החלת הגדרות עדכון של אישור אתחול מאובטח באמצעות מיקוד המבוסס על מודל ב- Microsoft Intune

מאמר זה כולל הנחיות עבור

• מומחי IT ומנהלי מערכת של Intune המנהלים מכשירי Windows, פורסים פקדי עדכון של אישור אתחול מאובטח באמצעות מדיניות קטלוג הגדרות ומפקחים על זרימות עבודה של עדכונים.
• צוותים שצריכים לייעד פריסות למודלים ספציפיים של חומרה באמצעות מסנני הקצאות.

במאמר זה:

• מבוא
• דרישות מוקדמות
• שלב 1 - קביעת תצורה של הגדרות עדכון אישור אתחול מאובטח ב- Intune (קטלוג ההגדרות)
• שלב 2 - יצירת מסנן הקצאות עבור פילוח המבוסס על מודל
• שלב 3 - הקצאת המדיניות באמצעות מסנן ההקצאות
• שאלות נפוצות
• משאבים

מבוא

הדרכה זו עוזרת למנהלי IT להפעיל את תהליך העדכון של אישור אתחול מאובטח באמצעות מדיניות הקטלוג של הגדרות Microsoft Intune. הוא מתאר כיצד להגדיר את הגדרת האתחול המאובטח המאפשרת את תהליך עדכון האישור וכיצד לפרוס תצורה זו. הוא גם מדגיש כיצד להשתמש במסנני הקצאה מבוססי-מודל כדי לתמוך בפריסות מבוקרות בשלבים בחומרה שכבר אומתה לטפל בעדכון בהצלחה.

דרישות מוקדמות

הזכאות לעדכון אישור אתחול מאובטח נקבעת על-ידי ספק שירותי האינטרנט של מדיניות האתחול המאובטח והקושחה של המכשיר. טווח זה אינו תואם תמיד לצירי הזמן של מתן השירות (כלומר, עדכונים) של Windows או לדרישות ההרשמה ל- Intune.

דרישות מוקדמות של Intune ומדיניות

• היכנס באמצעות חשבון שיש לו הרשאות ליצירת מסננים וליצירה/הקצאה של מדיניות קטלוג הגדרות.
• יש לרשום את המכשירים ב- Intune (מסנני הקצאות חלים על מכשירים מנוהלים בלבד).

דרישות מוקדמות לצורך זכאות לאתחול מאובטח

• רשימת הגירסאות הנתמכות של Windows זמינה בשיטת אתחול מאובטח של Microsoft Intune למכשירי Windows עם עדכונים המנוהלים על-ידי מחלקת ה- IT.
• אתחול מאובטח זמין במכשירים ועדכון שירות עדכני.

שלב 1 - קביעת תצורה של הגדרות עדכון אישור אתחול מאובטח ב- Intune (קטלוג ההגדרות)

בשלב זה, תיצור פרופיל תצורת מכשיר של קטלוג הגדרות Windows ב- Microsoft Intune. עליך גם לקבוע את הגדרות האתחול המאובטח שמאפשרות את תהליך העדכון של אישור האתחול המאובטח.

מה תיצור

פרופיל תצורת התקן של קטלוג הגדרות Windows המאפשר את התכונה 'אפשר אישור אתחול מאובטח' לזמין עדכונים:

יצירת פרופיל של קטלוג הגדרות

1. היכנס למרכז הניהול של Microsoft Intune.

2. עבור אלתצורת'ניהול מכשירים>>'.

3. בחר 'צור>מדיניות חדשה'.

4. ב'יצירת פרופיל':

5. פלטפורמה: Windows 10 ואילך

6. סוג פרופיל: קטלוג הגדרות

7. בחר באפשרות צור.

8. תן שם לפרופיל (לדוגמה, עדכון אישור אתחול מאובטח), הוסף תיאור אופציונלי ובחר הבא.

9. בהגדרות תצורה, בחר הוסף הגדרות.

10. בבורר ההגדרות, חפש אתחול מאובטח ובחר אותו תחת עיון לפי קטגוריה.

11. הוסף את ההגדרה אפשר עדכונים של אישור אתחול מאובטח משלושת המוצגים בקטגוריה אתחול מאובטח לפרופיל.

    הערה

    באפשרותך לקבוע את התצורה של הגדרות אתחול מאובטח אחרות בקטגוריה זו באותו אופן אם תרחיש הפריסה דורש זאת.

12. קבע את תצורת ערך ההגדרה לזמין.

13. בחר 'הבא ' כדי להמשיך למטלות. (בשלב 3 תוחיל מסנן).

שלב 2 - יצירת מסנן הקצאות עבור פילוח המבוסס על מודל

לאחר מכן, עליך ליצור מסנן הקצאות של Intune שמתמקד במודלים ספציפיים של מכשירים. מיקוד המבוסס על מודל מאפשר לך להגדיר עדכוני אישור אתחול מאובטח למודלים נבחרים של חומרה. פריסה מבוקרת ומשולבת זו אינה דורשת קבוצות נוספות של מזהה Microsoft Entra ID.

מדוע מומלץ להשתמש במיקוד המבוסס על מודל לפריסת אישור אתחול מאובטח

• שונות קושחה - יצרני ציוד מקורי (OEM) מיישמים אתחול מאובטח בצורה שונה, כך שהגדרת טווח ברמת המודל מפחיתה התנהגות בלתי צפויה.
• אימות קודם - ניתן לאמת עדכוני אישורים בערכת חומרה תקינה וידועה לפני הפריסה הרחבה.

מה תיצור

מסנן הקצאת מכשירים מנוהלים שמתמקד (או לא כולל) בדגמים ספציפיים של מכשירים.

יצירת מסנן המטלות

1. היכנס למרכז הניהול של Microsoft Intune.

2. עבור אל ניהול דיירים>מסנני> הקצאהצור.

3. בחר מכשירים מנוהלים.

4. ב'יסודות', הגדר:

   • שם מסנן (תיאורי).
   • תיאור (אופציונלי, אך מומלץ).
   • פלטפורמה: Windows 10 ואילך.

5. בחר הבא.

6. ב'כללים', בחר גישה אחת:

   • בונה כללים (מומלץ עבור רוב מנהלי המערכת)
   • תחביר כלל (עריכת ביטויים ידנית)

בניית כלל מבוסס מודל (בונה כללים)

1. בבונה הכללים, בחר את מאפיין המודל.
2. בחירת אופרטור.
3. הזן את מחרוזות המודל שברצונך להתאים.
4. בחר 'הוסף ביטוי' כדי להוסיף אותו לכלל.
5. במקרה הצורך, השתמש באפשרות And/Or כדי להרחיב את הכלל למודלים נוספים או כדי להוסיף קריטריונים נוספים בהתבסס על מאפיינים אפשריים אחרים הניתנים לסינון.

תצוגה מקדימה ויצירה של המסנן

1. בחר תצוגה מקדימה של מכשירים כדי לאשר אילו מכשירים רשומים תואמים.
2. בחר הבא.
3. (אופציונלי) הקצה תגיות טווח אם אתה משתמש בהן.
4. בחר הבא.
5. ב'סקירה' + 'צור', בחר 'צור'.

שלב 3 - הקצאת המדיניות באמצעות מסנן ההקצאות

לסיום, עליך להקצות את פרופיל קטלוג ההגדרות למכשיר או לקבוצת משתמשים ולהחיל את מסנן המטלות. המדיניות קובעת אילו מכשירים רשומים מקבלים ומעבדים את הגדרות העדכון של אישור אתחול מאובטח במהלך הערכת מדיניות.

מה תעשה

תקצה את פרופיל הקטלוג של הגדרות אתחול מאובטח משלב 1 לקבוצה ולאחר מכן תחיל את המסנן משלב 2 במצב הכללה או אי-הכללה .

החלת מסנן המטלה

1. במרכז הניהול של Microsoft Intune, נווט אל 'תצורת ניהול מכשירים>>'.

2. בחר את פרופיל קטלוג ההגדרות שיצרת בשלב 1 לעיל.

3. פתח את 'מאפיינים>', 'עריכת מטלות'>.

4. הקצה את הפרופיל לקבוצת המשתמשים או קבוצת ההתקנים המתאימה.

   עצה

   אם אין לך קריטריונים אחרים להגבלת המיקוד, הקצה מדיניות זו לקבוצה הווירטואלית 'כל המכשירים '. השתמש במסנן הקצאת מודל ההתקן משלב 2 כדי לתחום את המטלה. שילוב זה מספיק עבור רוב הפריסות. הקבוצה הווירטואלית 'כל המכשירים ' מוכללת, אינה דורשת תחזוקת קבוצה והיא ממוטבת לקנה מידה. לאחר מכן, מסנן ההקצאה מצמצם את הישימות בעת בדיקת המכשיר בהתבסס על מאפייני המכשיר, מבלי לדרוש קבוצות נוספות של Microsoft Entra.

5. בחר ערוך מסנן.

6. בחר אפשרות אחת:

   • כלול מכשירים מסוננים בהקצאה: רק מכשירים התואמים למסנן מקבלים את המדיניות.
   • אל תכלול מכשירים מסוננים בהקצאה: מכשירים התואמים למסנן אינם מקבלים את המדיניות.

7. בחר את מסנן המטלות הקיים משלב 2 ובחר 'בחר'.

8. בחר 'סקירה' + 'שמור>'.

הבנת אופן הפעולה של המכשיר

• Intune מעריך את המסנן כאשר המכשיר נרשם, בכל פעם שהוא נכנס ובכל פעם שמתבצעת הערכה מחדש של המדיניות שהוקצתה.
• הפיכת הגדרת אתחול מאובטח לזמינה אינה מבטיחה הגשת בקשה מיידית של אישור. עבור הגדרת האתחול המאובטח שמפעילה את תהליך העדכון, משימת האתחול המאובטח של Windows פועלת כל 12 שעות. עדכונים מסוימים עשויים לדרוש הפעלה מחדש.

שאלות נפוצות

באיזו תדירות המכשירים מעבדים את ההגדרה 'אפשר עדכונים של אישור אתחול מאובטח'?

משימת האתחול המאובטח של Windows שמעבדת את ההגדרה פועלת כל 12 שעות.

האם עלי לצפות להפעלה מחדש?

הפעלת העדכון באמצעות Intune אינה גורמת להפעלה מחדש, אם כי ייתכן שתידרש הפעלה מחדש כדי להשלים את העדכון.

האם ניתן לבטל או להסיר את האישורים החדשים לאחר הגשת המועמדות?

לאחר החלת אישורים על קושחה, Windows לא יכול להסיר אותם. אישורים חייבים להתבצע באמצעות ממשק הקושחה.

מדוע עלי לעשות זאת לפני יוני 2026?

תוקף אישורים ישנים יותר מתחיל לפוג ביוני 2026. מכשירים שלא קיבלו את אישורי 2023 החדשים יאבדו את היכולת לקבל הגנות אבטחה חדשות של אתחול מוקדם (לדוגמה, מסד נתונים של אתחול מאובטח ועדכונים לביטול).

משאבים

• הגדרות הגדרות וערכים מותרים: מדיניות אתחול מאובטח CSP
• זרימת קטלוג הגדרות ואופן הפעולה של ההגדרות: שיטת אתחול מאובטח של Microsoft Intune למכשירי Windows עם עדכונים המנוהלים ע"י IT
• רקע וצירי זמן: תפוגת תוקף של אישור אתחול מאובטח של Windows ועדכוני CA
• יצירה, הצגה בתצוגה מקדימה והחלת מסננים: יצירת מסנני מטלה ב- Microsoft Intune
• מאפיינים, אופרטורים ותחביר נתמכים: חומר עזר בנושא מאפיינים ואופרטורים של מסנן הקצאות
• תכנון פריסה כולל ו- Intune הוזכרו כאפשרות מומלצת: מדריך אתחול מאובטח עבור אישורים שתוקפם עומד לפוג ב- 2026
• גישה של ניטור בלבד ודיווח Intune): ניטור מצב אישור אתחול מאובטח עם תיקונים של Microsoft Intune