Potvrda sigurnog pokretanja Ažuriranja za Windows 365

Uvod

Sigurno pokretanje značajka je sigurnosti UEFI opreme koja omogućuje pokretanje samo pouzdanog, digitalno potpisanog softvera tijekom slijeda pokretanja uređaja. Certifikati microsoftova sigurnog pokretanja izdani 2011. počinju istječe u lipnju 2026. Bez ažuriranih certifikata iz 2023. uređaji više neće primati nove zaštite ili ublažavanja zaštite upravitelja za sigurno pokretanje ni ublažavanja za novootkrivene slabe točke na razini pokretanja.

Svi PC-jevi u oblaku s omogućenim sigurnim pokretanjem dodijeljeni u servisu Windows 365 i prilagođene slike koje se koriste za dodjelu resursa moraju se ažurirati na certifikate verzije 2023 prije isteka da bi ostali zaštićeni. Pročitajte članak Kada certifikati za sigurno pokretanje istječu na uređajima sa sustavom Windows.

Odnosi li se to na moje Windows 365 okruženje?

Scenarij	Aktivno sigurno pokretanje?	Potrebna je akcija
PC-jevi u oblaku
PC u oblaku s omogućenim sigurnim pokretanjem	Da	Ažuriranje certifikata na PC-ju u oblaku
PC u oblaku s onemogućenim sigurnim pokretanjem	Ne	Nije potrebna nikakva akcija
Slike
Azure galerija računala s omogućenim sigurnim pokretanjem	Da	Ažuriranje certifikata na izvornoj slici prije generalizacije
Azure galerija računala bez pouzdanog pokretanja	Ne	Primjena ažuriranja na PC-ju u oblaku nakon dodjele resursa
Upravljana slika (ne podržava pouzdano pokretanje)	Ne	Primjena ažuriranja na PC-ju u oblaku nakon dodjele resursa

Potpune pozadinske informacije potražite u članku Ažuriranja certifikata za sigurno pokretanje: Smjernice za IT profesionalce i tvrtke ili ustanove.

Inventar i monitor

Prije nego što nešto poduzeti, inventar vaše okruženje za prepoznavanje uređaja koji zahtijevaju ažuriranja. Nadzor je ključan za potvrdu da se certifikati primjenjuju prije krajnjeg roka za lipanj 2026. – čak i ako se koristite metodama automatske implementacije. U nastavku su navedene mogućnosti za utvrđivanje je li potrebno poduzeti akciju.

1. mogućnost: Microsoft Intune popravke

Za PC-je u oblaku Microsoft Intune možete implementirati skriptu otkrivanja pomoću servisa Intune Remediations (Proactive Remediations) da biste automatski prikupili status certifikata sigurnog pokretanja u cijeloj floti. Skripta se tiho pokreće na svakom uređaju i izvješćuje o statusu sigurnog pokretanja, napretku ažuriranja certifikata i pojedinostima o uređaju na portalu za Intune – na uređajima se ne unose promjene. Rezultate je moguće pregledavati i izvoziti u CSV izravno iz centra Intune za administratore radi analize na razini cijele flote.

Detaljne upute o implementaciji skripte otkrivanja potražite u članku Praćenje statusa certifikata za sigurno pokretanje uz pomoć Microsoft Intune popravke.

2. mogućnost: Izvješće o statusu sigurnog pokretanja automatskog pokretanja sustava Windows

Za PC-je u oblaku registrirane u automatskom uparenju sustava Windows idite na Intune admin center > Reports > Windows Autopatch > Ažuriranja kvalitete sustava Windows > Kartica Izvješća > Status sigurnog pokretanja. Pogledajte izvješće o statusu sigurnog pokretanja u automatskom uparu sustava Windows.

Napomena: da biste automatsku uparenost sustava Windows koristili Windows 365, PC-jevi u oblaku moraju biti registrirani na servisu automatskog pripajanja sustava Windows. Pročitajte članak Automatsko učitavanje sustava Windows Windows 365 Enterprise radnim opterećenjima.

3. mogućnost: ključevi registra za nadzor flote

Upotrijebite postojeće alate za upravljanje uređajima za slanje upita tim vrijednostima registra u cijeloj floti.

Put registra	Ključ	Svrhu
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet \Control\SecureBoot\Servicing	UEFICA2023Status	Trenutni status implementacije
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet \Control\SecureBoot\Servicing	UEFICA2023Pogreška	Označava pogreške (ne bi trebale postojati)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet \Control\SecureBoot\Servicing	UEFICA2023ErrorEvent	Označava ID događaja (ne bi trebalo postojati)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet \Control\SecureBoot	Dostupniažuriranja	Bitovi ažuriranja na čekanju

Potpune pojedinosti ključa registra potražite u članku Ažuriranja ključa registra za sigurno pokretanje.

4. mogućnost: nadzor zapisnika događaja

Pomoću postojećih alata za upravljanje uređajima prikupite i pratite ove ID-ove događaja iz zapisnika događaja sustava u cijeloj floti.

ID događaja	Lokacija	Značenje
1808	Sustav	Certifikati su uspješno primijenjeni
1801	Sustav	Ažuriranje statusa ili pojedinosti o pogrešci

Potpuni popis pojedinosti o događaju potražite u članku Događaji ažuriranja secure boot DB i DBX varijabli.

5. mogućnost: skripta inventara komponente PowerShell

Pokrenite skriptu prikupljanja podataka o oglednom inventaru sigurnog pokretanja tvrtke Microsoft da biste provjerili status ažuriranja certifikata sigurnog pokretanja. Skripta prikuplja nekoliko točaka podataka, uključujući stanje sigurnog pokretanja, status ažuriranja UEFI CA 2023, verziju opreme i aktivnost zapisnika događaja.

Implementacije

Važno: Bez obzira na to koju mogućnost implementacije odaberete, preporučujemo praćenje flote uređaja da biste potvrdili da su certifikati uspješno primijenjeni prije krajnjeg roka za lipanj 2026. Prilagođene slike potražite u članku Razmatranja prilagođene slike.

1. mogućnost: automatsko Ažuriranja s Windows Update (uređaji visoke pouzdanosti)

Microsoft automatski ažurira uređaje putem mjesečnih ažuriranja sustava Windows kada dovoljna telemetrija potvrdi uspješnu implementaciju na sličnim hardverskim konfiguracijama.

Status: Omogućeno prema zadanim postavkama za uređaje visoke pouzdanosti
Nije potrebna nikakva akcija osim ako želite odustati

Registry	HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot
Ključ	HighConfidenceOptOut = 1 za odustajanje
Pravilnik grupe	Konfiguracija računala > Administrativni predlošci > komponente sustava Windows > Sigurno pokretanje > Automatska implementacija certifikata putem Ažuriranja > Postavljeno na Onemogućeno radi odustajanja

Preporuka: Čak i ako su omogućena automatska ažuriranja, pratite PC-jeve u oblaku da biste provjerili primjenjuju li se certifikati. Ne ispunjavaju svi uređaji uvjete za automatsku implementaciju visoke pouzdanosti.

Dodatne informacije potražite u članku Pomoć za automatiziranu implementaciju.

2. mogućnost: IT-Initiated implementacije

Ručno pokrenite ažuriranja certifikata za trenutačno ili kontrolirano pokretanje.

Metoda	Dokumentacija
Microsoft Intune	Microsoft Intune metoda
Pravilnik grupe	Metoda GPO
Ključevi registra	Metoda ključa registra
WinCS CLI	API-ji za WinCS

Napomene:

Nemojte miješati metode implementacije koje pokreće IT (npr. Intune i GPO) na istom uređaju – oni kontroliraju iste ključeve registra i mogu biti u sukobu.
Omogućite otprilike 48 sati i jedno ili više ponovnih pokretanja da bi se certifikati u potpunosti primijenili.

Razmatranja prilagođene slike

Prilagođenim slikama u potpunosti upravlja vaša tvrtka ili ustanova. Odgovorni ste za primjenu ažuriranja certifikata sigurnog pokretanja na prilagođenu sliku i ponovni prijenos prije korištenja za dodjelu resursa.

Primjena ažuriranja certifikata sigurnog pokretanja na izvornu sliku podržana je samo Azure slika galerije računala (pretpregled), koje podržavaju pouzdano pokretanje i sigurno pokretanje. Upravljane slike ne podržavaju sigurno pokretanje, pa se ažuriranja certifikata ne mogu primijeniti na razini slike. Za PC-je u oblaku dodijeljenih upravljanim slikama ažuriranja primijenite izravno na PC-ju u oblaku pomoću jednog od gore navedenih načina implementacije.

Prije generalizacije nove prilagođene slike provjerite jesu li certifikati ažurirani:

Get-ItemProperty "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing" | Select-Object UEFICA2023Status

Poznati problemi

Ključ registra servisa ne postoji

Simptom	HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing put ne postoji
Uzrok	Ažuriranja certifikata nisu pokrenuta na uređaju
Rješenje	Pričekajte automatsku implementaciju putem Windows Update ili ručno pokrenite na jedan od gore navedenih načina implementacije koje je pokrenuo IT

Status prikazuje "InProgress" za prošireno razdoblje

Simptom	UEFICA2023Status ostaje "InProgress" nakon više dana
Uzrok	Uređaj će možda trebati ponovno pokretanje da bi se dovršio postupak ažuriranja
Rješenje	Ponovno pokrenite PC u oblaku i ponovno provjerite status nakon 15 minuta. Ako se problem nastavi pojavljivati, upute za otklanjanje poteškoća potražite u člancima Događaji ažuriranja secure boot DB i DBX varijabli

Ključ registra UEFICA2023Error postoji

Simptom	Postoji ključ registra UEFICA2023Error
Uzrok	Došlo je do pogreške tijekom implementacije certifikata
Rješenje	Pojedinosti potražite u zapisniku događaja sustava. Upute za otklanjanje poteškoća potražite u člancima Secure Boot DB i DBX variable update events