gruppepolicy Objects-metoden (GPO) for Sikker oppstart for Windows-enheter med IT-administrerte oppdateringer

I denne artikkelen:

• Innledning

• konfigurasjonsmetode for gruppepolicy object (GPO)

Innledning

Dette dokumentet beskriver støtte for distribusjon, administrasjon og overvåking av sertifikatoppdateringer for sikker oppstart ved hjelp av objektet Secure Boot gruppepolicy. Innstillingene består av: 

• Muligheten til å utløse distribusjon på en enhet

• En innstilling for å melde deg på/velge bort samlinger med høy visshet

• En innstilling for å melde deg på/melde deg ut av Microsoft-administrasjonsoppdateringer

konfigurasjonsmetode for gruppepolicy object (GPO)

Denne metoden tilbyr en enkel sikker oppstart gruppepolicy innstilling som domeneadministratorer kan angi for å distribuere oppdateringer for sikker oppstart til alle domenetilknyttede Windows-klienter og -servere. I tillegg kan to sikre oppstartsassister administreres med innstillinger for innmelding/utmelding. 

Hvis du vil ha oppdateringene som inkluderer policyen for distribusjon av sertifikatoppdateringer for sikker oppstart, kan du laste ned den nyeste versjonen av administrative malersom er publisert 23. oktober 2025. ​​​​​​​

Du finner denne policyen under følgende bane i brukergrensesnittet for gruppepolicy: 

           Datamaskinkonfigurasjon->Administrative maler->Windows-komponenter->sikker oppstart 

Oversikt over GPO-konfigurasjon

• Policynavn (foreløpig): "Aktiver utrulling av sikker oppstartsnøkkel" (under datamaskinkonfigurasjon).

• Policybane: En ny node under Datamaskinkonfigurasjon > Administrative maler > Windows-komponenter > sikker oppstart. For klarhet bør det opprettes en underkategori som «Sikker oppstart Oppdateringer» for å lagre denne policyen.

• Omfang: Datamaskin (maskinomfattende innstilling): Den retter seg mot HKEY_LOCAL_MACHINE bikube og påvirker enhetens UEFI-tilstand.

• Policyhandling: Når den er aktivert, angir policyen følgende registerundernøkkel.

  Registerplassering	HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecureBoot\Servicing
  DWORD-navn	AvailableUpdatesPolicy
  DWORD-verdi	0x5944
  Kommentarer	Dette flagger enheten for å installere alle tilgjengelige nøkkeloppdateringer for sikker oppstart ved neste mulighet.

  Obs!: På grunn av innholdet i gruppepolicy, vil policyen bli brukt på nytt over tid, og biter av AvailableUpdates fjernes når de behandles. Det er derfor nødvendig å ha en egen registernøkkel med navnet AvailableUpdatesPolicy , slik at den underliggende logikken kan spore om nøklene er distribuert. Når AvailableUpdatesPolicy er satt til 0x5944, angir TPMTasks AvailableUpdates til 0x5944 og noterer at dette er gjort for å hindre at du bruker AvailableUpdates på nytt flere ganger. Hvis du angir AvailableUpdatesPolicy til Diabled , fjernes TPMTasks eller settes til 0 AvailableUpdates og noterer at dette er fullført.

• Deaktivert/ikke konfigurert: Når policyen er satt til Ikke konfigurert, endres ikke policyen (oppdateringer for sikker oppstart forblir som påmelding og kjøres ikke med mindre den utløses på andre måter). Hvis den er satt til Deaktivert, bør policyen angi AvailableUpdates til 0 for å eksplisitt sikre at enheten ikke prøver nøkkelrullen for sikker oppstart eller for å stoppe utrullingen hvis noe går galt.

• HighConfidenceOptOut kan aktiveres eller deaktiveres. Aktivering setter denne nøkkelen til 1 , og deaktivering setter den til 0.

ADMX-implementering: Denne policyen implementeres ved hjelp av en standard administrativ mal (ADMX). Den bruker registerpolicymekanismen til å skrive verdien. ADMX-definisjonen angir for eksempel:

• Registernøkkel: Software\Policies\... Obs! gruppepolicy skriver vanligvis til policygrenen, men i dette tilfellet må vi påvirke HKEY_LOCAL_MACHINE\SYSTEM struktur. Vi vil bruke gruppepolicy evne til å skrive direkte til HKEY_LOCAL_MACHINE bikube for maskinpolitikk. ADMX kan bruke elementet med den virkelige målbanen.

• Navn: AvailableUpdatesPolicy

• DWORD-verdi: 0x5944

Når gruppepolicyobjektet brukes, oppretter eller oppdaterer gruppepolicy klienttjeneste på hver målrettede maskin denne registerverdien. Neste gang TPMTasks (Secure Boot Servicing Task) kjører på den maskinen, vil den oppdage 0x5944 og utføre oppdateringen.

Obs!: På Windows kjører den planlagte oppgaven TPMTask hver 12. time for å behandle slike flagg for sikker oppstartsoppdatering. Administratorer kan også fremskynde oppgaven manuelt eller starte den på nytt hvis ønskelig.

Eksempel på policygrensesnitt

• Innstilling
  Aktiver utrulling av nøkkel for sikker oppstart: Når den er aktivert, installerer enheten de oppdaterte sertifikatene for sikker oppstart (2023 CAer) og tilknyttet oppstartsbehandlingsoppdatering. Enhetens fastvare, sikre oppstartsnøkler og konfigurasjoner, oppdateres i neste vedlikeholdsvindu. Status kan spores via registeret (UEFICA2023Status og UEFICA2023Error) eller Windows-hendelsesloggen.

• Alternativer
  Aktivert / deaktivert / ikke konfigurert

Denne enkle innstillingstilnærmingen gjør det enkelt for alle kunder (alltid ved hjelp av anbefalt 0x5944 verdi).

Viktig: Hvis mer detaljert kontroll i fremtiden er nødvendig, kan ytterligere policyer eller alternativer innføres. Gjeldende veiledning er imidlertid at alle nye secure boot-nøkler og den nye oppstartsbehandlingen bør distribueres sammen i nesten alle scenarioer, slik at en en-veksledistribusjon er riktig.

Sikkerhetstillatelser &: Skriving tilHKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet struktur krever administrative rettigheter. gruppepolicy kjører som lokalt system på klienter, som har de nødvendige rettighetene. Selve gruppepolicyobjektet kan redigeres av administratorer med gruppepolicy administrasjonsrettigheter. Standard GPO-sikkerhet kan hindre at ikke-administratorer endrer policyen.