Nota
- Data di pubblicazione originale: 18 febbraio 2026
- ID KB: 5080921
Questo articolo contiene indicazioni per:
- Amministratori IT che necessitano di visibilità sullo stato di aggiornamento del certificato di avvio protetto dai dispositivi Windows registrati in Intune
- Organizzazioni che si preparano per la scadenza del certificato di avvio protetto di giugno 2026
- Teams che vogliono monitorare l'avanzamento dell'implementazione dei certificati nei dispositivi Windows registrati in Intune
In questo articolo:
- Introduzione
- Prerequisiti
- Script di rilevamento
- Creare la correzione in Intune
- Visualizzazione ed esportazione dei risultati
- Domande frequenti
- Risorse
Introduzione
I certificati Microsoft Secure Boot (CA 2011) scadranno a partire da giugno 2026. Tutti i dispositivi Windows con avvio protetto abilitato devono essere aggiornati ai certificati 2023 prima della scadenza per garantire il supporto continuo degli aggiornamenti di sicurezza.
Questa guida fornisce un approccio di solo monitoraggio con le correzioni di Microsoft Intune (correzioni proattive). Lo script di rilevamento raccoglie lo stato di avvio protetto e certificato da ogni dispositivo e lo segnala al portale di Intune, senza che venga eseguita alcuna azione correttiva sui dispositivi. In questo modo gli amministratori possono avere una visualizzazione centralizzata ed esportabile dello stato di avanzamento dell'aggiornamento dei certificati nei dispositivi Windows registrati in Intune.
Perché utilizzare questo approccio?
| Vantaggio | Descrizione |
|---|---|
| Visibilità a livello di dispositivo | Vedere lo stato del certificato di ogni dispositivo Windows registrato a Intune in un'unica posizione |
| Esportabile | Esportare i risultati in formato CSV direttamente dal portale di Intune |
| Valori del Registro di sistema non elaborati | Visualizza i dati del Registro di sistema effettivi, non solo quelli superati/non superati |
| Contesto del dispositivo | Include produttore, modello, versione del BIOS e tipo di firmware |
| Telemetria registro eventi | Acquisisce gli ID evento di avvio protetto (1801/1808), gli ID dei bucket e i livelli di confidenza |
| Zero touch | Funziona automaticamente come SYSTEM, senza che sia necessaria alcuna interazione con l'utente |
Per informazioni di base complete sugli aggiornamenti dei certificati, vedere Aggiornamenti dei certificati di avvio protetto: linee guida per professionisti IT e organizzazioni.
Prerequisiti
Prima di distribuire lo script di rilevamento, assicurarsi che l'ambiente soddisfi i requisiti necessari.
Questa soluzione sfrutta le correzioni in Microsoft Intune. Per un elenco completo dei prerequisiti, vedere Usare le correzioni per rilevare e risolvere i problemi di supporto - Microsoft Intune.
Script di rilevamento
Lo script di rilevamento è uno script di PowerShell che raccoglie i dati completi dell'inventario di avvio protetto da ogni dispositivo e li restituisce come stringa JSON. Lo script legge dalle seguenti fonti:
Registro di sistema : stato di aggiornamento del certificato di avvio protetto, chiavi di manutenzione, attributi del dispositivo e impostazioni di consenso/rifiuto esplicito da HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot e relative sottochiavi
WMI/CIM — Versione del sistema operativo, ora dell'ultimo avvio e informazioni sull'hardware della scheda base
Registri eventi - Voci del registro eventi di sistema per gli ID evento 1801 e 1808 (eventi di aggiornamento di avvio protetto)
L'output JSON viene visualizzato nel portale di Intune in Correzioni > Monitorare > lo stato > del dispositivo "Output rilevamento pre-correzione" e può essere esportato in CSV per l'analisi.
Importante: Questo è uno script di solo rilevamento. Non vengono apportate modifiche al dispositivo. Non è necessario alcuno script di correzione.
Creazione del file di script
Nota
CONSIGLI Il seguente articolo contenente lo script di esempio è stato ritirato. Se è stato installato un aggiornamento di Windows rilasciato a partire dal 12 maggio 2026, lo script di esempio è disponibile nella cartella %systemroot%\SecureBoot\ExampleRolloutScripts nel dispositivo.
- Passare allo script di raccolta dei dati di inventario di avvio protetto di esempio (KB5072718)
- Copiare il contenuto completo dello script dalla pagina
- Apri un editor di testo, ad esempio Blocco note e VS Code, e incolla lo script
- Salva il file come Detect-SecureBootCertUpdateStatus.ps1
Creare la correzione in Intune
Seguire questa procedura per distribuire lo script di rilevamento come correzione (pacchetto di script) in Microsoft Intune.
Passaggio 1: Creare il pacchetto di script
- Accedere all'interfaccia di amministrazione di Microsoft Intune
- Passare a Correzioni dei dispositivi >
- Fare clic su + Crea pacchetto script
Passaggio 2: nozioni di base
- Configura le seguenti impostazioni nella scheda Informazioni di base :
| Impostazione | valore |
|---|---|
| Nome | Monitoraggio stato certificato di avvio protetto |
| Descrizione | Monitora lo stato di aggiornamento del certificato Secure Boot in tutta la flotta. Solo rilevamento: non viene eseguita alcuna azione di correzione. |
| Autore | (nome dell'organizzazione) |
- Fare clic su Avanti.
Passaggio 3: impostazioni
- Configura le impostazioni seguenti nella scheda Impostazioni :
| Impostazione | valore | Note |
|---|---|---|
| File script di rilevamento | Carica Detect-SecureBootCertificateStatus.ps1 | Lo script della sezione precedente |
| File script di correzione | (lascia vuoto) | Non è necessaria alcuna correzione, ma solo monitoraggio |
| Eseguire questo script usando le credenziali di accesso | No | Funziona come SYSTEM per garantire l'accesso al Confirm-SecureBootUEFI e al Registro di sistema |
| Applica il controllo della firma degli script | No | Si imposta su Sì se l'organizzazione richiede script firmati |
| Eseguire script in PowerShell a 64 bit | Sì | Necessario per Confirm-SecureBootUEFI cmdlet e letture accurate del Registro di sistema |
- Fare clic su Avanti.
Passaggio 4: tag dell'ambito
- Aggiungere i tag degli ambiti necessari per l'organizzazione o lasciarli come predefiniti
- Fare clic su Avanti.
Passaggio 5: Attività
| Impostazione | valore | Note |
|---|---|---|
| Assegnazioni | Selezionare i gruppi di dispositivi da monitorare | Utilizza tutti i dispositivi per il monitoraggio a livello di flotta o gruppi specifici per il monitoraggio mirato |
| Pianificazione | Configurare in base alle proprie esigenze di monitoraggio | Consigliato: una volta al giorno per il monitoraggio attivo dell'implementazione o una volta alla settimana per il monitoraggio continuo |
Nota: Le correzioni vengono eseguite in base alla pianificazione configurata del dispositivo. La prima esecuzione può richiedere fino a 24 ore dopo l'assegnazione, a seconda del ciclo di check-in del dispositivo.
Fare clic su Avanti.
Passaggio 6: Rivedi + Crea
- Rivedi tutte le impostazioni
- Fare clic su Create
Visualizzazione ed esportazione dei risultati
Visualizzare i risultati nel portale
- Passare a Correzioni dei dispositivi >
- Fai clic su Secure Boot Certificate Status Monitor (o sul nome che hai scelto)
- Selezionare la scheda Monitor
- Fare clic su Stato dispositivo
- Fare clic su Colonne e aggiungere output di rilevamento pre-correzione
Verrà visualizzata una tabella con le colonne seguenti:
| Colonna | Descrizione |
|---|---|
| Nome del dispositivo | Il nome del dispositivo |
| Nome utente | Utente principale del dispositivo |
| Stato rilevamento | Senza problemi (certificati aggiornati) o con problemi (certificati non aggiornati) |
| Output rilevamento pre-correzione | Output JSON completo dello script |
| Ultima modifica | Data dell'ultima esecuzione dello script nel dispositivo |
Esportare in formato CSV
- Nella pagina Stato del dispositivo fare clic sul pulsante Esporta nella parte superiore della tabella
- Il file CSV scaricherà tutte le colonne, incluso l'output del rilevamento JSON completo per ogni dispositivo
- Apri in Excel per filtrare, ordinare e analizzare in base a qualsiasi campo
Suggerimento: in Excel è possibile usare le funzioni TESTO.UNISCI o JSON per analizzare il codice JSON dell'output del rilevamento in colonne separate e semplificare l'analisi.
Scheda Panoramica
La scheda Panoramica della correzione fornisce un dashboard di riepilogo:
| Metrica | Significato |
|---|---|
| Dispositivi con problemi | Dispositivi in cui i certificati non sono ancora stati aggiornati |
| Dispositivi senza problemi | Dispositivi in cui i certificati sono aggiornati |
| Dispositivi con rilevamento non riuscito | Dispositivi in cui lo script ha rilevato un errore |
Domande frequenti
Questo cambia qualcosa sui miei dispositivi?
No. Questo è uno script di solo rilevamento. Non viene modificato alcun valore del Registro di sistema, non vengono attivati aggiornamenti e non viene eseguita alcuna azione di correzione. Lo script legge solo i valori e li segnala.
Cosa significa "Con problema"?
"Con problema" significa che il dispositivo non ha ancora applicato i certificati Secure Boot 2023 e il boot manager firmato 2023 in atto. Il motivo potrebbe essere: - L'aggiornamento del certificato non è stato avviato - L'aggiornamento è in corso e potrebbe richiedere un riavvio per essere completato - L'avvio protetto non è abilitato nel dispositivo - Il dispositivo non è basato su UEFI o è in attesa di un riavvio per applicare il boot manager.
Cosa significa "Senza eredi"?
"Senza problemi" significa che il dispositivo ha l'avvio protetto abilitato e il valore del registro di sistema UEFICA2023Status è aggiornato, indicando che i certificati 2023 sono stati applicati correttamente.
Con quale frequenza viene eseguito lo script?
Lo script viene eseguito in base alla pianificazione configurata nell'assegnazione. Per il monitoraggio attivo durante un'implementazione, si consiglia l'utilizzo giornaliero. Per il monitoraggio continuo, settimanalmente è sufficiente.
Cosa succede se la chiave del Registro di sistema di manutenzione non esiste?
Se la chiave HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing non esiste in un dispositivo, il campo UEFICA2023Status mostrerà NoValue. Questo in genere significa che gli aggiornamenti dei certificati non sono stati avviati nel dispositivo.
Quali licenze sono necessarie?
Le correzioni richiedono licenze di Windows 10/11 Enterprise E3/E5, Education A3/A5 o F3. Se i dispositivi hanno solo licenze Business Premium o Pro, le correzioni non saranno disponibili. Vedere Prerequisiti per le correzioni.
Risorse
Playbook di aggiornamento del certificato di avvio protetto
Aggiornamenti del certificato di avvio protetto: linee guida per professionisti IT
Aggiornamenti delle chiavi del Registro di sistema per l'avvio protetto
DB di avvio protetto ed eventi di aggiornamento delle variabili DBX