この記事の内容

• 概要
• 主な機能
• 証明書Updates設定リファレンス
• アーキテクチャ
• フェーズ 1: Enterprise leve での検出と状態の監視
• フェーズ 2: セキュア ブート証明書の更新オーケストレーション スクリプト
• E2E デプロイ手順 (クイック リファレンス ガイド)
• トラブルシューティング
• 変更ログ

概要

このガイドでは、グループ ポリシーと段階的なロールアウトウェーブを使用した Windows Secure Boot DB 証明書更新プログラムの自動展開システムについて説明します。

セキュア ブート証明書のロールアウトの自動化は、Windows Secure Boot DB 証明書の更新を、管理された段階的な方法でドメインに参加しているマシンに展開する PowerShell ベースのシステムです。

先頭に戻る

主な機能

機能	説明
段階的ロールアウト	1 > 2 > 4 > 8.... バケットあたりのデバイス数
自動ブロック	到達できないデバイスを含むバケットは除外されます
GPO の自動展開	1 つのオーケストレーター スクリプトがすべてを処理する
スケジュールされたタスクの実行	対話型プロンプトは必要ありません
リアルタイム監視	進行状況バーを含む状態ビューアー

先頭に戻る

証明書Updates設定リファレンス

このセクションの内容

• AvailableUpdatesPolicy グループ ポリシー
• WinCSFlags - Windows 構成システム フラグ

AvailableUpdatesPolicy グループ ポリシー

レジストリの場所	HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot
名前	AvailableUpdatesPolicy
値	0x5944 (DWORD)

これは、次の GPO/ADMX によって制御されるキーです。

• 再起動後も永続化されます
• グループ ポリシー/MDM によって設定されます
• 再試行ループは発生しません (ClearRolloutFlags を介してクリアされます)
• ポリシー駆動型デプロイの正しいキーです

リファレンス: IT で管理された更新プログラムを使用した Windows デバイスのセキュア ブートのグループ ポリシー オブジェクト (GPO) メソッド

"証明書Updates設定リファレンス" に戻る

WinCSFlags - Windows 構成システム フラグ

ドメイン管理者は、Windows OS 更新プログラムでリリースされた Windows 構成システム (WinCS) を使用して、ドメインに参加している Windows クライアントとサーバー間でセキュア ブート更新プログラムを展開することもできます。 これは、 コマンド ライン インターフェイス (CLI) ユーティリティで 構成され、セキュア ブート構成をコンピューターに対してローカルに照会して適用します。

機能名	WinCS キー	説明
Feature_AllKeysAndBootMgrByWinCS	F33E0C8E002	このキーを有効にすると、次の Microsoft が提供するセキュア ブートの新しい証明書をデバイスにインストールできます。 Microsoft Corporation KEK 2K CA 2023 Windows UEFI CA 2023 Microsoft UEFI CA 2023 Microsoft Option UEFI ROM CA 2023

リファレンス: セキュア ブート用の Windows 構成システム (WinCS) API

"証明書Updates設定リファレンス" に戻る

先頭に戻る

アーキテクチャ

先頭に戻る

フェーズ 1: エンタープライズ レベルでの検出と状態の監視

このセクションの内容

• フェーズ 1 に必要なスクリプト
• ローカル テスト
• ネットワーク共有のセットアップ
• GPO の展開
• GPO 設定の概要
• 検証

フェーズ 1 に必要なスクリプト

セキュア ブート インベントリ データ収集スクリプトのサンプル

サンプル スクリプト名	用途	実行日
サンプル Detect-SecureBootCertUpdateStatus.ps1 スクリプト	デバイスの状態データを収集します	各エンドポイント (GPO 経由)
サンプル Aggregate-SecureBootData.ps1 スクリプト	レポートとダッシュボードを生成します	ワークステーション管理
サンプル Deploy-GPO-SecureBootCollection.ps1 スクリプト	データ収集用の GPO の作成を自動化します	ドメイン コントローラー

上記のフェーズ 1 スクリプトからの出力例

"フェーズ 1: エンタープライズ レベルでの検出と状態の監視" に戻る

ローカル テスト

GPO を使用して展開する前に、1 台のコンピューターでコレクション スクリプトをテストして機能を確認します。

• コレクション スクリプトをローカルで実行する

  管理者特権の PowerShell プロンプトを開き、次を実行します。

  注

  & .\Detect-SecureBootCertUpdateStatus.ps1 -OutputPath "C:\Temp\SecureBootTest"

• JSON 出力を確認する

  注

  # View the collected data 
  Get-Content "C:\Temp\SecureBootTest\*_latest.json" |ConvertFrom-Json |Format-List

  検証するキー フィールド  
  • SecureBootEnabled – True または False にする必要がある
  • OverallStatus – Complete、ReadyForUpdate、NeedsData、または Error
  • BucketHash – 信頼度データマッチングのためのデバイスバケット
  • SecureBootTaskEnabled - セキュア ブート更新タスクの状態を表示します。

• 集計スクリプトのテスト

  注

  # Generate reports from collected data 
  & ".\Aggregate-SecureBootData.ps1" '
      -InputPath "C:\Temp\SecureBootTest" '
      -OutputPath "C:\Temp\SecureBootReports"
   

  HTML ダッシュボードを開く

  "C:\Temp\SecureBootReports\SecureBoot_Dashboard_*.html" を Start-Process

"フェーズ 1: エンタープライズ レベルでの検出と状態の監視" に戻る

ネットワーク共有のセットアップ

• ネットワーク共有を作成する

  ファイル サーバーで、収集データ用の専用共有を作成します。

  注

  # Run on file server as Administrator 
  $SharePath = "D:\SecureBootCollection"
  $ShareName = "SecureBootData$"
   

  フォルダーの作成

  New-Item -ItemType Directory -Path $SharePath -Force
   

  非表示の共有を作成する ($ サフィックスは参照リストから非表示)

  New-SmbShare -Name $ShareName -Path $SharePath '
      -Description "Secure Boot Certificate Status Collection" '
      -FullAccess "Domain Admins" '
      -ChangeAccess "Domain Computers"

• NTFS アクセス許可を構成する

  注

  # Get current ACL 
  $Acl = Get-Acl $SharePath
   

  認証済みユーザーによるファイルの書き込みを許可する

  $WriteRule = New-Object System.Security.AccessControl.FileSystemAccessRule(
  "ドメイン コンピューター" と
  "Modify",
      "ContainerInherit,ObjectInherit",
      "None",
      "許可"
  )
  $Acl.AddAccessRule($WriteRule)
   

  Domain Admins のフル コントロールを許可する (集計用)

  $AdminRule = New-Object System.Security.AccessControl.FileSystemAccessRule(
      "Domain Admins",
      "FullControl",
      "ContainerInherit,ObjectInherit",
      "None",
      "許可"
  )
  $Acl.AddAccessRule($AdminRule)
   

  アクセス許可を適用する

  Set-Acl -Path $SharePath -AclObject $Acl

• 共有アクセスの確認

  注

  # Test from a domain-joined workstation 
  "\\fileserver\SecureBootData$" を Test-Path

  返す必要があります: True

"フェーズ 1: エンタープライズ レベルでの検出と状態の監視" に戻る

GPO の展開

ドメイン コントローラーから提供される自動化スクリプトを使用します。

このスクリプトでは、次の処理が実行されます。

• 指定した名前の新しい GPO を作成します
• 高可用性のためにコレクション スクリプトを SYSVOL にコピーします
• コンピューターのスタートアップ スクリプトを構成します
• GPO をターゲット OU にリンクする
• 必要に応じて、定期的な収集のスケジュールされたタスクを作成します

次の表は、フリートのサイズに基づいて遅延が発生する時間に関するガイダンスを示しています。

フリートのサイズ	遅延範囲
1 ~10,000 台のデバイス	4 時間
10K-50K デバイス	8 時間
50K 以上のデバイス	12 から 24 時間

"フェーズ 1: エンタープライズ レベルでの検出と状態の監視" に戻る

GPO 設定の概要

設定	[場所]	値
スタートアップ スクリプト	コンピューター構成→スクリプト	Detect-SecureBootCertUpdateStatus.ps1
スクリプト パラメーター	(同じ)	-OutputPath "\\server\share$"
実行ポリシー	コンピューター構成→ 管理テンプレート → PowerShell	ローカル署名とリモート署名を許可する
スケジュールされたタスク	スケジュールされたタスク→コンピューター構成→基本設定	日単位/週単位のコレクション

"フェーズ 1: エンタープライズ レベルでの検出と状態の監視" に戻る

検証

• テストで GPO の更新を強制する

  注

  ## On a test workstation 
  gpupdate /force
   

  クライアント マシンを再起動してスクリプトを起動するか、次のスケジュールでトリガーされます。

  Restart-Computer -Force

• データ収集の確認

  注

  (ファイル サーバー上または任意のコンピューターから) データが収集されたかどうかを確認する

  Get-ChildItem "\\fileserver\SecureBootData$" |
      LastWriteTime の Sort-Object -降順 |
      Select-Object -First 10
   

  JSON コンテンツを確認する

  Get-Content "\\fileserver\SecureBootData$\TESTPC_latest.json" |ConvertFrom-Json

• GPO アプリケーションを確認する

  注

  GPO がコンピューターに適用されていることを確認する

  "SecureBoot" を Select-String する
  このスクリプトでは、冗長性のためにローカル コピーも保存されます。
  Get-ChildItem "C:\ProgramData\SecureBootCollection\"

"フェーズ 1: エンタープライズ レベルでの検出と状態の監視" に戻る

先頭に戻る

フェーズ 2: セキュア ブート証明書の更新オーケストレーション スクリプト

このセクションの内容

• フェーズ 2 に必要なスクリプト
• Start-SecureBootRolloutOrchestrator.ps1
• Deploy-OrchestratorTask.ps1
• Get-SecureBootRolloutStatus.ps1

フェーズ 2 に必要なスクリプト

セキュア ブート インベントリ データ収集スクリプトのサンプル

サンプル スクリプト名	用途	動作環境
サンプル Detect-SecureBootCertUpdateStatus.ps1 スクリプト	デバイスの状態データを収集します	各エンドポイント (GPO 経由)
サンプル Aggregate-SecureBootData.ps1 スクリプト	レポートとダッシュボードを生成します	ワークステーション管理
サンプル Deploy-GPO-SecureBootCollection.ps1 スクリプト	データ収集用の GPO の作成を自動化します	ドメイン コントローラー
サンプル Start-SecureBootRolloutOrchestrator.ps1 スクリプト	証明書のインストールのための GPO の自動展開を使用した、完全に自動化された継続的なオーケストレーション	ワークステーション管理
サンプル Deploy-OrchestratorTask.ps1 スクリプト	自動ロールアウトのスケジュールされたタスクとして Orchestrator スクリプトをデプロイする	ドメイン コントローラー
サンプル Get-SecureBootRolloutStatus.ps1 スクリプト	セキュリティで保護されたブート証明書のロールアウト状態を任意のワークステーションから表示する	管理 ワークステーション
サンプル Enable-SecureBootUpdateTask.ps1 スクリプト	セキュア ブート更新タスクを有効にする	タスクが無効になっているエンド ポイント (無効になっている場合は 1 回だけ実行してタスクを有効にする)

"フェーズ 2: セキュア ブート証明書の更新オーケストレーション スクリプト" に戻る

Start-SecureBootRolloutOrchestrator.ps1

• 目的： 完全に自動化された継続的なオーケストレーションと、自動化された GPO 展開。

• 目的

  • デバイスの状態 Aggregate-SecureBootData.ps1 呼び出し

  • 段階的な 2 倍を使用してロールアウトウェーブを生成します

  • 次のいずれかの方法を使用して、証明書の展開用の GPO を作成します

    • セキュア ブート グループ ポリシー AvailableUpdatesPolicy = 0x5944 (既定値)
    • WinCS メソッド (パラメーター – UseWinCS)

  • ターゲット設定用の AD セキュリティ グループを作成します

  • コンピューター アカウントをセキュリティ グループに追加する

  • GPO のセキュリティ フィルター処理を構成します

  • GPO をターゲット OU にリンクする

  • ブロックされたバケット (到達できないデバイス) の監視

  • デバイスの回復時の自動ブロック解除

• 使用

  注

  # Interactive (testing)
  .\Start-SecureBootRolloutOrchestrator.ps1 '
      -AggregationInputPath "\\fileserver\SecureBootData$" '
      -ReportBasePath "C:\SecureBootReports" '
      -PollIntervalMinutes 30

  注

  # Interactive (testing), leveraging WinCS method
  .\Start-SecureBootRolloutOrchestrator.ps1 '
      -AggregationInputPath "\\fileserver\SecureBootData$" '
      -ReportBasePath "C:\SecureBootReports" '
      -PollIntervalMinutes 30 '
      -UseWinCS

• 管理 コマンド

  注

  # List blocked buckets
  .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -ListBlockedBuckets

  注

  # Unblock specific bucket
  .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -UnblockBucket "Dell|Latitude5520|BIOS1.2"

  注

  # Unblock all
  .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -UnblockAll

• パラメーター

  パラメーター	既定	説明
  AggregationInputPath	必須	エンドポイント JSON ファイルへの UNC パス
  ReportBasePath	必須	レポートと状態のローカル パス
  TargetOU	ドメイン ルート	GPO をリンクする OU
  WavePrefix	SecureBoot-Rollout	GPO/グループの名前付けプレフィックス
  MaxWaitHours	72	デバイスの到達可能性を確認する前の時間
  PollIntervalMinutes	1440	ステータス チェック間の分
  DryRun	False	変更なしで何が起こるかを表示する

  注

  PollIntervalMinutes に関する注意: オーケストレーターを直接実行する場合、既定値は 1440 分 (24 時間) です。 Deploy-OrchestratorTask.ps1 経由でデプロイする場合、既定値は 30 分です。 デプロイ スクリプトは、独自の既定値をオーケストレーターに渡します。 アクティブなロールアウトには 30 分、メンテナンス監視には 1440 分を使用します。

  省略可能なパラメーター

  パラメーター	既定	説明
  UseWinCS	False	AvailableUpdatesPolicy GPO の代わりに WinCS メソッドを使用する
  WinCSKey	F33E0C8E002	セキュア ブート構成用の WinCS キー
  AllowListPath	(なし)	ターゲット/パイロット ロールアウトのホスト名が ALLOW のファイルへのパス。 .txt または .csv をサポートします。
  AllowADGroup	(なし)	許可するコンピューター アカウントの AD セキュリティ グループ。 例: "SecureBoot-Pilot-Computers"
  ExclusionListPath	(なし)	ロールアウトから除外するホスト名を持つファイルへのパス (VIP/エグゼクティブ デバイス)
  ExcludeADGroup	(なし)	除外するコンピューター アカウントの AD セキュリティ グループ。 例: "VIP-Computers"
  ListBlockedBuckets	False	現在ブロックされているデバイス バケットを表示する
  UnblockBucket	(なし)	特定のバケットのブロックを解除します。 形式: "製造元|モデル|BIOS"
  UnblockAll	False	ブロックされているすべてのデバイス バケットのブロックを解除する

"フェーズ 2: セキュア ブート証明書の更新オーケストレーション スクリプト" に戻る

Deploy-OrchestratorTask.ps1

• 目的： オーケストレーターを Windows スケジュール タスクとして展開します。

• 利点

  • PowerShell セキュリティ プロンプトなし (ExecutionPolicy Bypass)
  • バックグラウンドで継続的に実行される
  • ユーザー操作は必要ありません
  • 再起動後も存続

• 使用

  • ドメイン サービス アカウントを使用してデプロイする (推奨)

    • AvailableUpdates グループ ポリシーを使用する (既定のメソッド)

      注

      .\Deploy-OrchestratorTask.ps1 '
          -AggregationInputPath "\\server\SecureBootData$" '
          -ReportBasePath "C:\SecureBootReports" '
          -ServiceAccount "DOMAIN\svc_secureboot"

    • WinCS メソッドを使用する

      注

      .\Deploy-OrchestratorTask.ps1 '
          -AggregationInputPath "\\server\SecureBootData$" '
          -ReportBasePath "C:\SecureBootReports" '
          -ServiceAccount "DOMAIN\svc_secureboot" -UseWinCS

  • SYSTEM アカウントを使用してデプロイする

    • AvailableUpdates グループ ポリシーを使用する (既定のメソッド)

      注

      .\Deploy-OrchestratorTask.ps1 '
          -AggregationInputPath "\\server\SecureBootData$" '
          -ReportBasePath "C:\SecureBootReports"

    • WinCS method.\Deploy-OrchestratorTask.ps1を使用する

      注

      -AggregationInputPath "\\server\SecureBootData$" '
          -ReportBasePath "C:\SecureBootReports" -UseWinCS

    • サービス アカウントの要件

      • ドメイン 管理 (New-GPO、New-ADGroup、Add-ADGroupMember の場合)
      • JSON ファイル共有への読み取りアクセス
      • ReportBasePath への書き込みアクセス

"フェーズ 2: セキュア ブート証明書の更新オーケストレーション スクリプト" に戻る

Get-SecureBootRolloutStatus.ps1

• 目的： 任意のワークステーションからのロールアウトの進行状況を表示します。

• 表示内容

  • スケジュールされたタスクの状態 (実行中/準備完了/停止済み)
  • 現在のウェーブ番号
  • 対象となるデバイスと更新されたデバイス
  • ビジュアル プログレス バー
  • ブロックされたバケットの概要
  • 最新の HTML ダッシュボードへのリンク

• 使用

  注

  # Quick status check
  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports"

  注

  # Continuous monitoring (refreshes every 30 seconds)
  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -Watch 30

  注

  # View blocked buckets
  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -ShowBlocked

  注

  # View wave history
  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -ShowWaves

  注

  # View recent log
  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -ShowLog

  注

  # Open dashboard in browser
  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -OpenDashboard

• パラメーター

  パラメーター	必須。	既定	説明
  ReportBasePath	必須	—	レポートと状態ファイルへのローカル パス
  ShowLog	オプション	False	最近のオーケストレーター ログ エントリを表示する
  ShowBlocked	オプション	False	ブロックされたバケットの詳細を表示する
  ShowWaves	オプション	False	ウェーブ履歴を表示する
  視聴	オプション	0 (無効)	自動更新間隔 (秒単位)。 例: -Watch 30 は 30 秒ごとに更新されます。
  OpenDashboard	オプション	False	既定のブラウザーで最新の HTML ダッシュボードを開く

• 出力例

  注

  • ==============================================================
       セキュア ブート ロールアウトの状態
       2026-02-17 19:30:00
    ======================================================
  • Scheduled Task: Running
  • ROLLOUT PROGRESS

  ---

  状態: InProgress
  現在のウェーブ: 5
  対象の合計: 1250
  合計更新数: 847

  • Progress: [█████████████████████░░░░░░░░░░░░░░░░░░░] 67.8%
  • BLOCKED BUCKETS: 2 buckets need attention
      詳細については、-ShowBlocked を使用して実行します
  • LATEST DASHBOARD
    C:\SecureBootReports\Aggregation_20260217_193000\SecureBoot_Dashboard.html
    __________________________________________________________________________________________

"フェーズ 2: セキュア ブート証明書の更新オーケストレーション スクリプト" に戻る

先頭に戻る

E2E デプロイ手順 (クイック リファレンス ガイド)

このセクションの内容

• フェーズ 1: 検出インフラストラクチャ
• フェーズ 2: 調整されたロールアウト
• 状態Files

フェーズ 1: 検出インフラストラクチャ

• 手順 1: コレクション共有を作成する

  注

  # On file server
  $sharePath = "D:\SecureBootData"
  New-Item -ItemType Directory -Path $sharePath -Force
  New-SmbShare -Name "SecureBootData$" -Path $sharePath -FullAccess "Domain Admins" -ChangeAccess "Domain Computers"

  注

  # Set NTFS permissions
  $acl = Get-Acl $sharePath
  $rule = New-Object System.Security.AccessControl.FileSystemAccessRule("Domain Computers","Modify","Allow")
  $acl。AddAccessRule($rule)
  Set-Acl $sharePath $acl

• 手順 2: 検出 GPO を展開する

  注

  .\Deploy-GPO-SecureBootCollection.ps1 `
      -DomainName "contoso.com" '
      -OUPath "OU=Workstations,DC=contoso,DC=com" '
      -CollectionSharePath "\\server\SecureBootData$"

• 手順 3: エンドポイントがレポートされるまで待機する (24 から 48 時間)

  注

  コレクションの進行状況を確認する

  (Get-ChildItem "\\server\SecureBootData$" -Filter "*.json")。カウント

"E2E デプロイ手順 (クイック リファレンス ガイド)" に戻る

フェーズ 2: 調整されたロールアウト

• 手順 4: 前提条件の確認

  • 検出 GPO が展開されました (手順 2)
  • JSON を報告するエンドポイントが少なくとも 50 以上
  • ドメイン 管理権限を持つサービス アカウント
  • PowerShell 5.1 以降の管理サーバー

• 手順 5: スケジュールされたタスクとしてオーケストレーターをデプロイする

  注

  .\Deploy-OrchestratorTask.ps1 `
      -AggregationInputPath "\\server\SecureBootData$" '
      -ReportBasePath "C:\SecureBootReports" '
      -ServiceAccount "DOMAIN\svc_secureboot"

• 手順 6: 進行状況を監視する

  注

  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports"

• 手順 7: ダッシュボードを表示する

  注

  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -OpenDashboard

• 手順 8: ブロックされたバケットを管理する

  注

  # List blocked
  .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -ListBlockedBuckets

  注

  # Investigate and unblock
  .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -UnblockBucket "Manufacturer|モデル|BIOS"

• 手順 9: 完了を確認する

  注

  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports"

  状態に "完了" と表示されます

"E2E デプロイ手順 (クイック リファレンス ガイド)" に戻る

状態Files

オーケストレーターは ReportBasePath\RolloutState\:

ファイル	説明
RolloutState.json	ウェーブ履歴、対象デバイス、状態
BlockedBuckets.json	調査が必要なバケット
DeviceHistory.json	ホスト名によるデバイスの追跡
Orchestrator_YYYYMMDD.log	毎日のアクティビティ ログ

"E2E デプロイ手順 (クイック リファレンス ガイド)" に戻る

先頭に戻る

トラブルシューティング

このセクションの内容

• オーケストレーターが進行していない
• ブロックされたバケット
• GPO が適用されない

オーケストレーターが進行していない

1. スケジュールされたタスクを確認する

   注

   Get-ScheduledTask -TaskName "SecureBoot-Rollout-Orchestrator"

2. ログを確認する

   注

   Get-Content "C:\SecureBootReports\RolloutState\Orchestrator_*.log" -Tail 50

3. JSON データの鮮度を確認する

   注

   (Get-ChildItem "\\server\SecureBootData$" -Filter "*.json" | Where-Object { $_.LastWriteTime -gt (Get-Date).AddDays(-1) }).Count

"トラブルシューティング" に戻る

ブロックされたバケット

1. ブロックされたリスト。

   注

   .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -ListBlockedBuckets

2. デバイスの到達可能性を調査します。

3. ファームウェアの問題を確認します。

4. 調査後にブロックを解除します。

"トラブルシューティング" に戻る

GPO が適用されない

1. GPO が存在することを確認します。

   注

   Get-GPO -Name "SecureBoot-Rollout-Wave*"

2. セキュリティ フィルター処理を確認します。

   注

   Get-GPPermission -Name "GPO-Name" -All

3. コンピューターがセキュリティ グループに含まれるかどうかを確認します。

4. ターゲットに GPO を適用します。

   注

   gpupdate /force

"トラブルシューティング" に戻る

先頭に戻る

変更ログ

日付の変更	説明の変更
2026 年 5 月 12 日	以前は、各サンプル スクリプト ファイルは、スクリプトをコピーして貼り付ける個々の記事として発行されていました。 2026 年 5 月 12 日以降にリリースされた Windows 更新プログラム以降、サンプル スクリプトはデバイスの %systemroot%\SecureBoot\ExampleRolloutScripts フォルダーにあります。