Biztonságos rendszerindítási tanúsítvány állapotának monitorozása Microsoft Intune javításokkal

Ebben a cikkben:

Ismertető
Előfeltételek
Észlelési szkript
A szervizelés létrehozása a Intune
Eredmények megtekintése és exportálása
Gyakori kérdések
Erőforrások

Ismertető

A Microsoft Biztonságos rendszerindítási tanúsítványai (2011 CA) 2026 júniusától lejárnak. A biztonsági frissítések folyamatos támogatásának biztosításához minden olyan Windows-eszközt frissíteni kell a 2023-ra, amelyen engedélyezve van a biztonságos rendszerindítás.

Ez az útmutató csak monitorozási megközelítést biztosít Microsoft Intune szervizelések (proaktív szervizelések) használatával. Az észlelési szkript minden eszközről összegyűjti a biztonságos rendszerindítás és a tanúsítvány állapotát, és jelentést készít a Intune portálra – az eszközökön nem történik szervizelési művelet. Így a rendszergazdák központosított, exportálható módon tekinthetik meg a tanúsítványfrissítések előrehaladását a Intune regisztrált Windows-eszközeiken.

Miért érdemes ezt a módszert használni?

Előny	Ismertetés
Eszközszintű láthatóság	Minden Intune regisztrált Windows-eszköz tanúsítványállapotának megtekintése egy helyen
Exportálható	Eredmények exportálása CSV-be közvetlenül a Intune portálról
Nyers beállításjegyzék-értékek	A regisztrációs adatbázis tényleges adatainak megtekintése, nem csak a továbbítás/sikertelenség
Eszközkörnyezet	Tartalmazza a gyártót, a modellt, a BIOS-verziót és a belső vezérlőprogram típusát
Eseménynapló telemetriai adatai	Rögzíti a biztonságos rendszerindítási eseményazonosítókat (1801/1808), a gyűjtőazonosítókat és a megbízhatósági szinteket
Érintésmentes	Rendszerként csendesen fut – nincs szükség felhasználói beavatkozásra

A tanúsítványfrissítésekkel kapcsolatos teljes háttérinformációkért lásd: Biztonságos rendszerindítási tanúsítványfrissítések: Útmutató informatikai szakembereknek és szervezeteknek.

Előfeltételek

Az észlelési szkript üzembe helyezése előtt győződjön meg arról, hogy a környezet megfelel a szükséges követelményeknek.

Ez a megoldás a Microsoft Intune szervizeléseit használja. Az előfeltételek teljes listájáért lásd: Támogatási problémák észlelése és megoldása – Microsoft Intune.

Észlelési szkriptek

Az észlelési szkript egy PowerShell-szkript, amely átfogó biztonságos rendszerindítási leltáradatokat gyűjt minden eszközről, és JSON-sztringként adja ki azokat. A szkript a következő forrásokból olvas:

Beállításjegyzék – A biztonságos rendszerindítási tanúsítvány frissítési állapota, a karbantartási kulcsok, az eszközattribútumok és a HKLM jóváhagyási/jóváhagyási beállításai:\SYSTEM\CurrentControlSet\Control\SecureBoot és alkulcsai

WMI/CIM – az operációs rendszer verziója, a legutóbbi rendszerindítás időpontja és az alaplap hardveradatai

Eseménynaplók – A rendszer eseménynaplójának bejegyzései az 1801-hez és az 1808-hoz tartozó eseményazonosítókhoz (biztonságos rendszerindítási frissítési események)

A JSON-kimenet megjelenik a Intune portál Szervizelések > Monitorozás > Eszközállapot figyelése > "Javítás előtti észlelési kimenet" területen, és elemzés céljából exportálható CSV-be.

Fontos: Ez egy csak észlelési szkript. Az eszközön nem történik módosítás. Nincs szükség szervizelési szkriptre.

A szkriptfájl létrehozása

Lépjen a Biztonságos rendszerindítási leltár mintaadatgyűjtési szkriptre (KB5072718)
A teljes szkripttartalom másolása a lapról
Nyisson meg egy szövegszerkesztőt (például Jegyzettömb, VS Code), és illessze be a szkriptet
A fájl mentése Detect-SecureBootCertUpdateStatus.ps1

A szervizelés létrehozása a Intune

Az észlelési szkript szervizelésként (szkriptcsomagként) való üzembe helyezéséhez kövesse az alábbi lépéseket Microsoft Intune.

1. lépés: A szkriptcsomag létrehozása

Bejelentkezés a Microsoft Intune Felügyeleti központba
Navigáljon az Eszközök > Szervizelések területre
Kattintson a + Szkriptcsomag létrehozása elemre

2. lépés: Alapok

Konfigurálja a következő beállításokat az Alapvető beállítások lapon:

Beállítás	Érték
Név	Biztonságos rendszerindítási tanúsítvány állapotfigyelője
Ismertetés	Figyeli a Biztonságos rendszerindítási tanúsítvány frissítési állapotát a teljes flottában. Csak észlelés – nem történik szervizelési művelet.
Publisher	(a szervezet neve)

Kattintson a Tovább gombra

3. lépés: Beállítások

Konfigurálja a következő beállításokat a Beállítások lapon:

Beállítás	Érték	Jegyzetek
Észlelési szkriptfájl	Detect-SecureBootCertificateStatus.ps1 feltöltése	Az előző szakasz szkriptje
Szervizelési szkriptfájl	(hagyja üresen)	Nincs szükség szervizelésre – ez csak figyelés
Futtassa ezt a szkriptet a bejelentkezett hitelesítő adatokkal	Nem	SYSTEM-ként fut a Confirm-SecureBootUEFI és a beállításjegyzékhez való hozzáférés biztosítása érdekében
Szkript aláírás-ellenőrzésének kényszerítése	Nem	Állítsa Igen értékre, ha a szervezet aláírt szkripteket igényel
Szkript futtatása a 64 bites PowerShellben	Igen	A Confirm-SecureBootUEFI parancsmaghoz és a beállításjegyzék pontos olvasásához szükséges

Kattintson a Tovább gombra

4. lépés: Hatókörcímkék

Vegye fel a szervezet által igényelt hatókörcímkéket, vagy hagyja meg az alapértelmezett értéket
Kattintson a Tovább gombra

5. lépés: Hozzárendelések

Beállítás	Érték	Jegyzetek
Hozzárendelések	Válassza ki a monitorozni kívánt eszközcsoportokat	Az Összes eszköz használata flottaszintű monitorozáshoz, vagy adott csoportok használata célzott monitorozáshoz
Ütemezés	Konfigurálás a monitorozási igényekhez	Ajánlott: Minden nap egyszer az aktív bevezetés nyomon követéséhez, vagy hetente egyszer a folyamatos monitorozáshoz

Megjegyzés: A szervizelések az eszköz konfigurált ütemezésében futnak. Az első futtatás a hozzárendelés után akár 24 órát is igénybe vehet az eszköz bejelentkezési ciklusától függően.

Kattintson a Tovább gombra

6. lépés: Áttekintés + Létrehozás

Az összes beállítás áttekintése
Kattintson a Létrehozás gombra

Eredmények megtekintése és exportálása

Eredmények megtekintése a portálon

Navigáljon az Eszközök > Szervizelések területre
Kattintson a Biztonságos rendszerindítási tanúsítvány állapotfigyelőre (vagy a választott névre)
Válassza a Monitorozás lapot
Kattintson az Eszköz állapota elemre
Kattintson az Oszlopok elemre, és adja hozzá a szervizelés előtti észlelési kimenetet

Állapotfigyelő

A következő oszlopokat tartalmazó táblázat jelenik meg:

Oszlop	Ismertetés
Eszköz neve	Az eszköz neve
Felhasználónév	Az eszköz elsődleges felhasználója
Észlelés állapota	Probléma nélkül (a tanúsítványok frissítve) vagy problémával (a tanúsítványok nem frissülnek)
A szervizelés előtti észlelés kimenete	A szkript teljes JSON-kimenete
Utolsó módosítás	Amikor a szkript legutóbb futott az eszközön

Exportálás CSV-fájlba

Az Eszköz állapota lapon kattintson a táblázat tetején található Exportálás gombra
A CSV-fájl letölti az összes oszlopot, beleértve az összes eszköz teljes JSON-észlelési kimenetét
Megnyitás az Excelben bármely mező alapján történő szűréshez, rendezéshez és elemzéshez

Tipp: Az Excelben a SZÖVEGÖSSZEFŰZÉS vagy a JSON függvények használatával elemezheti az észlelési kimeneti JSON-t külön oszlopokba a könnyebb elemzés érdekében.

Áttekintés lap

Intune áttekintése

A Szervizelés Áttekintés lapján található egy összefoglaló irányítópult:

Metrikus	Jelentése
Problémákat tapasztaló eszközök	Olyan eszközök, amelyeken a tanúsítványok még nem frissülnek
Problémák nélküli eszközök	Eszközök, amelyeken a tanúsítványok naprakészek
Sikertelen észleléssel rendelkező eszközök	Olyan eszközök, ahol a szkript hibát észlelt

Gyakori kérdések

Ez módosít valamit az eszközeimen?

Nem. Ez egy csak észlelési szkript. A rendszer nem módosítja a beállításjegyzék-értékeket, nem aktiválja a frissítéseket, és nem hajt végre javítási műveletet. A szkript csak értékeket olvas be, és jelentéseket készít róluk.

Mit jelent a "Probléma" kifejezés?

"Probléma esetén" azt jelenti, hogy az eszközön még nincs alkalmazva a 2023-ra vonatkozó biztonságos rendszerindítási tanúsítványok és a 2023-ban aláírt rendszerindítás-kezelő. Ennek oka a következő lehet: – A tanúsítványfrissítés nem lett elindítva – A frissítés folyamatban van, és újraindítást igényelhet a befejezéséhez – A biztonságos rendszerindítás nincs engedélyezve az eszközön – Az eszköz nem UEFI-alapú, vagy újraindításra vár a rendszerindítás-kezelő alkalmazásához.

Mit jelent a problémamentesség?

"Probléma nélkül" azt jelenti, hogy az eszközön engedélyezve van a biztonságos rendszerindítás, az UEFICA2023Status beállításjegyzék-értéke Pedig Frissítve, ami azt jelzi, hogy a 2023-as tanúsítványok alkalmazása sikeresen megtörtént.

Milyen gyakran fut a szkript?

A szkript a hozzárendelésben konfigurált ütemezés szerint fut. A bevezetés során történő aktív monitorozáshoz ajánlott naponta. A folyamatos monitorozáshoz hetente elegendő.

Mi a teendő, ha a karbantartási beállításkulcs nem létezik?

Ha a HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing kulcs nem létezik egy eszközön, az UEFICA2023Status mező NoValue értéket fog megjeleníteni. Ez általában azt jelenti, hogy a tanúsítványfrissítések nem lettek elindítva az eszközön.

Milyen licencek szükségesek?

A szervizeléshez Windows 10/11 Enterprise E3/E5, Education A3/A5 vagy F3 licenc szükséges. Ha az eszközei csak Vállalati Prémium vagy Pro licenccel rendelkeznek, a szervizelések nem lesznek elérhetők. Lásd: A szervizelés előfeltételei.