Pembaruan Sertifikat Boot Aman: Panduan untuk profesional dan organisasi TI

Berlaku Untuk
Windows 10 Windows 10, version 1607, all editions Win 10 Ent LTSC 2019 Win 10 IoT Ent LTSC 2019 Windows 10 IoT Core LTSC Windows 10 Enterprise LTSC 2021 Windows 10 IoT Enterprise LTSC 2021 Windows 10, version 22H2, all editions Windows 11 Home and Pro, version 21H2 Windows 11 Enterprise Multi-Session, version 21H2 Windows 11 Enterprise and Education, version 21H2 Windows 11 IoT Enterprise, version 21H2 Windows 11 Home and Pro, version 22H2 Windows 11 Enterprise Multi-Session, version 22H2 Windows 11 Enterprise and Education, version 22H2 Windows 11 IoT Enterprise, version 22H2 Windows 11 SE, version 23H2 Windows 11 Home and Pro, version 23H2 Windows 11 Enterprise and Education, version 23H2 Windows 11 Enterprise Multi-Session, version 23H2 Windows 11 SE, version 24H2 Windows 11 Enterprise and Education, version 24H2 Windows 11 Enterprise Multi-Session, version 24H2 Windows 11 Home and Pro, version 24H2 Windows 11 IoT Enterprise, version 24H2 Windows Server 2012 ESU Windows Server 2012 R2 ESU Windows Server 2016 Windows Server 2019 Windows Server 2022 Windows Server 2025

Catatan

  • Tanggal Diterbitkan Asli: 26 Juni 2025
  • ID KB: 5062713

Catatan

Log Perubahan
Ubah tanggal Ubah Deskripsi
5 Mei 2026
30 Maret 2026
  • Mengatasi masalah umum, "Pembaruan sertifikat Boot Aman mungkin gagal dengan ID Kejadian 1795 pada komputer virtual Hyper-V"
24 Maret 2026
  • Memperbarui masalah umum, "Pembaruan sertifikat Boot Aman mungkin gagal dengan ID Kejadian 1795 pada komputer virtual Hyper-V"
16 Maret 2026
  • Menghapus bagian "Data kepercayaan sampel" di bawah "Skrip Pengumpulan Data Inventaris Boot Aman Sampel" karena sudah kedaluwarsa.
3 Maret 2026
  • Memformat ulang output sampel di bawah bagian "Persiapan" agar tetap berada di dalam kotak.
24 Februari 2026
  • Memperbarui konten untuk "Skrip Pengumpulan Data Inventaris Boot Aman Sampel" di bawah bagian " Persiapan".
  • Menambahkan bagian baru "Output sampel" di bawah bagian "Persiapan".
Februari 23, 2026
  • Memperbarui konten untuk "Skrip Pengumpulan Data Inventaris Boot Aman Sampel" di bawah bagian " Persiapan".
13 Februari 2026
  • Menambahkan item "Data kepercayaan sampel" ke bagian " Persiapan".
  • Menghapus "skrip koleksi untuk acara tertunda 1801 dan 1808" dari bagian "Persiapan" karena tidak lagi diperlukan.
3 Februari 2026
  • Memindahkan dan memformat ulang masalah umum dalam bagian Pemecahan Masalah.
  • Menambahkan masalah umum baru: "Pembaruan sertifikat Boot Aman mungkin gagal dengan ID Kejadian 1795 pada komputer virtual Hyper-V".
Januari 26, 2026
  • Memperbarui teks di bawah "Bantuan Penyebaran Otomatis" dari " Kedua bantuan memerlukan data diagnostik." menjadi " Hanya bantuan Peluncuran Fitur yang Terkontrol yang memerlukan data diagnostik.
11 November 2025 Memperbaiki dua kesalahan ketik di bawah "Dukungan penyebaran sertifikat Boot Aman".
  • 0x0800 - Nama sertifikat diubah dari "Microsoft UEFI CA 2023" menjadi "Microsoft Option ROM UEFI CA 2023".
  • 0x1000 - Mengubah "Microsoft Option ROM CA 2023" menjadi "Microsoft UEFI CA 2023".
10 November 2025
  • Mengoreksi dua kesalahan ketik di bawah "Sertifikat Baru": dari " Microsoft Corporation KEK CA 2023" menjadi " Microsoft Corporation KEK 2K CA 2023" dan dari " Microsoft Option ROM CA 2023" menjadi " Microsoft Option ROM UEFI CA 2023".
  • Skrip PowerShell baru ditambahkan di bawah judul "Memverifikasi status Boot Aman di seluruh armada Anda: Apakah Boot Aman diaktifkan? " dan "Persiapan".

Dalam artikel ini:

Gambaran Umum

Artikel ini ditujukan untuk organisasi dengan profesional TI khusus yang secara aktif mengelola pembaruan di seluruh armada perangkat mereka. Sebagian besar artikel ini akan berfokus pada aktivitas yang diperlukan agar departemen TI organisasi berhasil menyebarkan sertifikat Secure Boot baru. Aktivitas ini termasuk menguji firmware, memantau pembaruan perangkat, memulai penyebaran, dan mendiagnosis masalah saat muncul. Beberapa metode penyebaran dan pemantauan disajikan. Selain aktivitas inti ini, kami menawarkan beberapa alat bantu penyebaran, termasuk opsi untuk memilih perangkat klien untuk berpartisipasi dalam Peluncuran Fitur Terkontrol (CFR) khusus untuk penyebaran sertifikat.

Buku pedoman penerapan untuk profesional TI

Rencanakan dan lakukan pembaruan sertifikat Boot Aman di seluruh armada perangkat Anda melalui persiapan, pemantauan, penyebaran, dan pemulihan.

Memverifikasi status Boot Aman di seluruh armada Anda: Apakah Boot Aman diaktifkan?

Sebagian besar perangkat yang diproduksi sejak 2012 mendukung Boot Aman dan dikirimkan dengan Boot Aman yang diaktifkan. Untuk memverifikasi bahwa perangkat telah mengaktifkan Boot Aman, lakukan salah satu hal berikut:

  • Metode GUI: Buka Mulai>Pengaturan>,Privasi, & Keamanan>Keamanan Windows>Keamanan perangkat. Di bawah Keamanan perangkat, bagian Boot Aman harus menunjukkan bahwa Boot Aman aktif.
  • Metode baris perintah: Pada prompt perintah yang ditingkatkan di PowerShell, ketik Confirm-SecureBootUEFI , lalu tekan Enter. Perintah harus mengembalikan True yang menunjukkan bahwa Boot Aman aktif.

Dalam penyebaran skala besar untuk armada perangkat, perangkat lunak manajemen yang digunakan oleh profesional TI perlu memberikan pemeriksaan untuk pengaktifan Boot Aman.

Misalnya, metode untuk memeriksa status Boot Aman pada perangkat yang dikelola Microsoft Intune adalah dengan membuat dan menyebarkan skrip kepatuhan kustom Intune. Pengaturan kepatuhan Intune dicakup dalam Menggunakan pengaturan kepatuhan kustom untuk perangkat Linux dan Windows dengan Microsoft Intune.

Catatan

  • Contoh skrip Powershell untuk memeriksa apakah Boot Aman diaktifkan:
  • # Initialize result object in preparation for checking Secure Boot state 
  • $result = [PSCustomObject]@{ 
  •    SecureBootEnabled = $null 
  • } 
  • try { 
  •    $result.SecureBootEnabled = Confirm-SecureBootUEFI -ErrorAction Stop 
  •    Write-Verbose "Secure Boot enabled: $($result.SecureBootEnabled)" 
  • } catch { 
  •    $result.SecureBootEnabled = $null 
  •    Write-Warning "Unable to determine Secure Boot status: $_" 
  • } 

Jika Boot Aman tidak diaktifkan, Anda dapat melompati langkah pembaruan di bawah ini karena tidak berlaku.

Cara pembaruan diterapkan

Ada beberapa cara untuk menargetkan perangkat untuk pembaruan sertifikat Boot Aman. Detail penyebaran, termasuk pengaturan dan peristiwa, akan dibahas nanti dalam dokumen ini. Saat Anda menargetkan perangkat untuk pembaruan, pengaturan dibuat pada perangkat untuk menunjukkan bahwa perangkat harus memulai proses penerapan sertifikat baru. Tugas terjadwal berjalan di perangkat setiap 12 jam dan mendeteksi bahwa perangkat telah ditargetkan untuk pembaruan. Garis besar tentang apa yang dilakukan tugas adalah sebagai berikut:

  1. Windows UEFI CA 2023 diterapkan ke DB.
  2. Jika perangkat memiliki Microsoft Corporation UEFI CA 2011 di DB, tugas ini menerapkan Microsoft Option ROM UEFI CA 2023 dan Microsoft UEFI CA 2023 ke DB.
  3. Tugas tersebut kemudian menambahkan Microsoft Corporation KEK 2K CA 2023.
  4. Terakhir, tugas terjadwal memperbarui manajer boot Windows ke yang ditandatangani oleh Windows UEFI CA 2023. Windows akan mendeteksi bahwa perlu menghidupkan ulang sebelum manajer boot dapat diterapkan. Pembaruan manajer boot akan ditunda hingga mulai ulang terjadi secara alami (seperti saat pembaruan bulanan diterapkan), lalu Windows akan mencoba lagi menerapkan pembaruan manajer boot.

Setiap langkah di atas harus berhasil diselesaikan sebelum tugas terjadwal berpindah ke langkah berikutnya. Selama proses ini, log peristiwa dan status lainnya akan tersedia untuk membantu pemantauan penyebaran. Detail selengkapnya tentang pemantauan dan log peristiwa disediakan di bawah ini.

Memperbarui Sertifikat Boot Aman memungkinkan pembaruan mendatang ke Boot Manager 2023, yang lebih Aman. Pembaruan khusus tentang Boot Manager akan tersedia dalam rilis mendatang.

Langkah-langkah penyebaran

  • Persiapan: Inventaris dan perangkat uji.
  • Pertimbangan firmware
  • Pemantauan: Verifikasi cara kerja pemantauan dan dasarkan armada Anda.
  • Penyebaran: Menargetkan perangkat untuk pembaruan, dimulai dengan subset kecil dan diperluas berdasarkan pengujian yang berhasil.
  • Perbaikan: Selidiki dan selesaikan masalah apa pun menggunakan log dan dukungan vendor.

Persiapan

Inventaris, perangkat keras, dan firmware. Bangun sampel perangkat yang representatif berdasarkan Produsen Sistem, Model Sistem, Versi/Tanggal BIOS, versi Produk BaseBoard, dll., dan uji pembaruan pada perangkat tersebut sebelum penerapan secara luas.  Parameter ini umumnya tersedia dalam informasi sistem (MSINFO32). Gunakan contoh perintah PowerShell yang disertakan untuk memeriksa status pembaruan Boot Aman dan untuk menginventarisasi perangkat di seluruh organisasi Anda.

Catatan

  • Perintah ini berlaku jika status Boot Aman diaktifkan.
  • Sebagian besar perintah ini memerlukan hak istimewa admin agar dapat berfungsi.

Contoh skrip pengumpulan data Inventaris Boot Aman

Salin dan tempel contoh skrip ini dan ubah sesuai kebutuhan untuk lingkungan Anda: Skrip Pengumpulan Data Inventaris Boot Aman Sampel.

Catatan

  • Keluaran sampel:
  • {"UEFICA2023Status":"Diperbarui","UEFICA2023Error":null,"UEFICA2023ErrorEvent":null,
    "AvailableUpdates":"0x0","AvailableUpdatesPolicy":null,"Nama host":"LAPTOP-FEDU3LOS",
    "CollectionTime":"2026-02-23T08:40:36.5498322-08:00","SecureBootEnabled":true,
    "HighConfidenceOptOut":null,"MicrosoftUpdateManagedOptIn":null,"OEMManufacturerName":
    "Microsoft Corporation","OEMModelSystemFamily":"Surface","OEMModelNumber":
    "Surface Laptop 4","FirmwareVersion":32.101.143","FirmwareReleaseDate":"11/03/2025",
    "OSArchitecture":"AMD64","CanAttemptUpdateAfter":"2026-02-20T16:11:15.5890000Z","LatestEventId":
    1808,"BucketId":"04b339674931caf378feadaa64c64f0613227f70a7cd7258be63bb9e2d81767f",
    "Keyakinan":"UpdateType:Windows UEFI CA 2023 (DB), Option ROM CA 2023 (DB),
    3P UEFI CA 2023 (DB), KEK 2023, Boot Manager(2023)","SkipReasonKnownIssue":null,
    "Event1801Count":0,"Event1808Count":5,"Event1795Count":0,"Event1795ErrorCode":null,
    "Event1796Count":0,"Event1796ErrorCode":null,"Event1800Count":0,"RebootPending":false,
    "Event1802Count":0,"KnownIssueId":null,"Event1803Count":0,"MissingKEK":false,"OSVersion":
    "10.0.26200","LastBootTime":"2026-02-19T04:28:00.5000000-08:00","BaseBoardManufacturer":
    "Microsoft Corporation","BaseBoardProduct":"Surface Laptop 4","SecureBootTaskEnabled":true,
    "SecureBootTaskStatus":"Ready","WinCSKeyApplied":true,"WinCSKeyStatus":"Applied"}

Tingkat keyakinan Secure Boot

Tingkat kepercayaan diri Arti Tindakan yang diperlukan
Keyakinan Tinggi Microsoft telah memvalidasi kelas perangkat ini aman untuk pembaruan Aman untuk menyebarkan pembaruan sertifikat
Dalam Pengamatan - Diperlukan Lebih Banyak Data Microsoft masih mengumpulkan Peluncuran Boot Aman Data Diagnostik tentang perangkat ini Tunggu klasifikasi Microsoft
Tidak ada data yang diamati - diperlukan tindakan Kelas perangkat tidak diketahui Microsoft Perusahaan harus menguji dan merencanakan peluncuran
Dijeda sementara Masalah kompatibilitas umum Periksa pembaruan BIOS OEM; Tunggu hingga Microsoft menyelesaikan masalah
Tidak didukung - batasan yang diketahui Batasan platform atau perangkat keras Dokumen sebagai pengecualian

Langkah pertama jika Boot Aman diaktifkan adalah memeriksa apakah ada kejadian tertunda yang baru saja diperbarui atau sedang dalam proses memperbarui sertifikat Boot Aman. Yang menarik adalah peristiwa terbaru pada tahun 1801 dan 1808. Kejadian ini dijelaskan secara mendetail dalam kejadian pembaruan variabel DB dan DBX Boot Aman. Periksa juga bagian Pemantauan dan penyebaran untuk mengetahui bagaimana peristiwa dapat menampilkan status pembaruan yang tertunda.

Langkah berikutnya adalah menginventarisasi perangkat di seluruh organisasi Anda. Kumpulkan detail berikut dengan perintah PowerShell untuk membuat sampel yang representatif:

Catatan

  • Pengidentifikasi Dasar (2 nilai)
  • 1. NamaHost - $env: NAMA KOMPUTER
  • 2. CollectionTime - Get-Date
  • Registri: Secure Boot Kunci utama (3 nilai)
  • 3. SecureBootEnabled - Confirm-SecureBootUEFI cmdlet atau HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot
  • 4. HighConfidenceOptOut - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot
  • 5. AvailableUpdates - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot
  • Registri: Kunci Layanan (3 nilai)
  • 6. UEFICA2023Status -HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing
  • 7. WindowsUEFICA2023Mampu - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing
  • 8. UEFICA2023Error - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing
  • Registri: Atribut Perangkat (7 nilai)
  • 9. OEMManufacturerName - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\DeviceAttributes
  • 10. OEMModelSystemFamily - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\DeviceAttributes
  • 11. OEMModelNumber - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\DeviceAttributes
  • 12. FirmwareVersion - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\DeviceAttributes
  • 13. FirmwareReleaseDate - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\DeviceAttributes
  • 14. OSArchitecture - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\DeviceAttributes
  • 15. CanAtTemptUpdateAfter - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing\DeviceAttributes
  • Log Peristiwa: Log Sistem (5 nilai)
  • 16. LatestEventId - Peristiwa Boot Aman terbaru
  • 17. BucketID - Diekstrak dari Peristiwa 1801/1808
  • 18. Keyakinan - Diekstrak dari Peristiwa 1801/1808
  • 19. Event1801Count - Jumlah peristiwa
  • 20. Event1808Count - Jumlah peristiwa
  • Kueri WMI/CIM (4 nilai)
  • 21. OSVersion - Get-CimInstance Win32_OperatingSystem
  • 22. LastBootTime - Get-CimInstance Win32_OperatingSystem
  • 23. BaseBoardManufacturer - Get-CimInstance Win32_BaseBoard
  • 24. BaseBoardProduct - Get-CimInstance Win32_BaseBoard
  •      25. (Get-CIMInstance Win32_ComputerSystem). Pabrikan
  •      26. (Dapatkan-CIMInstance Win32_ComputerSystem). Model
  •     27. (Dapatkan-CIMInstance Win32_BIOS). Deskripsi + ", " + (Get-CIMInstance Win32_BIOS). ReleaseDate.ToString("MM/dd/yyyy")
  •     28. (Dapatkan-CIMInstance Win32_BaseBoard). Produk

Pertimbangan firmware

Menyebarkan sertifikat Boot Aman baru ke armada perangkat Anda mengharuskan firmware perangkat berperan dalam menyelesaikan pembaruan. Meskipun Microsoft mengharapkan bahwa sebagian besar firmware perangkat akan berfungsi seperti yang diharapkan, pengujian yang cermat diperlukan sebelum menyebarkan sertifikat baru.

Periksa inventaris perangkat keras Anda dan buat sampel kecil perangkat yang representatif berdasarkan kriteria unik berikut, seperti:

  • Pabrikan
  • Nomor model
  • Versi firmware
  • Versi Baseboard OEM, dll.

Sebelum menyebarkan secara luas ke perangkat di armada Anda, kami menyarankan Anda menguji pembaruan sertifikat pada perangkat sampel yang representatif (sebagaimana ditentukan oleh faktor-faktor seperti produsen, model, versi firmware) untuk memastikan bahwa pembaruan berhasil diproses. Panduan yang disarankan tentang jumlah perangkat sampel yang akan diuji untuk setiap kategori unik adalah 4 atau lebih.

Hal ini akan membantu membangun kepercayaan dalam proses penerapan Anda dan membantu menghindari dampak tak terduga pada armada Anda yang lebih luas.

Dalam beberapa kasus, pembaruan firmware mungkin diperlukan agar berhasil memperbarui sertifikat Boot Aman. Dalam kasus ini, sebaiknya hubungi OEM perangkat Anda untuk melihat apakah firmware yang diperbarui tersedia.

Windows di lingkungan virtual

Untuk Windows yang berjalan di lingkungan virtual, ada dua metode untuk menambahkan sertifikat baru ke variabel firmware Boot Aman:

  • Pencipta lingkungan virtual (AWS, Azure, Hyper-V, VMware, dll.) dapat memberikan pembaruan untuk lingkungan dan menyertakan sertifikat baru dalam firmware virtual. Ini akan berfungsi untuk perangkat virtual baru.
  • Untuk Windows yang berjalan jangka panjang di VM, pembaruan dapat diterapkan melalui Windows seperti perangkat lainnya, jika firmware virtual mendukung pembaruan Boot Aman.

Pemantauan dan penyebaran

Kami menyarankan Anda memulai pemantauan perangkat sebelum penyebaran untuk memastikan bahwa pemantauan berfungsi dengan benar dan Anda mengetahui keadaan armada terlebih dahulu. Opsi pemantauan dibahas di bawah ini.

Microsoft menyediakan beberapa metode untuk menyebarkan dan memantau pembaruan sertifikat Boot Aman.

Bantuan penyebaran otomatis

Microsoft menyediakan dua bantuan penyebaran. Bantuan ini mungkin terbukti berguna dalam membantu penyebaran sertifikat baru ke armada Anda. Hanya bantuan Peluncuran Fitur Terkontrol yang memerlukan data diagnostik.

  • Opsi untuk pembaruan kumulatif dengan wadah keyakinan: Microsoft dapat secara otomatis menyertakan grup perangkat dengan kepercayaan tinggi dalam pembaruan bulanan berdasarkan data diagnostik yang dibagikan hingga saat ini, untuk menguntungkan sistem dan organisasi yang tidak dapat berbagi data diagnostik. Langkah ini tidak memerlukan data diagnostik untuk diaktifkan.

    • Untuk organisasi dan sistem yang dapat berbagi data diagnostik, hal ini memberi Microsoft visibilitas dan keyakinan bahwa perangkat dapat berhasil menyebarkan sertifikat. Informasi selengkapnya tentang mengaktifkan data diagnostik tersedia di: Mengonfigurasi data diagnostik Windows di organisasi Anda. Kami membuat "wadah" untuk setiap perangkat unik (sebagaimana ditentukan oleh atribut yang mencakup produsen, versi motherboard, produsen firmware, versi firmware, dan poin data tambahan). Untuk setiap wadah, kami memantau bukti keberhasilan pada beberapa perangkat. Setelah kami melihat pembaruan yang cukup berhasil dan tidak ada kegagalan, kami akan menganggap wadah "keyakinan tinggi" dan menyertakan data tersebut dalam pembaruan kumulatif bulanan. Saat pembaruan bulanan diterapkan ke perangkat dalam wadah keyakinan tinggi, Windows akan secara otomatis menerapkan sertifikat ke variabel UEFI Secure Boot di firmware.
    • Bucket kepercayaan tinggi mencakup perangkat yang memproses pembaruan dengan benar. Secara alami, tidak semua perangkat akan menyediakan data diagnostik, dan hal ini dapat membatasi kepercayaan Microsoft terhadap kemampuan perangkat untuk memproses pembaruan dengan benar.
    • Bantuan ini diaktifkan secara default untuk perangkat dengan kepercayaan tinggi dan dapat dinonaktifkan dengan pengaturan khusus perangkat. Informasi selengkapnya akan dibagikan dalam rilis Windows mendatang.

  • Peluncuran Fitur Terkontrol (CFR): Pilih perangkat untuk penyebaran yang dikelola Microsoft jika data diagnostik diaktifkan.

    • Peluncuran Fitur Terkontrol (CFR) dapat digunakan dengan perangkat klien di armada organisasi. Hal ini mengharuskan perangkat mengirim data diagnostik yang diperlukan ke Microsoft dan telah memberi sinyal bahwa perangkat memilih untuk mengizinkan CFR di perangkat. Detail tentang cara ikut serta dijelaskan di bawah ini.

    • Microsoft akan mengelola proses pembaruan untuk sertifikat baru ini di perangkat Windows tempat data diagnostik tersedia dan perangkat berpartisipasi dalam Peluncuran Fitur Terkontrol (CFR). Meskipun CFR dapat membantu dalam penyebaran sertifikat baru, organisasi tidak akan dapat mengandalkan CFR untuk memulihkan armada mereka – itu akan mengharuskan mengikuti langkah-langkah yang diuraikan dalam dokumen ini di bagian Metode Penyebaran yang tidak dicakup oleh bantuan otomatis.

    • Batasan: Ada beberapa alasan mengapa CFR mungkin tidak berfungsi di lingkungan Anda. Misalnya:

      • Tidak ada data diagnostik yang tersedia atau data diagnostik tidak dapat digunakan sebagai bagian dari penyebaran CFR.
      • Perangkat tidak menggunakan versi klien Windows 11 dan Windows 10 yang didukung dengan pembaruan keamanan diperpanjang (ESU).

Metode penyebaran tidak dicakup oleh bantuan otomatis

Pilih metode yang sesuai dengan lingkungan Anda. Hindari metode pencampuran pada perangkat yang sama:

  • Kunci registri: Mengontrol penyebaran dan memantau hasil.
    Ada beberapa kunci registri yang tersedia untuk mengontrol perilaku penyebaran sertifikat dan untuk memantau hasilnya. Selain itu, ada dua kunci untuk ikut serta dan keluar dari alat bantu penerapan yang dijelaskan di atas. Untuk informasi selengkapnya tentang kunci registri, lihat Registry Key Updates for Secure Boot - Perangkat Windows dengan pembaruan yang dikelola TI.

  • Objek Kebijakan Grup (GPO): Kelola pengaturan; pantau melalui registri dan log peristiwa.
    Microsoft akan memberikan dukungan untuk mengelola pembaruan Boot Aman menggunakan Kebijakan Grup pada pembaruan mendatang. Perhatikan bahwa karena Kebijakan Grup untuk pengaturan, pemantauan status perangkat perlu dilakukan menggunakan metode alternatif termasuk memantau kunci registri dan entri log peristiwa.

  • WinCS (Windows Configuration System) CLI: Menggunakan alat baris perintah untuk klien yang bergabung dengan domain.
    Administrator domain dapat menggunakan Sistem Konfigurasi Windows (WinCS) yang disertakan dalam pembaruan OS Windows untuk menyebarkan pembaruan Boot Aman di seluruh klien dan server Windows yang tergabung dengan domain. Ini terdiri dari serangkaian utilitas baris perintah (baik modul yang dapat dieksekusi tradisional maupun modul PowerShell) untuk mengkueri dan menerapkan konfigurasi Boot Aman secara lokal ke komputer. Untuk informasi selengkapnya, lihat artikel berikut ini:

  • Microsoft Intune/Configuration Manager: Menyebarkan skrip PowerShell. Penyedia Layanan Konfigurasi (CSP) akan disediakan dalam pembaruan mendatang untuk memungkinkan penyebaran menggunakan Intune.

Memantau log peristiwa

Dua acara baru sedang disediakan untuk membantu menyebarkan pembaruan sertifikat Boot Aman. Kejadian ini dijelaskan secara mendetail dalam kejadian pembaruan variabel DB dan DBX Boot Aman:

  • ID Acara: 1801
    Kejadian ini adalah peristiwa kesalahan yang menunjukkan bahwa sertifikat yang diperbarui belum diterapkan ke perangkat. Acara ini memberikan beberapa detail khusus untuk perangkat, termasuk atribut perangkat, yang akan membantu menghubungkan perangkat mana yang masih perlu diperbarui.
  • ID Acara: 1808
    Kejadian ini merupakan peristiwa informasi yang menunjukkan bahwa perangkat memiliki sertifikat Boot Aman baru yang diperlukan yang diterapkan ke firmware perangkat.

Strategi penerapan

Untuk meminimalkan risiko, sebarkan pembaruan Boot Aman secara bertahap, bukan sekaligus. Mulailah dengan sebagian kecil perangkat, validasi hasil, lalu perluas ke grup tambahan. Sebaiknya mulai dengan subset perangkat dan, saat Anda semakin yakin dengan penyebaran tersebut, tambahkan subset perangkat tambahan. Beberapa faktor dapat digunakan untuk menentukan apa yang masuk ke dalam subset, termasuk hasil pengujian pada perangkat sampel dan struktur organisasi, dll.

Keputusan tentang perangkat yang Anda sebarkan terserah Anda. Beberapa strategi yang mungkin tercantum di sini.

  • Armada perangkat besar: mulailah dengan mengandalkan bantuan yang dijelaskan di atas untuk perangkat paling umum yang Anda kelola. Secara paralel, fokuslah pada perangkat yang kurang umum yang dikelola oleh organisasi Anda. Uji perangkat sampel kecil dan, jika pengujian berhasil, sebarkan ke perangkat lainnya dari tipe yang sama. Jika pengujian menghasilkan masalah, selidiki penyebab masalah dan tentukan langkah perbaikan. Anda mungkin juga ingin mempertimbangkan kelas perangkat yang memiliki nilai lebih tinggi dalam armada Anda dan mulai menguji dan menyebarkan untuk memastikan perangkat tersebut telah memperbarui perlindungan lebih awal.
  • Armada kecil, varietas besar: Jika armada yang Anda kelola berisi berbagai macam mesin yang menguji perangkat individu akan sangat mahal, pertimbangkan untuk sangat mengandalkan dua bantuan yang dijelaskan di atas, terutama untuk perangkat yang kemungkinan besar merupakan perangkat umum di pasaran. Awalnya fokus pada perangkat yang penting untuk pengoperasian sehari-hari, uji, lalu terapkan. Terus bergerak ke bawah daftar perangkat prioritas tinggi, pengujian dan sebarkan sambil memantau armada untuk mengonfirmasi bahwa bantuan membantu perangkat lainnya.

Catatan

  • Perhatikan perangkat lama, terutama perangkat yang tidak lagi didukung oleh produsen. Meskipun firmware harus melakukan operasi pembaruan dengan benar, beberapa mungkin tidak. Jika firmware tidak berfungsi dengan benar dan perangkat tidak lagi didukung, pertimbangkan untuk mengganti perangkat untuk memastikan perlindungan Boot Aman di seluruh armada Anda.
  • Perangkat baru yang diproduksi dalam 1-2 tahun terakhir mungkin sudah memiliki sertifikat yang diperbarui, tetapi mungkin tidak menerapkan pengelola boot bertanda tangan Windows UEFI CA 2023 ke sistem. Menerapkan manajer boot ini merupakan langkah terakhir yang penting dalam penyebaran untuk setiap perangkat.
  • Setelah perangkat dipilih untuk pembaruan, mungkin perlu beberapa saat sebelum pembaruan selesai. Perkirakan 48 jam dan satu atau beberapa restart agar sertifikat berlaku.

Tanya Jawab Umum (FAQ)

Untuk tanya jawab umum, lihat artikel FAQ Secure Boot .

Pemecahan masalah

Lihat dokumen Pemecahan masalah untuk detail selengkapnya.

Sumber daya tambahan

Tips

Bookmark sumber daya tambahan ini.