Drošas sāknēšanas sertifikāta atjaunināšanas iestatījumu lietošana, izmantojot modeļu mērķauditoriju Microsoft Intune

Šajā rakstā:

• Ievads

• Priekšnosacījumi

• 1. darbība. Drošās sāknēšanas sertifikāta atjaunināšanas iestatījumu konfigurēšana Intune (iestatījumu katalogs)

• 2. darbība. Izveidojiet uzdevumu filtru uz modeļu bāzes vērstai mērķauditorijai

• 3. darbība. Politikas piešķiršana, izmantojot piešķires filtru

• Bieži uzdotie jautājumi

• Resursi

Ievads

Šie norādījumi palīdz IT administratoriem iespējot drošas sāknēšanas sertifikātu atjaunināšanas procesu, Microsoft Intune iestatījumu kataloga politikas. Tajā ir izklāstīts, kā konfigurēt drošās sāknēšanas iestatījumu, kas iespējo sertifikāta atjaunināšanas procesu un kā izvietot šo konfigurāciju. Tajā ir arī iezīmēts, kā izmantot modeļa piešķires filtrus, lai atbalstītu kontrolēto, pakāpentisko izvēršiju aparatūrā, kas jau ir validēta, lai veiksmīgi apstrādātu atjauninājumu.

Priekšnosacījumi

Drošas sāknēšanas sertifikāta atjaunināšanas atbilstību nosaka  drošāssāknēšanas politikas CSP un ierīces aparātprogrammatūra. Šis tvērums ne vienmēr atbilst Windows apkalpošanas (t.i., atjauninājumiem) laika grafikiem Intune reģistrācijas prasībām.

Intune un politikas priekšnosacījumi

• Pierakstieties ar kontu, kuram ir atļaujas izveidot filtrus un izveidot/piešķirt iestatījumu kataloga politikas.

• Ierīces ir jāreģistrē Intune (piešķires filtri attiecas tikai uz pārvaldītām ierīcēm).

Secure Boot piemērotības priekšnosacījumi

• Atbalstīto Windows versiju saraksts ir pieejams šajā Microsoft Intune drošas sāknēšanas sistēmai Windows ierīcēm, kurās tiek pārvaldīti IT atjauninājumi.

• Ierīcēs ir jābūt iespējotai drošai palaišanai, un tai ir jābūt apkalpošanas atjauninājumā.

1. darbība. Drošās sāknēšanas sertifikāta atjaunināšanas iestatījumu konfigurēšana Intune (iestatījumu katalogs)

Šajā darbībā jūs izveidojat Windows iestatījumu kataloga ierīču konfigurācijas profilu programmā Microsoft Intune. Varat arī konfigurēt drošās sāknēšanas iestatījumus, kas iespējo drošas sāknēšanas sertifikāta atjaunināšanas procesu.

Ko izveidosit

Windows iestatījumu kataloga ierīču konfigurācijas profils, kas iespējo drošās sāknēšanas sertifikāta Atjauninājumi:

Iestatījumu kataloga profila izveide

1. Pierakstieties administrēšanas Microsoft Intune centrā.

2. Dodieties uz ierīces > Pārvaldīt ierīces > konfigurāciju.

3. Atlasiet Izveidot > jauna politika.

4. Lietojumprogrammā Profila izveide:

5. Platforma: Windows 10 un jaunākas versijas

6. Profila tips: Iestatījumu katalogs

7. Atlasiet vienumu Izveidot.

8. Nosaukiet profilu (piemēram, Drošas sāknēšanas sertifikāta atjauninājumu), pievienojiet neobligātu aprakstu un atlasiet Tālāk.

9. Sadaļā Konfigurācijas iestatījumi atlasiet Pievienot iestatījumus.

10. Iestatījumu atlasītājā meklējiet drošā sāknēšanas programma un atlasiet to sadaļā Pārlūkot pēc kategorijas.

11. Pievienojiet iestatījumu Iespējot drošas sāknēšanas Atjauninājumi no trīs kategorijām Drošā sāknēšana profilā.

    Piezīme.: Varat konfigurēt citus šīs kategorijas drošās sāknēšanas iestatījumus tādā pašā veidā, ja tos pieprasa izvietošanas scenārijs.

12. Konfigurējiet iestatījuma vērtību uz Iespējots.

13. Atlasiet Tālāk , lai turpinātu uzdevumus. (Jūs lietosiet 3. darbībā parādīto filtru).

2. darbība. Izveidojiet uzdevumu filtru uz modeļu bāzes vērstai mērķauditorijai

Pēc tam izveidojiet jaunu uzdevuma Intune, kas attiecas uz konkrētiem ierīces modeļiem. Izmantojot mērķauditoriju, varat izmantot drošas sāknēšanas sertifikāta atjauninājumus atlasītajiem aparatūras modeļiem. Šai kontrolētajā un pakāpenajā izvietošanā nav nepieciešama papildu Microsoft Entra ID grupas.

Kāpēc drošas sāknēšanas sertifikāta izvietošanai ir ieteicams izmantot uz modeļu balstītu mērķauditoriju

• Aparātprogrammatūras mainīgumu — OEMs īsteno secure boot citādi, tāpēc modeļa līmeņa noteikšana samazina neparedzētu programmas darbību.

• Iepriekšējā validācija — sertifikātu atjauninājumus var validēt zināmai labai aparatūras kopai pirms plašas izvērššanās.

Ko izveidosit

Pārvaldīto ierīču piešķires filtrs, kas filtrē (vai izslēdz) noteiktus ierīces modeļus.

Uzdevuma filtra izveide

1. Pierakstieties administrēšanas Microsoft Intune centrā.

2. Dodieties uz nomnieka administrēšanas sadaļu > Uzdevumu filtri > Izveidot.

3. Atlasiet Pārvaldītās ierīces.

4. Pamatelementos iestatiet:

   • Filtra nosaukums (aprakstošs).

   • Apraksts (neobligāts, bet ieteicamais).

   • Platforma: Windows 10 jaunākas versijas.

5. Atlasiet vienumu Tālāk.

6. Kārtulās izvēlieties vienu metodi:

   • Kārtulu veidotājs (ieteicams lielākajai daļai administratoru)

   • Kārtulas sintakse (manuālā izteiksmes rediģēšana)

Uz modeļu balstītas kārtulas izveide (kārtulu veidotājs)

1. Kārtulu veidotājā atlasiet modeļa rekvizītu.

2. Izvēlieties operatoru.

3. Ievadiet modeļa virkni(es), kuru vēlaties saskaņot.

4. Atlasiet Pievienot izteiksmi, lai to pievienotu kārtulai.

5. Ja nepieciešams, izmantojiet And/Or , lai paplašinātu kārtulu līdz papildu modeļiem vai pievienotu papildu kritērijus, pamatojoties uz citiem iespējamiem filtrējamiem rekvizītiem.

Priekšskatījums un filtra izveide

1. Atlasiet Priekšskatīt ierīces, lai apstiprinātu, kuras reģistrētas ierīces ir saskaņotas.

2. Atlasiet vienumu Tālāk.

3. (Neobligāts) Piešķiriet tvēruma atzīmes , ja tās izmantojat.

4. Atlasiet vienumu Tālāk.

5. Lietojumprogrammā Pārskatīšana + izveidot atlasiet Izveidot.

3. darbība. Politikas piešķiršana, izmantojot piešķires filtru

Visbeidzot jums ir jāpiešķir iestatījumu kataloga profils ierīcei vai lietotāju grupai un jālieto piešķires filtrs. Tas nosaka, kuras reģistrētas ierīces tiek saņemtas un apstrādā drošas sāknēšanas sertifikāta atjaunināšanas iestatījumus politikas novērtēšanas laikā.

Kā rīkoties

Grupai piešķirat drošas sāknēšanas iestatījumu kataloga profilu no 1. darbības, pēc tam filtru no režīma Iekļaut vai Izslēgt 2. darbības lietot.

Uzdevuma filtra apply the assignment filter

1. Administrēšanas Microsoft Intune naviģējiet uz Ierīces, > pārvaldīt >konfigurāciju.

2. Atlasiet iestatījumu kataloga profilu, ko izveidojāt 1. darbībā iepriekš.

3. Uzdevumu >atvēršana >Rediģēt.

4. Piešķiriet profilu atbilstošai lietotāju grupai vaiierīču grupai.

   Padoms.: Ja jums nav citu kritēriju, lai ierobežotu mērķauditoriju, piešķiriet šo politiku virtuālajai grupai Visas ierīces. Uzdevuma tvērumam izmantojiet ierīces modeļa piešķiršanas filtru no 2. darbības. Šī kombinācija ir pietiekama lielākajai daļai izvietojumu. Virtuālā grupa Visas ierīces ir iebūvēta, tai nav nepieciešama grupas uzturēšana un tā ir optimizēta mērogam. Pēc tam uzdevumu filtrs sašaurinās ierīču atdošanas laikā, ņemot vērā ierīces rekvizītus, bez papildu Microsoft Entra grupām.

5. Atlasiet Rediģēt filtru.

6. Izvēlieties vienu:

   • Piešķirē iekļaujiet filtrētās ierīces: tikai filtram atbilstošo ierīču gadījumā tiek parādīta politika.

   • Piešķirē neiekļaut filtrētās ierīces: filtram atbilstošajās ierīcēs netiek parādīta politika.

7. 2. darbībā atlasiet esošo uzdevuma filtru un izvēlieties Atlasīt.

8. Atlasiet Pārskatīšana + saglabāt > Saglabāt.

Informācija par ierīces darbību

• Intune novērtē filtru, kad ierīce veic reģistrāciju, katru reizi, kad tā pārbauda, un ikreiz, kad piešķirtā politika tiek vērtēta no jauna.

• Iespējojot drošas sāknēšanas iestatījumu, netiek garantēta tūlītēja sertifikāta lietojumprogramma. Drošas sāknēšanas iestatījumam, kas aktivizē atjaunināšanas procesu, Windows drošās sāknēšanas uzdevums tiek izpildīts ik pēc 12 stundām. Dažiem atjauninājumiem var būt nepieciešama restartēšana.

Bieži uzdotie jautājumi

Resursi

• Iestatījumu definīcijas un atļautās vērtības: SecureBoot politikas CSP

• Iestatījumu kataloga plūsma un darbības iestatīšana: Microsoft Intune drošas sāknēšanas sistēmai Windows ierīcēm, kurās tiek pārvaldīti IT atjauninājumi

• Fons un laika skalas. Windows drošās sāknēšanas sertifikāta termiņa un CA atjauninājumi

• Filtru izveide, priekšskatšana un lietošana: uzdevumu filtru izveide programmā Microsoft Intune

• Atbalstītie rekvizīti, operatori un sintakse: Uzdevumu filtra rekvizīti un operatoru atsauce

• Vispārējā programmas plānošana un Intune kā ieteicamā opcija: droša sāknēšanas rokasgrāmata sertifikātiem, kuru derīguma termiņš beidzas 2026. gadā

• Tikai pārraudzības pieeja un Intune ziņošana): drošās sāknēšanas sertifikāta statusa pārraudzība Microsoft Intune koriģējot