Ogledni vodič za automatizaciju sigurnog pokretanja E2E

Pravilnik grupe AvailableUpdatesPolicy

To je ključ kojim upravlja GPO/ADMX:

• Zadržava se tijekom ponovnih pokretanja

• Postavlja pravilnik grupe / MDM

• Ne uzrokuju petlje ponovnog pokušaja (izbrisane putem clearRolloutFlags)

• Je li točan ključ za implementaciju utemeljenu na pravilniku

Referenca: pravilnik grupe (GPO) metode sigurnog pokretanja za uređaje sa sustavom Windows s ažuriranjima kojima upravlja IT

natrag na "Referenca postavki Ažuriranja certifikata" 

WinCSFlags – zastavice sustava Windows Configuration

Administratori domene mogu koristiti i Windows Configuration System (WinCS) koji je izdan s ažuriranjima operacijskog sustava Windows radi implementacije ažuriranja sigurnog pokretanja na svim klijentima i poslužiteljima sustava Windows pridruženima domeni. Sastoji se od uslužnog programa sučelja naredbenog retka (CLI) za upit i primjenu konfiguracija sigurnog pokretanja lokalno na računalo.

Referenca: API-ji sustava Windows Configuration System (WinCS) za sigurno pokretanje

natrag na "Referenca postavki Ažuriranja certifikata"

Povratak na vrh

Skripte potrebne za 1. fazu

Sample Secure Boot Inventory Data Collection scripts

povratak na "1. faza: otkrivanje i praćenje statusa na razini velike tvrtke"

Lokalno testiranje

Prije implementacije putem GPO-a testirajte skriptu zbirke na jednom računalu da biste provjerili funkcionalnost. 

• Lokalno pokreni skriptu zbirke
  
  Otvaranje povišenog upita za PowerShell i izvršavanje:

  & .\Detect-SecureBootCertUpdateStatus.ps1 -OutputPath "C:\Temp\SecureBootTest" 

• Provjera JSON izlaza

  
  # View the collected data  Get-Content "C:\Temp\SecureBootTest\*_latest.json" | ConvertFrom-Json | Format-List

  Ključna polja za provjeru  
  • SecureBootEnabled – treba biti True ili False
  • OverallStatus – Dovršeno, ReadyForUpdate, NeedsData ili Pogreška
  • BucketHash – grupa uređaja za usklađivanje podataka o pouzdanosti
  • SecureBootTaskEnabled – prikazuje status zadatka ažuriranja sigurnog pokretanja.

• Testna skripta agregacije

  
  # Generate reports from collected data  & .\Aggregate-SecureBootCertStatus.ps1" '
      -InputPath "C:\Temp\SecureBootTest" '
      -OutputPath "C:\Temp\SecureBootReports"
  
  # Otvorite HTML nadzornu ploču   

  Start-Process "C:\Temp\SecureBootReports\SecureBoot_Dashboard_*.html"

povratak na "1. faza: otkrivanje i praćenje statusa na razini velike tvrtke" 

Postavljanje zajedničkog mrežnog mjesta

• Stvaranje zajedničkog mrežnog mjesta
  
  Na datotečnom poslužitelju stvorite namjenski zajednički prostor za prikupljanje podataka:

  
  # Run on file server as Administrator  $SharePath = "D:\SecureBootCollection"
  $ShareName = "SecureBootData$"
  
  # Stvori mapu
  New-Item -ItemType Direktorij -Put $SharePath -Force
  
  # Create hidden share ($ sufiks hides from browse list)
  New-SmbShare -Name $ShareName -Path $SharePath '
      -Description "Secure Boot Certificate Status Collection" '
      -FullAccess "Domain Admins" '
      -ChangeAccess "Autorizirani korisnici"    

• Konfiguriranje NTFS dozvola

  
  # Get current ACL  $Acl = Get-Acl $SharePath
  
  # Dopusti autoriziranim korisnicima pisanje datoteka
  $WriteRule = New-Object System.Security.AccessControl.FileSystemAccessRule(
      "Autorizirani korisnici",
      "CreateFiles,AppendData,WriteAttributes,WriteExtendedAttributes",
      "ContainerInherit,ObjectInherit",
      "Nema",
      "Dopusti"
  )
  $Acl.AddAccessRule($WriteRule)
  
  # Dopusti potpunu kontrolu administratora domene (za agregaciju)
  $AdminRule = New-Object System.Security.AccessControl.FileSystemAccessRule(
      "Domain Admins" (Administratori domene)
      "FullControl",
      "ContainerInherit,ObjectInherit",
      "Nema",
      "Dopusti"
  )
  $Acl.AddAccessRule($AdminRule)
  
  # Primijeni dozvole
  Set-Acl -Path $SharePath -AclObject $Acl       

• Potvrda zajedničkog korištenja pristupa

  
  # Test from a domain-joined workstation  Test-Path "\\fileserver\SecureBootData$"
  # Trebao bi se vratiti: True

povratak na "1. faza: otkrivanje i praćenje statusa na razini velike tvrtke" 

Implementacija GPO-a

Koristite skriptu automatizacije koju ste dobili od domenskog kontrolera:

Ova skripta izvodit će sljedeće:

• Stvara novi GPO s navedenim nazivom

• Kopira skriptu zbirke u SYSVOL radi visoke dostupnosti

• Konfigurira skriptu pokretanja računala

• Povezuje GPO s ciljnim OU-om

• Po želji stvara zakazani zadatak za povremeno prikupljanje

U sljedećoj su tablici navedene smjernice o tome koliko će se dugo kašnjenje temeljiti na veličini vaše flote.

povratak na "1. faza: otkrivanje i praćenje statusa na razini velike tvrtke" 

Sažetak postavki servisa GPO

povratak na "1. faza: otkrivanje i praćenje statusa na razini velike tvrtke" 

Provjeru

• Force GPO Update on Test Machine

  
  ## On a test workstation  gpupdate /force
  
  # Ponovno pokrenite klijentska računala na skriptu pokretanja ili će se pokrenuti prema sljedećem rasporedu.  
  Restart-Computer -Force

• Provjera prikupljanja podataka

  # Provjerite prikupljaju li se podaci (na datotečnom poslužitelju ili s bilo kojeg računala)
  Get-ChildItem "\\fileserver\SecureBootData$" |  
      Sort-Object LastWriteTime -Descending |  
      Select-Object - Prvih 10
   
  # Potvrdi JSON sadržaj
  Get-Content "\\fileserver\SecureBootData$\TESTPC_latest.json" | ConvertFrom-Json 

• Provjera aplikacije GPO

  # Provjerite primjenjuje li se GPO na računalo
  gpresult /r /scope:computer | Select-String "SecureBoot"
  S
  Skripta sprema i lokalnu kopiju za redundancije:
  Get-ChildItem "C:\ProgramData\SecureBootCollection\" 

povratak na "1. faza: otkrivanje i praćenje statusa na razini velike tvrtke"

Povratak na vrh 

Skripte potrebne za 2. fazu

Sample Secure Boot Inventory Data Collection scripts

povratak na "Faza 2: Secure Boot Certificate Update Orkestracija Skripte" 

Start-SecureBootRolloutOrchestrator.ps1

• Svrhu: Potpuno automatizirana, kontinuirana orkestracija s automatiziranom GPO implementacijom.

• Funkcija

  • Pozivi Aggregate-SecureBootData.ps1 za status uređaja

  • Generira valove za početak rada pomoću progresivnog doubliranje

  • Stvara GPO za implementaciju certifikata na jedan od sljedećih načina

    • Pravilnik grupe sigurnog pokretanja AvailableUpdatesPolicy = 0x5944 (zadano)

    • Metoda WinCS (parametar –UseWinCS)

  • Stvara ad-sigurnosne grupe za ciljanje

  • Dodaje račune računala u sigurnosne grupe

  • Konfigurira GPO sigurnosno filtriranje

  • Povezuje GPO s ciljnim OU-om

  • Monitori za blokirane grupe (nedostupne uređaje)

  • Automatsko deblokiranje prilikom oporavka uređaja

• Upotreba

  
  # Interactive (testing) .\Start-SecureBootRolloutOrchestrator.ps1 '
      -AggregationInputPath "\\fileserver\SecureBootData$" '
      -ReportBasePath "C:\SecureBootReports" '
      -PollIntervalMinutes 30

  
  # Interactive (testing), leveraging WinCS method .\Start-SecureBootRolloutOrchestrator.ps1 '
      -AggregationInputPath "\\fileserver\SecureBootData$" '
      -ReportBasePath "C:\SecureBootReports" '
      -PollIntervalMinutes 1440 -UseWinCS

• Administrator naredbe

  
  # List blocked buckets .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -ListBlockedBuckets

  
  # Unblock specific bucket .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -UnblockBucket "Dell|Latitude5520|BIOS1.2"

  
  # Unblock all .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -DeblokiranjeSve

• Parametara

  Parametar	Zadano	Opis
  AggregationInputPath	Obavezno	UNC put do JSON datoteka krajnje točke
  ReportBasePath	Obavezno	Lokalni put za izvješća i stanje
  TargetOU	Korijen domene	OU za povezivanje GPO-ova
  WavePrefix	SecureBoot-Rollout	Prefiks imenovanja GPO-a/grupe
  MaxWaitHours	72	Sati prije provjere dostupnosti uređaja
  PollIntervalMinutes	1440	Minute između provjera stanja
  Suho pokretanje	False	Pokaži što će se dogoditi bez promjena

povratak na "Faza 2: Secure Boot Certificate Update Orkestracija Skripte"  

Deploy-OrchestratorTask.ps1

• Svrhu: Implementira orkestrator kao zakazani zadatak sustava Windows.

• Prednosti

  • Nema sigurnosnih upita za PowerShell (Zaobilaženje ExecutionPolicy)

  • Neprekidno se izvodi u pozadini

  • Nije potrebna interakcija korisnika

  • Preživljava ponovna pokretanja

• Upotreba

  • Implementacija pomoću računa servisa domene (preporučeno)

    • Koristi AvailableUpdates pravilnik grupe (zadana metoda)

      .\Deploy-OrchestratorTask.ps1 '
          -AggregationInputPath "\\server\SecureBootData$" '
          -ReportBasePath "C:\SecureBootReports" '
          -ServiceAccount "DOMENA\svc_secureboot"

    • Korištenje metode WinCS

      .\Deploy-OrchestratorTask.ps1 '
          -AggregationInputPath "\\server\SecureBootData$" '
          -ReportBasePath "C:\SecureBootReports" '
          -ServiceAccount "DOMENA\svc_secureboot" -UseWinCS

  • Implementacija pomoću računa sustava

    • Koristi AvailableUpdates pravilnik grupe (zadana metoda)

      .\Deploy-OrchestratorTask.ps1 '
          -AggregationInputPath "\\server\SecureBootData$" '
          -ReportBasePath "C:\SecureBootReports"

    • Korištenje winCS method.\Deploy-OrchestratorTask.ps1

          -AggregationInputPath "\\server\SecureBootData$" '
          -ReportBasePath "C:\SecureBootReports" -UseWinCS

    • Preduvjeti za račun servisa

      • Domena Administrator (za New-GPO, New-ADGroup, Add-ADGroupMember)

      • Pristup za čitanje JSON zajedničkog korištenja datoteka

      • Pristup zapisi u ReportBasePath

povratak na "Faza 2: Secure Boot Certificate Update Orkestracija Skripte"  

Get-SecureBootRolloutStatus.ps1

• Svrhu: Prikaz napretka u ulasu iz bilo koje radne stanice.

• Što pokazuje

  • Stanje zakazanog zadatka (pokrenuto/spremno/zaustavljeno)

  • Broj trenutnog vala

  • Uređaji koji su ciljani ili ažurirani

  • Traka prikaza tijeka

  • Sažetak blokiranih grupa

  • Veza na najnoviju HTML nadzornu ploču

• Upotreba

  
  # Quick status check .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports"

  
  # Continuous monitoring (refreshes every 30 seconds) .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -Watch 30

  
  # View blocked buckets .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -ShowBlocked

  
  # View wave history .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -ShowWaves

  
  # View recent log .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -ShowLog

  
  # Open dashboard in browser .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -OpenDashboard

• Uzorak izlaza

  
  ==============================================================    STATUS ROLLOUT SIGURNOG POKRETANJA
     17.02.2026. 19:30:00
  ======================================================

  Scheduled Task: Running

  
  ROLLOUT PROGRESS
  ---------------------------------------- Status: InProgress
  Trenutni val: 5
  Ukupno ciljano: 1250
  Ukupno ažurirano: 847

  Progress: [█████████████████████░░░░░░░░░░░░░░░░░░░] 67.8%

  
  BLOCKED BUCKETS: 2 buckets need attention   Pokreni s programom -ShowBlocked za pojedinosti

  
  LATEST DASHBOARD
  C:\SecureBootReports\Aggregation_20260217_193000\SecureBoot_Dashboard.html __________________________________________________________________________________________

povratak na "Faza 2: Secure Boot Certificate Update Orkestracija Skripte"

Povratak na vrh 

1. faza: infrastruktura za otkrivanje

• Prvi korak: stvaranje zajedničkog korištenja zbirke

  
  # On file server $sharePath = "D:\SecureBootData"
  New-Item -ItemType Direktorij -Put $sharePath -Force
  New-SmbShare -Name "SecureBootData$" -Path $sharePath -FullAccess "Domain Admins" -ChangeAccess "Domain Computers"

  
  # Set NTFS permissions $acl = Get-Acl $sharePath
  $rule = New-Object System.Security.AccessControl.FileSystemAccessRule("Domain Computers","Modify","Allow")
  $acl. AddAccessRule($rule)
  Set-Acl $sharePath $acl

• Drugi korak: implementacija GPO-a za otkrivanje

  
  .\Deploy-GPO-SecureBootCollection.ps1 `     -DomainName "contoso.com" '
      -OUPath "OU=Workstations,DC=contoso,DC=com" '
      -CollectionSharePath "\\server\SecureBootData$"

• Treći korak: čekanje krajnjih točaka na izvješće (od 24 do 48 sati)

  # Provjerite tijek prikupljanja
  (Get-ChildItem "\\server\SecureBootData$" -Filter "*.json"). Računati

back to "E2E Deployment Steps (Quick Reference Guide)" 

2. faza: orkestrirano uvodinje

• Četvrti korak: provjera preduvjeta

  • Detection GPO deployed (Step 2)

  • Najmanje 50+ krajnjih točaka koje izvještavaju JSON

  • Račun servisa s pravima na Administrator domene

  • Poslužitelj za upravljanje pomoću komponente PowerShell 5.1+

• Peti korak: implementacija orkestratora kao zakazanog zadatka

  
  .\Deploy-OrchestratorTask.ps1 `     -AggregationInputPath "\\server\SecureBootData$" '
      -ReportBasePath "C:\SecureBootReports" '
      -ServiceAccount "DOMENA\svc_secureboot"

• Šesti korak: praćenje tijeka

  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports"

• Sedmi korak: prikaz nadzorne ploče

  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -OpenDashboard

• 8. korak: upravljanje blokiranim grupama

  
  # List blocked .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -ListBlockedBuckets

  
  # Investigate and unblock .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -UnblockBucket "Proizvođač|Model|BIOS"

• 9. korak: potvrda dovršetka

  
  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" # Status bi trebao pokazati "Dovršeno"

back to "E2E Deployment Steps (Quick Reference Guide)"  

Broj Files

Orchestrator održava stanje u ReportBasePath\RolloutState\:

back to "E2E Deployment Steps (Quick Reference Guide)" 

Povratak na vrh 

Orchestrator Not Progressing

1. Provjera zakazanog zadatka

   Get-ScheduledTask -TaskName "SecureBoot-Rollout-Orchestrator"

2. Provjera zapisnika

   Get-Content "C:\SecureBootReports\RolloutState\Orchestrator_*.log" -Tail 50

3. Provjera svježine JSON podataka

   (Get-ChildItem "\\server\SecureBootData$" -Filter "*.json" | Where-Object { $_.LastWriteTime -gt (Get-Date).AddDays(-1) }).Count

natrag na "Otklanjanje poteškoća" 

Blokirane grupe

1. Popis je blokiran.

   .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -ListBlockedBuckets

2. Istražite dostojnost uređaja.

3. Provjerite ima li problema s programom.

4. Deblokiraj nakon istrage.

natrag na "Otklanjanje poteškoća"  

GPO ne primjenjuje se

1. Provjerite postoji li GPO.

   Get-GPO -Name "SecureBoot-Rollout-Wave*"

2. Provjerite sigurnosno filtriranje.

   Get-GPPermission -Name "GPO-Name" -All

3. Provjerite je li računalo u sigurnosnoj grupi.

4. Primijenite GPO na cilj.

   gpupdate /force

natrag na "Otklanjanje poteškoća"

Povratak na vrh