Aggiornamenti del certificato di avvio protetto: linee guida per professionisti IT e organizzazioni

Registro delle modifiche

Modifica data	Descrizione della modifica
5 maggio 2026	Il contenuto della sezione Risoluzione dei problemi è stato sostituito con un collegamento all'articolo Risoluzione dei problemi. Sono state rimosse le sezioni "Scadenza del certificato di avvio protetto", "Modifiche in corso" e "Risorse del supporto tecnico Microsoft", in quanto duplicano le informazioni generali fornite in articoli correlati, ad esempio la scadenza del certificato di avvio protetto di Windows e gli aggiornamenti della CA.
30 marzo 2026	Risoluzione del problema noto "Gli aggiornamenti del certificato di avvio protetto potrebbero non riuscire con ID evento 1795 nelle macchine virtuali Hyper-V"
24 marzo 2026	Aggiornamento del problema noto "Gli aggiornamenti del certificato di avvio protetto potrebbero non riuscire con ID evento 1795 nelle macchine virtuali Hyper-V"
16 marzo 2026	È stata rimossa la sezione "Dati di attendibilità di esempio" in "Script di raccolta dati di inventario di avvio protetto di esempio" perché non aggiornata.
3 marzo 2026	Riformattato l'output del campione nella sezione "Preparazione" in modo che rimanga all'interno della casella.
24 febbraio 2026	Aggiornato il contenuto per lo "Script di esempio per la raccolta dei dati di inventario di avvio protetto" nella sezione " Preparazione". Aggiunta una nuova sezione "Output di esempio" nella sezione "Preparazione".
23 febbraio 2026	Aggiornato il contenuto per lo "Script di esempio per la raccolta dei dati di inventario di avvio protetto" nella sezione " Preparazione".
13 febbraio 2026	Aggiunti gli elementi "Dati di attendibilità di esempio" alla sezione " Preparazione". È stato rimosso lo "script di raccolta per gli eventi in sospeso 1801 e 1808" dalla sezione "Preparazione" in quanto non è più necessario.
3 febbraio 2026	Spostati e riformattati i problemi comuni all'interno della sezione Risoluzione dei problemi. Aggiunta di un nuovo problema comune: "Gli aggiornamenti del certificato di avvio protetto potrebbero non riuscire con ID evento 1795 nelle macchine virtuali Hyper-V".
Gennaio 26, 2026	Il testo in "Assistenza per la distribuzione automatica" è stato aggiornato da " Entrambe le assistenze richiedono dati di diagnostica" a " Solo l'assistenza per l'implementazione controllata delle funzionalità richiede dati di diagnostica.
11 novembre 2025	Sono stati corretti due errori di battitura in "Supporto per la distribuzione del certificato di avvio protetto". 0x0800 - Il nome del certificato è stato modificato da "Microsoft UEFI CA 2023" a "Microsoft Option ROM UEFI CA 2023". 0x1000 - Modifica di "Microsoft Option ROM CA 2023" in "Microsoft UEFI CA 2023".
10 novembre 2025	Sono stati corretti due errori di battitura in "Nuovo certificato": da " Microsoft Corporation KEK CA 2023" a " Microsoft Corporation KEK 2K CA 2023" e da " Microsoft Option ROM CA 2023" a " Microsoft Option ROM UEFI CA 2023". Sono stati aggiunti nuovi script PowerShell sotto le intestazioni "Verifica dello stato di avvio protetto nel parco multimedia: è abilitato l'avvio protetto?" e "Preparazione".

In questo articolo:

• Panoramica

• Playbook di distribuzione per professionisti IT

  • Verifica dello stato di avvio protetto in tutto il parco veicoli: l'avvio protetto è abilitato?
  • Modalità di distribuzione degli aggiornamenti
  • Procedura di distribuzione
  • Preparazione
  • Considerazioni sul firmware
  • Windows in ambienti virtualizzati
  • Monitoraggio e distribuzione
  • Assistenza per la distribuzione automatica
  • Metodi di distribuzione non coperti dall'assistenza automatica
  • Monitoraggio dei registri eventi
  • Strategie di distribuzione

• Domande frequenti

• Risoluzione dei problemi

• Altre risorse

Panoramica

Questo articolo è destinato alle organizzazioni con professionisti IT dedicati che gestiscono attivamente gli aggiornamenti nell'intero parco dispositivi. La maggior parte di questo articolo si concentrerà sulle attività necessarie affinché il reparto IT di un'organizzazione riesca a distribuire con successo i nuovi certificati di avvio protetto. Queste attività includono il test del firmware, il monitoraggio degli aggiornamenti dei dispositivi, l'avvio della distribuzione e la diagnosi dei problemi man mano che si presentano. Vengono presentati più metodi di distribuzione e monitoraggio. Oltre a queste attività principali, sono disponibili diverse funzionalità di supporto per la distribuzione, inclusa la possibilità di acconsentire esplicitamente ai dispositivi client per la partecipazione a una implementazione controllata delle funzionalità (CFR) specifica per la distribuzione dei certificati.

Playbook di distribuzione per i professionisti IT

Pianificare ed eseguire gli aggiornamenti del certificato di avvio protetto in tutto il parco dispositivi tramite preparazione, monitoraggio, distribuzione e correzione.

Verifica dello stato di avvio protetto in tutto il parco veicoli: l'avvio protetto è abilitato?

La maggior parte dei dispositivi prodotti dal 2012 dispone del supporto per l'avvio protetto e viene fornita con l'avvio protetto abilitato. Per verificare che nel dispositivo sia abilitato l'avvio protetto, esegui una delle operazioni seguenti:

• Metodo GUI: Andare a Start>Impostazioni>Privacy & Sicurezza>Sicurezza di Windows>Sicurezza del dispositivo. In Sicurezza dispositivi, la sezione Avvio protetto deve indicare che l'avvio protetto è attivato.
• Metodo della riga di comando: In un prompt dei comandi con privilegi elevati in PowerShell digitare Confirm-SecureBootUEFI e premere INVIO. Il comando dovrebbe restituire True indicando che l'avvio protetto è attivato.

Nelle distribuzioni su larga scala per una flotta di dispositivi, il software di gestione usato dai professionisti IT dovrà fornire un controllo per l'abilitazione dell'avvio protetto.

Ad esempio, il metodo per controllare lo stato dell'avvio protetto nei dispositivi gestiti da Microsoft Intune consiste nel creare e distribuire uno script di conformità personalizzato di Intune. Intune impostazioni di conformità sono descritte in Usare impostazioni di conformità personalizzate per dispositivi Linux e Windows con Microsoft Intune.

Se l'avvio protetto non è abilitato, puoi ignorare i passaggi di aggiornamento seguenti perché non sono applicabili.

Modalità di distribuzione degli aggiornamenti

Esistono diversi modi per indirizzare i dispositivi per gli aggiornamenti del certificato di avvio protetto. I dettagli della distribuzione, incluse le impostazioni e gli eventi, verranno illustrati più avanti in questo documento. Quando si imposta un dispositivo per gli aggiornamenti, viene creata un'impostazione nel dispositivo per indicare che il dispositivo deve iniziare il processo di applicazione dei nuovi certificati. Un'attività pianificata viene eseguita nel dispositivo ogni 12 ore e rileva che il dispositivo è stato destinato agli aggiornamenti. Di seguito è riportato uno schema delle operazioni eseguite dall'attività:

1. La CA UEFI 2023 di Windows viene applicata al DB.
2. Se il dispositivo ha la CA UEFI 2011 di Microsoft Corporation nel DB, l'attività applica al DB la Microsoft Option ROM UEFI CA 2023 e la CA UEFI Microsoft 2023 .
3. L'attività aggiunge quindi il KEK 2K CA 2023 di Microsoft Corporation.
4. Infine, l'attività pianificata aggiorna Windows Boot Manager a quello firmato dalla CA UEFI di Windows 2023. Windows rileverà che è necessario un riavvio prima che sia possibile applicare Boot Manager. L'aggiornamento di Boot Manager verrà ritardato fino a quando il riavvio non si verifica naturalmente (ad esempio quando vengono applicati aggiornamenti mensili), quindi Windows tenterà nuovamente di applicare l'aggiornamento di Boot Manager.

Tutti i passaggi precedenti devono essere completati correttamente prima che l'attività pianificata passi al passaggio successivo. Durante questo processo, saranno disponibili registri eventi e altri stati per facilitare il monitoraggio della distribuzione. Di seguito sono forniti altri dettagli sul monitoraggio e sui registri eventi.

L'aggiornamento dei certificati di avvio protetto consente un futuro aggiornamento al Boot Manager 2023, che è più sicuro. Aggiornamenti specifici su Boot Manager saranno disponibili nelle versioni future.

Procedura di distribuzione

• Preparazione: inventario e dispositivi di prova.
• Considerazioni sul firmware
• Monitoraggio: verifica che il monitoraggio funzioni e crea la baseline della tua flotta.
• Distribuzione: dispositivi di destinazione per gli aggiornamenti, iniziando con piccoli sottoinsiemi e espandendosi in base ai test riusciti.
• Correzione: analizzare e risolvere eventuali problemi usando i log e il supporto fornitore.

Preparazione

Inventario di hardware e firmware. Crea un campione rappresentativo di dispositivi in base al produttore del sistema, al modello di sistema, alla versione/data del BIOS, alla versione del prodotto BaseBoard e così via e testa gli aggiornamenti su tali dispositivi prima della distribuzione su larga scala.  Questi parametri sono comunemente disponibili nelle informazioni di sistema (MSINFO32). Usare i comandi di PowerShell di esempio inclusi per controllare lo stato di aggiornamento dell'avvio protetto e per eseguire l'inventario dei dispositivi nell'organizzazione.

Script di esempio per la raccolta dei dati di inventario di avvio protetto

Copiare e incollare questo script di esempio e modificarlo in base alle esigenze per l'ambiente: Lo script di esempio per la raccolta dei dati dell'inventario di avvio protetto.

Livelli di attendibilità di avvio protetto

Livello di confidenza	Significato	Azione necessaria
Alta confidenza	Microsoft ha convalidato che questa classe di dispositivi è sicura per gli aggiornamenti	Distribuzione sicura degli aggiornamenti dei certificati
Sotto osservazione - Servono più dati	Microsoft sta ancora raccogliendo dati di diagnostica per l'implementazione dell'avvio protetto su questi dispositivi	Attendi la classificazione Microsoft
Nessun dato osservato - Azione necessaria	La classe del dispositivo non è nota a Microsoft	L'organizzazione deve testare e pianificare l'implementazione
Temporaneamente sospeso	Problemi di compatibilità noti	Verificare la presenza di un aggiornamento del BIOS OEM. Attendi che Microsoft si risolva
Non supportato - Limitazione nota	Limitazioni della piattaforma o dell'hardware	Documento come eccezione

Il primo passaggio se l'avvio protetto è abilitato consiste nel verificare se sono presenti eventi in sospeso che sono stati aggiornati di recente o se sono in corso di aggiornamento dei certificati di avvio protetto. Di particolare interesse sono gli eventi più recenti del 1801 e del 1808. Questi eventi sono descritti in dettaglio negli eventi di aggiornamento delle variabili del database di avvio protetto e DBX. Controllare anche la sezione Monitoraggio e distribuzione per scoprire in che modo gli eventi possono mostrare lo stato degli aggiornamenti in sospeso.

Il passaggio successivo consiste nell'eseguire l'inventario dei dispositivi nell'organizzazione. Raccogliere i dettagli seguenti con i comandi di PowerShell per creare un esempio rappresentativo:

Considerazioni sul firmware

La distribuzione dei nuovi certificati di avvio protetto alla flotta di dispositivi richiede che il firmware del dispositivo svolga un ruolo nel completamento dell'aggiornamento. Anche se Microsoft prevede che la maggior parte del firmware del dispositivo funzionerà come previsto, sono necessari test accurati prima di distribuire i nuovi certificati.

Esamina il tuo inventario hardware e crea un piccolo campione rappresentativo di dispositivi in base ai seguenti criteri univoci, ad esempio:

• Produttore
• Numero di modello
• Versione firmware
• Versione del basamento OEM, ecc.

Prima di eseguire la distribuzione su larga scala ai dispositivi del parco istanze, è consigliabile testare gli aggiornamenti dei certificati su dispositivi campione rappresentativi (definiti da fattori come produttore, modello, versione del firmware) per assicurarsi che gli aggiornamenti vengano elaborati correttamente. Le linee guida consigliate sul numero di dispositivi di esempio da testare per ogni categoria univoca sono 4 o più.

Ciò contribuirà a creare fiducia nel processo di implementazione e contribuirà a evitare impatti imprevisti sulla flotta più ampia.

In alcuni casi, potrebbe essere necessario un aggiornamento del firmware per aggiornare correttamente i certificati di avvio protetto. In questi casi, è consigliabile verificare con l'OEM del dispositivo se è disponibile un firmware aggiornato.

Windows in ambienti virtualizzati

Per Windows in esecuzione in un ambiente virtuale, esistono due metodi per aggiungere i nuovi certificati alle variabili del firmware di avvio protetto:

• Il creatore dell'ambiente virtuale (AWS, Azure, Hyper-V, VMware e così via) può fornire un aggiornamento per l'ambiente e includere i nuovi certificati nel firmware virtualizzato. Questo funzionerebbe per i nuovi dispositivi virtualizzati.
• Per Windows in esecuzione a lungo termine in una macchina virtuale, gli aggiornamenti possono essere applicati tramite Windows come qualsiasi altro dispositivo, se il firmware virtualizzato supporta gli aggiornamenti di avvio protetto.

Monitoraggio e distribuzione

Si consiglia di iniziare il monitoraggio del dispositivo prima della distribuzione per assicurarsi che il monitoraggio funzioni correttamente e di avere una buona conoscenza dello stato del parco istanze in anticipo. Le opzioni di monitoraggio sono illustrate di seguito.

Microsoft offre diversi metodi per la distribuzione e il monitoraggio degli aggiornamenti del certificato di avvio protetto.

Assistenza per la distribuzione automatica

Microsoft fornisce due assistenza per la distribuzione. Questi aiuti possono rivelarsi utili per facilitare l'implementazione dei nuovi certificati nella tua flotta. Solo l'assistenza per l'implementazione controllata delle funzionalità richiede dati di diagnostica.

• Opzione per gli aggiornamenti cumulativi con bucket di confidenza: Microsoft può includere automaticamente gruppi di dispositivi con alta confidenza negli aggiornamenti mensili in base ai dati di diagnostica condivisi fino a quel momento, a vantaggio dei sistemi e delle organizzazioni che non possono condividere i dati di diagnostica. Questo passaggio non richiede l'abilitazione dei dati di diagnostica.

  • Per le organizzazioni e i sistemi che possono condividere i dati di diagnostica, offre a Microsoft la visibilità e la sicurezza che i dispositivi possano distribuire correttamente i certificati. Altre informazioni sull'abilitazione dei dati di diagnostica sono disponibili in: Configurare i dati di diagnostica Windows nell'organizzazione. Stiamo creando dei "bucket" per ogni dispositivo univoco (come definito da attributi che includono produttore, versione della scheda madre, produttore del firmware, versione del firmware e punti dati aggiuntivi). Per ogni bucket, stiamo monitorando le prove di successo su più dispositivi. Una volta che avremo riscontrato un numero sufficiente di aggiornamenti riusciti e nessun errore, considereremo il bucket "ad alta confidenza" e includeremo tali dati negli aggiornamenti cumulativi mensili. Quando gli aggiornamenti mensili vengono applicati a un dispositivo in un bucket con alta confidenza, Windows applicherà automaticamente i certificati alle variabili di avvio protetto UEFI nel firmware.
  • I bucket con alta confidenza includono i dispositivi che elaborano correttamente gli aggiornamenti. Naturalmente, non tutti i dispositivi forniscono dati di diagnostica, e questo potrebbe limitare la fiducia di Microsoft nella capacità di un dispositivo di elaborare correttamente gli aggiornamenti.
  • Questa assistenza è abilitata per impostazione predefinita per i dispositivi con alta attendibilità e può essere disabilitata con un'impostazione specifica del dispositivo. Altre informazioni verranno condivise nelle versioni future di Windows.

• Implementazione controllata delle funzionalità (CFR): Acconsentire esplicitamente ai dispositivi per la distribuzione gestita da Microsoft se i dati di diagnostica sono abilitati.

  • Il CFR (Controlled Feature Rollout) può essere utilizzato con i dispositivi client nelle flotte dell'organizzazione. Ciò richiede che i dispositivi inviino i dati di diagnostica necessari a Microsoft e abbiano segnalato che il dispositivo sta acconsentendo esplicitamente al CFR nel dispositivo. I dettagli su come acconsentire esplicitamente sono descritti di seguito.

  • Microsoft gestirà il processo di aggiornamento per questi nuovi certificati nei dispositivi Windows in cui i dati di diagnostica sono disponibili e i dispositivi partecipano all'implementazione controllata delle funzionalità (CFR). Sebbene il CFR possa aiutare nella distribuzione dei nuovi certificati, le organizzazioni non saranno in grado di fare affidamento su CFR per correggere le loro flotte: richiederà di seguire i passaggi descritti in questo documento nella sezione sui metodi di distribuzione non coperti dalle assistenze automatizzate.

  • Limitazioni: Ci sono alcuni motivi per cui il CFR potrebbe non funzionare nel tuo ambiente. Ad esempio:

    • Non sono disponibili dati di diagnostica o i dati di diagnostica non sono utilizzabili come parte della distribuzione del CFR.
    • I dispositivi non sono nelle versioni client supportate di Windows 11 e Windows 10 con aggiornamenti della sicurezza estesa (ESU).

Metodi di distribuzione non coperti dall'assistenza automatica

Scegliere il metodo più adatto al proprio ambiente. Evita di combinare metodi nello stesso dispositivo:

• Chiavi del Registro di sistema: controllare la distribuzione e monitorare i risultati.
  Sono disponibili più chiavi del Registro di sistema per controllare il comportamento della distribuzione dei certificati e per monitorare i risultati. Inoltre, esistono due chiavi per acconsentire e rifiutare esplicitamente gli strumenti per la distribuzione descritti in precedenza. Per altre informazioni sulle chiavi del Registro di sistema, vedere Aggiornamenti delle chiavi del Registro di sistema per avvio protetto - dispositivi Windows con aggiornamenti gestiti dall'IT.

• Criteri di gruppo Oggetti (GPO): gestire le impostazioni; monitorare tramite registri del Registro di sistema e degli eventi.
  Microsoft fornirà supporto per la gestione degli aggiornamenti di avvio protetto usando i criteri di gruppo in un aggiornamento futuro. Poiché i Criteri di gruppo sono per le impostazioni, il monitoraggio dello stato del dispositivo dovrà essere eseguito usando metodi alternativi, tra cui il monitoraggio delle chiavi del Registro di sistema e delle voci del registro eventi.

• Interfaccia della riga di comando WinCS (Windows Configuration System): utilizza gli strumenti della riga di comando per i client aggiunti a un dominio.
  Gli amministratori di dominio possono in alternativa usare il sistema di configurazione Windows (WinCS) incluso negli aggiornamenti del sistema operativo Windows per distribuire gli aggiornamenti di avvio protetto tra client e server Windows aggiunti al dominio. È costituito da una serie di utilità da riga di comando (sia un eseguibile tradizionale che un modulo PowerShell) per eseguire query e applicare le configurazioni di avvio protetto in locale a un computer. Per ulteriori informazioni, vedere gli articoli seguenti:

  • API del sistema di configurazione Windows (WinCS) per l'avvio protetto
  • Guida all'automazione E2E di avvio protetto di esempio

• Microsoft Intune/Gestione configurazione: distribuire script di PowerShell. In un aggiornamento futuro verrà fornito un provider di servizi di configurazione (CSP) per consentire la distribuzione tramite Intune.

Monitoraggio dei registri eventi

Sono disponibili due nuovi eventi per facilitare la distribuzione degli aggiornamenti del certificato di avvio protetto. Questi eventi sono descritti in dettaglio negli eventi di aggiornamento delle variabili del database di avvio protetto e DBX:

• ID evento: 1801
  Questo evento è un evento di errore che indica che i certificati aggiornati non sono stati applicati al dispositivo. Questo evento fornisce alcuni dettagli specifici del dispositivo, inclusi gli attributi del dispositivo, che consentono di correlare quali dispositivi devono ancora essere aggiornati.
• ID evento: 1808
  Questo evento è un evento informativo che indica che il dispositivo dispone dei nuovi certificati di avvio protetto necessari applicati al firmware del dispositivo.

Strategie di distribuzione

Per ridurre al minimo i rischi, distribuisci gli aggiornamenti di avvio protetto in fasi anziché tutti in una volta. Inizia con un piccolo sottoinsieme di dispositivi, convalida i risultati e quindi espandi ad altri gruppi. È consigliabile iniziare con sottoinsiemi di dispositivi e, man mano che si acquisisce attendibilità in queste distribuzioni, aggiungere altri sottoinsiemi di dispositivi. È possibile usare più fattori per determinare cosa va in un sottoinsieme, inclusi i risultati dei test su dispositivi campione, la struttura dell'organizzazione e così via.

La decisione sui dispositivi da distribuire spetta all'utente. Di seguito sono elencate alcune possibili strategie.

• Parco dispositivi di grandi dimensioni: inizia affidandoti ai servizi di assistenza descritti in precedenza per i dispositivi più comuni che gestisci. Parallelamente, concentrarsi sui dispositivi meno comuni gestiti dall'organizzazione. Testare piccoli dispositivi campione e, se il test ha esito positivo, distribuirli agli altri dispositivi dello stesso tipo. Se il test produce problemi, indagare sulla causa del problema e determinare i passaggi di correzione. È anche consigliabile prendere in considerazione classi di dispositivi con un valore più elevato nel parco dispositivi e iniziare il test e la distribuzione per assicurarsi che tali dispositivi dispongano di una protezione aggiornata in anticipo.
• Piccola flotta, grande varietà: Se la flotta che stai gestendo contiene una grande varietà di macchine in cui il test dei singoli dispositivi sarebbe proibitivo, considera di fare molto affidamento sui due servizi di assistenza descritti sopra, soprattutto per i dispositivi che probabilmente saranno dispositivi comuni sul mercato. Inizialmente concentrati sui dispositivi che sono fondamentali per il funzionamento quotidiano, testa e poi distribuisci. Continua a scorrere l'elenco dei dispositivi ad alta priorità, testando e distribuendo monitorando la flotta per confermare che gli aiuti stanno aiutando con il resto dei dispositivi.

Note

• Prestare attenzione ai dispositivi meno recenti, in particolare a quelli che non sono più supportati dal produttore. Sebbene il firmware dovrebbe eseguire correttamente le operazioni di aggiornamento, alcune potrebbero non eseguirle. Nei casi in cui il firmware non funziona correttamente e il dispositivo non è più supportato, è consigliabile sostituire il dispositivo per garantire la protezione Secure Boot in tutto il parco dispositivi.
• I nuovi dispositivi prodotti negli ultimi 1-2 anni potrebbero già avere i certificati aggiornati in atto, ma potrebbe non avere il boot manager firmato Windows UEFI CA 2023 applicato al sistema. L'applicazione di questo boot manager è un ultimo passaggio fondamentale nella distribuzione per ogni dispositivo.
• Dopo aver selezionato un dispositivo per gli aggiornamenti, potrebbe essere necessario del tempo prima che gli aggiornamenti vengano completati. Si stima che siano necessarie 48 ore e uno o più riavvii per l'applicazione dei certificati.

Domande frequenti

Per le domande frequenti, vedere l'articolo Domande frequenti sull'avvio protetto .

Risoluzione dei problemi

Per altri dettagli, vedere il documento Risoluzione dei problemi .

Altre risorse

• Pagina di destinazione dell'implementazione del certificato Secure Boot
• Domande frequenti su Avvio protetto
• Dispositivi Windows per aziende e organizzazioni con aggiornamenti gestiti dall'IT
• Dispositivi Windows per utenti privati, aziende e istituti di istruzione con aggiornamenti gestiti da Microsoft
• Windows 11 e avvio protetto
• Eventi di aggiornamento delle variabili DB e DBX di Avvio protetto
• Linee guida sulla creazione e gestione delle chiavi di avvio protetto
• Avvio protetto
• Aggiornamento delle chiavi di avvio protetto
• Linee guida per la distribuzione aziendale per CVE-2023-24932
• Come gestire le revoche di Windows Boot Manager per le modifiche al Secure Boot associate a CVE-2023-24932