Confirm-SecureBootUEFI ולאחר מכן הקש Enter. הפקודה אמורה להחזיר True המציין שאתחול מאובטח מופעל.

בפריסות בקנה מידה גדול עבור צי מכשירים, תוכנת הניהול המשמשת את מומחי ה- IT תצטרך לספק בדיקת הפעלת אתחול מאובטח.

לדוגמה, השיטה לבדיקת מצב האתחול המאובטח במכשירים המנוהלים על-ידי Microsoft Intune היא יצירה ופריסה של קובץ Script מותאם אישית של תאימות של Intune. הגדרות התאימות של Intune כלולות במאמר 'שימוש בהגדרות תאימות מותאמות אישית עבור מכשירי Linux ו- Windows עם Microsoft Intune'.

הערה

  • קובץ Script של Powershell לדוגמה כדי לבדוק אם אתחול מאובטח מופעל:
  • # Initialize result object in preparation for checking Secure Boot state 
  • $result = [PSCustomObject]@{ 
  •    SecureBootEnabled = $null 
  • } 
  • try { 
  •    $result.SecureBootEnabled = Confirm-SecureBootUEFI -ErrorAction Stop 
  •    Write-Verbose "Secure Boot enabled: $($result.SecureBootEnabled)" 
  • } catch { 
  •    $result.SecureBootEnabled = $null 
  •    Write-Warning "Unable to determine Secure Boot status: $_" 
  • } 

אם אתחול מאובטח אינו מופעל, באפשרותך לדלג על שלבי העדכון שלהלן מאחר שהם אינם ישימים.

כיצד העדכונים נפרסים

קיימות מספר דרכים לייעד מכשירים עבור עדכוני אישור אתחול מאובטח. פרטי הפריסה, כולל הגדרות ואירועים, יידונו בהמשך מסמך זה. כאשר אתה מייעד מכשיר לעדכונים, נוצרת הגדרה במכשיר כדי לציין שהמכשיר צריך להתחיל בתהליך של החלת האישורים החדשים. משימה מתוזמנת פועלת במכשיר כל 12 שעות ומזהה שהמכשיר מיועד לעדכונים. להלן חלוקה לרמות של פעולות הפעילות:

  1. Windows UEFI CA 2023 מוחל על מסד הנתונים.
  2. אם המכשיר כולל את Microsoft Corporation UEFI CA 2011 ב- DB, המשימה מחילה את Microsoft Option ROM UEFI CA 2023 ואת Microsoft UEFI CA 2023 על מסד הנתונים.
  3. לאחר מכן, המשימה מוסיפה את Microsoft Corporation KEK 2K CA 2023.
  4. לבסוף, המשימה המתוזמנת מעדכנת את מנהל האתחול של Windows לזה שנחתם על ידי Windows UEFI CA 2023. Windows יזהה שיש צורך בהפעלה מחדש לפני שניתן יהיה להחיל את מנהל האתחול. עדכון מנהל האתחול יתעכב עד שההפעלה מחדש תתרחש באופן טבעי (למשל, בעת החלת עדכונים חודשיים), ולאחר מכן Windows תנסה שוב להחיל את עדכון מנהל האתחול.

יש להשלים בהצלחה כל אחד מהשלבים לעיל לפני שהמשימה המתוזמנת תעבור לשלב הבא. במהלך תהליך זה, יומני אירועים ומצבים אחרים יהיו זמינים כדי לסייע בניטור הפריסה. פרטים נוספים על ניטור ויומני אירועים מסופקים להלן.

עדכון אישורי האתחול המאובטחים מאפשר עדכון עתידי למנהל האתחול של 2023, שהוא מאובטח יותר. עדכונים ספציפיים ב- Boot Manager יהיו במהדורות עתידיות.

שלבי הפריסה

  • הכנה: מלאי ומכשירי בדיקה.
  • שיקולי קושחה
  • ניטור: ודא שעבודות הניטור והגדר את הצי שלך כבסיסי.
  • פריסה: התקני יעד לעדכונים, החל בערכות משנה קטנות והרחבה על סמך בדיקות מוצלחות.
  • תיקון: חקור ופתור בעיות באמצעות יומני רישום ותמיכת ספק.

הכנה

מלאי, חומרה וקושחה. בנה מדגם מייצג של מכשירים בהתבסס על יצרן המערכת, דגם המערכת, גרסת/תאריך ה- BIOS, גירסת המוצר של BaseBoard וכדומה, ובדוק עדכונים במכשירים אלה לפני פריסה רחבה.  פרמטרים אלה זמינים בדרך כלל ב'מידע מערכת' (MSINFO32). השתמש בפקודות PowerShell לדוגמה המצורפות כדי לבדוק את מצב עדכון אתחול מאובטח ולבצע מלאי של מכשירים ברחבי הארגון.

הערה

  • פקודות אלה חלות אם מצב אתחול מאובטח מופעל.
  • רבות מפקודות אלה זקוקות להרשאות מנהל מערכת כדי לעבוד.

קובץ Script לדוגמה לאיסוף נתונים של מלאי אתחול מאובטח

העתק והדבק קובץ Script לדוגמה זה ושנה אותו לפי הצורך עבור הסביבה שלך: קובץ ה- Script לדוגמה של איסוף נתוני מלאי מאובטח.

הערה

  • דוגמת פלט:
  • {"UEFICA2023Status":"Updated","UEFICA2023Error":null,"UEFICA2023ErrorEvent":null,
    "AvailableUpdates":"0x0","AvailableUpdatesPolicy":null,"Hostname":"LAPTOP-FEDU3LOS",
    "CollectionTime":"2026-02-23T08:40:36.5498322-08:00","SecureBootEnabled":true,
    "HighConfidenceOptOut":null,"MicrosoftUpdateManagedOptIn":null,"OEMManufacturerName":
    "Microsoft Corporation","OEMModelSystemFamily":"משטח","OEMModelNumber":
    "Surface Laptop 4","FirmwareVersion":32.101.143","FirmwareReleaseDate":"11/03/2025",
    "OSArchitecture":"AMD64","CanAttemptUpdateAfter":"2026-02-20T16:11:15.5890000Z","LatestEventId":
    1808,"BucketId":"04b339674931caf378feadaa64c64f0613227f70a7cd7258be63bb9e2d81767f",
    "Confidence":"UpdateType:Windows UEFI CA 2023 (DB), Option ROM CA 2023 (DB),
    3P UEFI CA 2023 (DB), KEK 2023, Boot Manager(2023)","SkipReasonKnownIssue":null,
    "Event1801Count":0,"Event1808Count":5,"Event1795Count":0,"Event1795ErrorCode":null,
    "Event1796Count":0,"Event1796ErrorCode":null,"Event1800Count":0,"RebootPending":false,
    "Event1802Count":0,"KnownIssueId":null,"Event1803Count":0,"MissingKEK":false,"OSVersion":
    "10.0.26200","LastBootTime":"2026-02-19T04:28:00.5000000-08:00","BaseBoardManufacturer":
    "Microsoft Corporation","BaseBoardProduct":"Surface Laptop 4","SecureBootTaskEnabled":true,
    "SecureBootTaskStatus":"Ready","WinCSKeyApplied":true,"WinCSKeyStatus":"Applied"}

רמות ביטחון של אתחול מאובטח

רמת ביטחון משמעות נדרשת פעולה
ביטחון גבוה Microsoft אימתה שמחלקת מכשירים זו בטוחה לעדכונים בטוח לפרוס עדכוני אישורים
תחת תצפית - נדרשים נתונים נוספים מיקרוסופט עדיין אוספת נתוני אבחון של פריסת אתחול מאובטח לגבי מכשירים אלה המתן לסיווג של Microsoft
לא נצפו נתונים - נדרשת פעולה מחלקת המכשיר אינה ידועה ל- Microsoft ארגון חייב לבדוק ולתכנן את הפריסה
מושהה זמנית בעיות תאימות ידועות בדוק אם קיים עדכון BIOS של OEM; המתן עד ש- Microsoft תפתור את הבעיה
לא נתמך - מגבלה ידועה מגבלות פלטפורמה או חומרה מסמך כחריגה

השלב הראשון אם אתחול מאובטח מופעל הוא לבדוק אם קיימים אירועים ממתינים שעודכנו לאחרונה או בתהליך עדכון אישורי האתחול המאובטח. מעניינים במיוחד הם האירועים האחרונים ב-1801 וב-1808. אירועים אלה מתוארים בפירוט באירועי עדכון משתנים של Secure Boot DB ו- DBX. עיין גם במקטע 'ניטור ופריסה' כדי לראות כיצד האירועים יכולים להציג את המצב של עדכונים ממתינים.

השלב הבא הוא לבצע מלאי של מכשירים ברחבי הארגון. אסוף את הפרטים הבאים עם פקודות PowerShell כדי לבנות מדגם מייצג:

הערה

  • מזהים בסיסיים (2 ערכים)
  • 1. HostName - $env: COMPUTERNAME
  • 2. CollectionTime - Get-Date
  • רישום: מפתח ראשי לאתחול מאובטח (3 ערכים)
  • 3. SecureBootEnabled - Confirm-SecureBootUEFI cmdlet או HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot
  • 4. HighConfidenceOptOut - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot
  • 5. עדכונים זמינים - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot
  • רישום: מפתח מתן שירות (3 ערכים)
  • 6. UEFICA2023סטטוס -HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing
  • 7. יכולת WindowsUEFICA2023 - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing
  • 8. UEFICA2023Error - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing
  • רישום: תכונות התקן (7 ערכים)
  • 9. OEMManufacturerName - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\DeviceAttributes
  • 10. OEMModelSystemFamily - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\DeviceAttributes
  • 11. OEMModelNumber - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\DeviceAttributes
  • 12. קושחהגרסה - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\DeviceAttributes
  • 13. FirmwareReleaseDate - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\DeviceAttributes
  • 14. OSArchitecture - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\DeviceAttributes
  • 15. CanAttemptUpdateAfter - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\DeviceAttributes
  • יומני אירועים: יומן מערכת (5 ערכים)
  • 16. LatestEventId - אירוע האתחול המאובטח האחרון
  • 17. BucketID - חולץ מאירוע 1801/1808
  • 18. ביטחון עצמי - נלקח מאירוע 1801/1808
  • 19. Event1801Count - ספירת אירועים
  • 20. Event1808Count - ספירת אירועים
  • שאילתות WMI/CIM (4 ערכים)
  • 21. OSVersion - Get-CimInstance Win32_OperatingSystem
  • 22. LastBootTime - Get-CimInstance Win32_OperatingSystem
  • 23. BaseBoardיצרן - Get-CimInstance Win32_BaseBoard
  • 24. BaseBoardProduct - Get-CimInstance Win32_BaseBoard
  •      25. (Get-CIMInstance Win32_ComputerSystem). יצרן
  •      26. (Get-CIMInstance Win32_ComputerSystem). דגם
  •     27. (Get-CIMInstance Win32_BIOS). תיאור + ", " + (Get-CIMInstance Win32_BIOS). ReleaseDate.ToString("MM/dd/yyyy")
  •     28. (Get-CIMInstance Win32_BaseBoard). מוצר

שיקולי קושחה

פריסת אישורי האתחול המאובטח החדשים בצי המכשירים שלך דורשת שקושחת ההתקן תמלא תפקיד בהשלמת העדכון. בעוד ש- Microsoft מצפה שרוב הקושחה של המכשיר תפעל כצפוי, נדרשת בדיקה מדוקדקת לפני פריסת האישורים החדשים.

בדוק את מלאי החומרה שלך ובנה מדגם קטן ומייצג של מכשירים בהתבסס על הקריטריונים הייחודיים הבאים, כגון:

  • יצרן
  • מספר דגם
  • גירסת קושחה
  • גרסת OEM Baseboard וכו'.

לפני פריסה רחבה למכשירים בצי שלך, מומלץ לבדוק את עדכוני האישורים במכשירים לדוגמה מייצגים (כפי שהוגדרו על-ידי גורמים כגון יצרן, דגם, גירסת קושחה) כדי להבטיח שהעדכונים מעובדים בהצלחה. ההדרכה המומלצת לגבי מספר המכשירים לדוגמה שיש לבדוק עבור כל קטגוריה ייחודית היא 4 או יותר.

זה יסייע בבניית אמון בתהליך הפריסה שלך ויסייע במניעת השפעות בלתי צפויות על הצי הרחב יותר שלך.

במקרים מסוימים, ייתכן שיידרש עדכון קושחה כדי לעדכן בהצלחה את אישורי האתחול המאובטח. במקרים אלה, אנו ממליצים לבדוק עם יצרן הציוד המקורי של המכשיר שלך כדי לראות אם יש קושחה מעודכנת זמינה.

Windows בסביבות וירטואליות

עבור Windows הפועל בסביבה וירטואלית, קיימות שתי שיטות להוספת האישורים החדשים למשתני הקושחה של אתחול מאובטח:

  • יוצר הסביבה הווירטואלית (AWS, Azure, Hyper-V, VMware וכו ') יכול לספק עדכון לסביבה ולכלול את האישורים החדשים בקושחה הווירטואלית. זה יעבוד עבור מכשירים וירטואליים חדשים.
  • עבור Windows הפועל לטווח ארוך ב- VM, ניתן להחיל את העדכונים באמצעות Windows כמו כל מכשיר אחר, אם הקושחה הווירטואלית תומכת בעדכוני אתחול מאובטח.

ניטור ופריסה

מומלץ להתחיל בניטור המכשירים לפני הפריסה כדי לוודא שהניטור פועל כראוי וכדי להבין היטב את מצב הצי מראש. אפשרויות הניטור נדונות להלן.

Microsoft מספקת שיטות מרובות לפריסה ולניטור של עדכוני אישור אתחול מאובטח.

עזרי פריסה אוטומטיים

Microsoft מספקת שני עזרי פריסה. סיועים אלה עשויים להיות שימושיים בסיוע בפריסת התעודות החדשות לצי שלך. רק הסיוע בפריסת תכונות מבוקרת דורש נתוני אבחון.

  • אפשרות לעדכונים מצטברים עם מיכלי ביטחון: Microsoft עשויה לכלול באופן אוטומטי קבוצות מכשירים בעלות מהימנות גבוהה בעדכונים חודשיים בהתבסס על נתוני אבחון ששותפו עד כה, כדי להועיל למערכות ולארגונים שאינם יכולים לשתף נתוני אבחון. שלב זה אינו דורש הפעלה של נתוני אבחון.

    • עבור ארגונים ומערכות שיכולים לשתף נתוני אבחון, הדבר מספק ל- Microsoft את הניראות והביטחון שהמכשירים יכולים לפרוס בהצלחה את האישורים. מידע נוסף על הפיכת נתוני אבחון לזמינים זמין ב: קביעת תצורה של נתוני האבחון של Windows בארגון שלך. אנו יוצרים "מיכלים" עבור כל מכשיר ייחודי (כפי שמוגדר על-ידי מאפיינים הכוללים יצרן, גרסת לוח אם, יצרן קושחה, גרסת קושחה ונקודות נתונים נוספות). עבור כל דלי, אנו מנטרים ראיות הצלחה במספר מכשירים. לאחר שראינו מספיק עדכונים מוצלחים וללא כשלים, נתייחס למי "ביטחון גבוה" ונכלול נתונים אלה בעדכונים המצטברים החודשיים. כאשר עדכונים חודשיים מוחלים על מכשיר בדלי בעל רמת מהימנות גבוהה, Windows יחיל באופן אוטומטי את האישורים על משתני UEFI Secure Boot בקושחה.
    • מיכלים ברמת מהימנות גבוהה כוללים מכשירים שמעבדים את העדכונים כראוי. מטבע הדברים, לא כל המכשירים יספקו נתוני אבחון, וזה עלול להגביל את האמון של Microsoft ביכולת של מכשיר לעבד את העדכונים כראוי.
    • סיוע זה מופעל כברירת מחדל עבור מכשירים בעלי רמת מהימנות גבוהה וניתן להשבית אותו באמצעות הגדרה ספציפית להתקן. מידע נוסף ישותף במהדורות עתידיות של Windows.

  • פריסת תכונות מבוקרת (CFR): הצטרף למכשירים לפריסה מנוהלת על-ידי Microsoft אם נתוני אבחון זמינים.

    • ניתן להשתמש ב-Controlled Feature Rollout (CFR) עם התקני לקוח בציים ארגוניים. זה דורש שהמכשירים שולחים נתוני אבחון נדרשים ל- Microsoft ואותתו שהמכשיר מסכים לאפשר CFR במכשיר. פרטים על אופן ההצטרפות מתוארים להלן.

    • Microsoft תנהל את תהליך העדכון עבור אישורים חדשים אלה במכשירי Windows שבהם נתוני אבחון זמינים והמכשירים משתתפים בפריסת תכונות מבוקרת (CFR). בעוד ש-CFR עשויה לסייע בפריסת האישורים החדשים, ארגונים לא יוכלו להסתמך על CFR כדי לתקן את הציים שלהם - זה ידרוש ביצוע השלבים המתוארים במסמך זה בסעיף על שיטות פריסה שאינן מכוסות על ידי סיועים אוטומטיים.

    • מגבלות: קיימות כמה סיבות לכך ש- CFR לא יפעל בסביבה שלך. לדוגמה:

      • אין נתוני אבחון זמינים או שנתוני האבחון אינם ניתנים לשימוש כחלק מפריסת CFR.
      • המכשירים אינם בגרסאות לקוח נתמכות של Windows 11 ו- Windows 10 עם עדכוני אבטחה מורחבים (ESU).

שיטות פריסה אינן מכוסות על-ידי סיוע אוטומטי

בחר את השיטה שמתאימה לסביבה שלך. הימנע משיטות ערבוב באותו מכשיר:

  • מפתחות רישום: שלוט בפריסה ופקח על התוצאות.
    קיימים מפתחות רישום מרובים זמינים לשליטה באופן הפעולה של פריסת האישורים ולניטור התוצאות. בנוסף, ישנם שני מפתחות להצטרפות ויציאה מעזרי הפריסה שתוארו לעיל. לקבלת מידע נוסף על מפתחות הרישום, ראה עדכונים של מפתחות רישום עבור אתחול מאובטח - מכשירי Windows עם עדכונים המנוהלים ע"י IT.

  • אובייקטי מדיניות קבוצתית (GPO): נהל הגדרות; ניטור באמצעות רישום ויומני אירועים.
    Microsoft תספק תמיכה לניהול עדכוני אתחול מאובטח באמצעות מדיניות קבוצתית בעדכון עתידי. שים לב שמכיוון מדיניות קבוצתית היא עבור הגדרות, ניטור מצב המכשיר יצטרך להתבצע בשיטות חלופיות כולל ניטור מפתחות רישום וערכי יומן אירועים.

  • WinCS (מערכת התצורה של Windows) CLI: השתמש בכלי שורת פקודה עבור לקוחות המצורפים לתחום.
    לחלופין, מנהלי תחומים יכולים להשתמש במערכת התצורה של Windows (WinCS) הכלולה בעדכוני מערכת ההפעלה של Windows כדי לפרוס את עדכוני האתחול המאובטח בלקוחות ובשרתי Windows המצורפים לתחום. הוא מורכב מסדרה של כלי שורת פקודה (גם קובץ הפעלה מסורתי וגם מודול PowerShell) לביצוע שאילתות ולהחיל תצורות אתחול מאובטח באופן מקומי על מכונה. לקבלת מידע נוסף, עיין במאמרים הבאים:

  • Microsoft Intune/מנהל התצורה: פריסת קבצי Script של PowerShell. ספק שירותי תצורה (CSP) יסופק בעדכון עתידי כדי לאפשר פריסה באמצעות Intune.

ניטור יומני אירועים

שני אירועים חדשים מסופקים כדי לסייע בפריסה של עדכוני אישור אתחול מאובטח. אירועים אלה מתוארים בפירוט באירועי עדכון משתנה של Secure Boot DB ו- DBX:

  • מזהה אירוע: 1801
    אירוע זה הוא אירוע שגיאה המציין שהאישורים המעודכנים לא הוחלו על המכשיר. אירוע זה מספק כמה פרטים ספציפיים למכשיר, כולל תכונות המכשיר, שיעזרו לתאם אילו מכשירים עדיין זקוקים לעדכון.
  • מזהה אירוע: 1808
    אירוע זה הוא אירוע מידע המציין שלמכשיר יש את אישורי האתחול המאובטח החדשים הנדרשים שהוחלו על הקושחה של המכשיר.

אסטרטגיות פריסה

כדי למזער את הסיכון, פרוס עדכוני אתחול מאובטח בשלבים במקום את כולם בבת אחת. התחל עם קבוצת משנה קטנה של מכשירים, אמת את התוצאות ולאחר מכן התרחב לקבוצות נוספות. אנו מציעים להתחיל עם ערכות משנה של מכשירים, וכאשר אתה מבטיח ביטחון בפריסות אלה, להוסיף קבוצות משנה נוספות של מכשירים. ניתן להשתמש בגורמים מרובים כדי לקבוע מה נכנס לתת-קבוצה, כולל תוצאות בדיקה במכשירים לדוגמה ומבנה ארגוני וכו'.

ההחלטה לגבי המכשירים שתפרוס תלויה בך. כמה אסטרטגיות אפשריות מפורטות כאן.

  • צי מכשירים גדול: התחילו בהסתמכות על הסיועים המתוארים לעיל עבור המכשירים הנפוצים ביותר שאתם מנהלים. במקביל, התמקד במכשירים הפחות נפוצים המנוהלים על-ידי הארגון שלך. בדוק מכשירים לדוגמה קטנים, ואם הבדיקה הצליחה, פרוס לשאר המכשירים מאותו סוג. אם הבדיקה מייצרת בעיות, בדוק את הגורם לבעיה וקבע שלבי תיקון. ייתכן שתרצה גם לשקול מחלקות של מכשירים בעלי ערך גבוה יותר בצי שלך ולהתחיל לבדוק ולפרוס כדי להבטיח שלמכשירים אלה יש הגנה מעודכנת מוקדם.
  • צי קטן, מגוון גדול: אם הצי שאתה מנהל מכיל מגוון גדול של מכונות שבהן בדיקת מכשירים בודדים תהיה אסורה, שקול להסתמך במידה רבה על שני הסיועים שתוארו לעיל, במיוחד עבור מכשירים שסביר להניח שהם מכשירים נפוצים בשוק. בתחילה התמקד במכשירים שהם קריטיים לתפעול היומיומי, בדיקה ולאחר מכן פריסה. המשך לרדת ברשימת המכשירים בעדיפות גבוהה, לבדוק ולפרוס תוך כדי ניטור הצי כדי לוודא שהסיועים עוזרים בשאר המכשירים.

הערות

  • שימו לב למכשירים ישנים יותר, במיוחד למכשירים שאינם נתמכים עוד על ידי היצרן. בעוד שהקושחה אמורה לבצע את פעולות העדכון כראוי, ייתכן שחלק לא. במקרים שבהם הקושחה אינה פועלת כראוי וההתקן אינו נתמך עוד, שקול להחליף את ההתקן כדי להבטיח הגנת אתחול מאובטח בכל הצי שלך.
  • ייתכן שמכשירים חדשים שיוצרו ב- 1-2 השנים האחרונות כבר כוללים את האישורים המעודכנים, אך ייתכן שמנהל האתחול החתום של Windows UEFI CA 2023 לא הוחל על המערכת. החלת מנהל אתחול זה היא שלב אחרון וקריטי בפריסה של כל מכשיר.
  • לאחר בחירת מכשיר לעדכונים, ייתכן שיחלוף זמן מה עד להשלמת העדכונים. הערך 48 שעות והפעלה מחדש אחת או יותר כדי שהאישורים יגישו בקשה.

שאלות נפוצות

לשאלות נפוצות, עיין במאמר השאלות הנפוצות בנושא אתחול מאובטח .

פתרון בעיות

עיין במסמך פתרון בעיות לקבלת פרטים נוספים.

משאבים נוספים

עצה

סמן משאבים נוספים אלה בסימניה.