Stosowanie ustawień aktualizacji certyfikatu bezpiecznego rozruchu przy użyciu modelowego docelowego przypisywania w usłudze Microsoft Intune

Dotyczy
Windows 10 ESU Windows 10 Enterprise LTSC 2021 Windows 11 Home and Pro, version 21H2 Windows 11 Enterprise Multi-Session, version 21H2 Windows 11 Enterprise and Education, version 21H2 Windows 11 IoT Enterprise, version 21H2 Windows 11 Home and Pro, version 22H2 Windows 11 Enterprise Multi-Session, version 22H2 Windows 11 Enterprise and Education, version 22H2 Windows 11 IoT Enterprise, version 22H2 Windows 11 SE, version 23H2 Windows 11 Home and Pro, version 23H2 Windows 11 Enterprise and Education, version 23H2 Windows 11 Enterprise Multi-Session, version 23H2 Windows 11 SE, version 24H2 Windows 11 Enterprise and Education, version 24H2 Windows 11 Enterprise Multi-Session, version 24H2 Windows 11 Home and Pro, version 24H2 Windows 11 IoT Enterprise, version 24H2 Windows 11 version 25H2, all editions

Uwaga

  • Data pierwotnej publikacji: 10 marcu 2026 r
  • Identyfikator KB: 5084490

Ten artykuł zawiera wskazówki dotyczące

  • Informatycy i administratorzy usługi Intune, którzy zarządzają urządzeniami z systemem Windows, wdrażają kontrolę aktualizacji certyfikatu bezpiecznego rozruchu za pośrednictwem zasad wykazu ustawień i nadzorują przepływy pracy aktualizacji.
  • Zespoły, które muszą kierować wdrożenia do określonych modeli sprzętowych przy użyciu filtrów przypisań.

Tematy w tym artykule:

Wprowadzenie

Te wskazówki pomagają administratorom IT włączyć proces aktualizacji certyfikatu bezpiecznego rozruchu przy użyciu zasad wykazu ustawień usługi Microsoft Intune. Przedstawiono w nim, jak skonfigurować ustawienie bezpiecznego rozruchu, które włącza proces aktualizacji certyfikatu, oraz jak wdrożyć tę konfigurację. Podkreślono również sposób używania filtrów przypisań opartych na modelu do obsługi kontrolowanych, etapowych wdrożeń na sprzęcie, który został już zweryfikowany pod kątem pomyślnej obsługi aktualizacji.

Wymagania wstępne

Uprawnienia do aktualizacji certyfikatu bezpiecznego rozruchu są określane przez dostawcę usług konfiguracji zasad bezpiecznego rozruchu i oprogramowanie układowe urządzenia. Ten zakres nie zawsze jest zgodny z harmonogramami obsługi systemu Windows (tj. aktualizacjami) lub wymaganiami rejestracji usługi Intune.

Usługa Intune i wymagania wstępne dotyczące zasad

  • Zaloguj się przy użyciu konta, które ma uprawnienia do tworzenia filtrów i tworzenia/przypisywania zasad wykazu ustawień.
  • Urządzenia muszą być zarejestrowane w usłudze Intune (filtry przypisania mają zastosowanie tylko do urządzeń zarządzanych).

Wymagania wstępne dotyczące uprawnień do bezpiecznego rozruchu

Krok 1 — Konfigurowanie ustawień aktualizacji certyfikatu bezpiecznego rozruchu w usłudze Intune (Wykaz ustawień)

W tym kroku utworzysz profil konfiguracji urządzenia katalogu ustawień systemu Windows w usłudze Microsoft Intune. Konfigurujesz również ustawienia bezpiecznego rozruchu, które włączają proces aktualizacji certyfikatu bezpiecznego rozruchu.

Co stworzysz

Profil konfiguracji urządzenia katalogu ustawień systemu Windows, który umożliwia włączanie aktualizacji certyfikatu bezpiecznego rozruchu:

Tworzenie profilu wykazu ustawień

  1. Zaloguj się do centrum administracyjnego usługi Microsoft Intune.

  2. Przejdź do konfiguracji urządzeń>— zarządzaj urządzeniami>.

  3. Wybierz pozycję Utwórz>nowe zasady.

  4. W obszarze Tworzenie profilu:

  5. Platforma: Windows 10 i nowsze

  6. Typ profilu: Katalog ustawień

  7. Wybierz pozycję Utwórz.

  8. Nazwij profil (np. Aktualizacja certyfikatu bezpiecznego rozruchu), dodaj opcjonalny opis i wybierz przycisk Dalej.

  9. W obszarze Ustawienia konfiguracji wybierz pozycję Dodaj ustawienia.

  10. W selektorze ustawień wyszukaj Bezpieczny rozruch i wybierz go w obszarze Przeglądaj według kategorii.

  11. Dodaj do profilu ustawienie Włącz aktualizacje certyfikatu bezpiecznego rozruchu z trzech przedstawionych w kategorii Bezpieczny rozruch.

    Uwaga

    Inne ustawienia bezpiecznego rozruchu z tej kategorii można skonfigurować w taki sam sposób, jeśli wymagają tego scenariusz wdrażania.

  12. Skonfiguruj wartość ustawienia na Włączone.

  13. Wybierz pozycję Dalej , aby kontynuować zadania. (Zastosujesz filtr w kroku 3).

Krok 2 — Tworzenie filtru zadania na potrzeby kierowania opartego na modelu

Następnie utworzysz filtr przypisania usługi Intune przeznaczony dla określonych modeli urządzeń. Określanie docelowe oparte na modelu pozwala ograniczyć zakres aktualizacji certyfikatu bezpiecznego rozruchu do wybranych modeli sprzętu. To kontrolowane i etapowe wdrożenie nie wymaga dodatkowych grup usługi Tożsamość Microsoft Entra.

Dlaczego określanie docelowe oparte na modelu jest zalecane do wdrażania certyfikatu bezpiecznego rozruchu

  • Zmienność oprogramowania sprzętowego — producenci OEM wdrażają funkcję bezpiecznego rozruchu w inny sposób, dzięki czemu określanie zakresu na poziomie modelu zmniejsza nieoczekiwane zachowanie.
  • Wcześniejsza weryfikacja — przed szerokim wdrożeniem można sprawdzić poprawność aktualizacji certyfikatów na znanym dobrym zestawie sprzętu.

Co stworzysz

Filtr przypisania urządzeń zarządzanych , który jest przeznaczony (lub wyklucza) określone modele urządzeń.

Tworzenie filtru zadania

  1. Zaloguj się do centrum administracyjnego usługi Microsoft Intune.

  2. Przejdź do strony Administracja> dzierżawyFiltry> przypisaniaUtwórz.

  3. Wybierz pozycję Urządzenia zarządzane.

  4. W obszarze Podstawy ustaw:

    • Nazwa filtru (opisowa).
    • Opis (opcjonalny, ale zalecany).
    • Platforma: Windows 10 i nowsze.

  5. Wybierz pozycję Dalej.

  6. W obszarze Reguły wybierz jedną metodę:

    • Konstruktor reguł (zalecany dla większości administratorów)
    • Składnia reguły (ręczne edytowanie wyrażeń)

Tworzenie reguły opartej na modelu (konstruktor reguł)

  1. W Konstruktorze reguł wybierz właściwość modelu.
  2. Wybierz operatora.
  3. Wprowadź ciągi modelu, które chcesz dopasować.
  4. Wybierz pozycję Dodaj wyrażenie , aby dodać je do reguły.
  5. W razie potrzeby użyj funkcji I/Or , aby rozszerzyć regułę na dodatkowe modele lub dodać dodatkowe kryteria na podstawie innych możliwych właściwości, które można filtrować.

Porada

Użyj urządzeń w wersji zapoznawczej , aby sprawdzić, czy filtr jest zgodny z zamierzonym zestawem. Lista podglądu obsługuje wyszukiwanie według nazwy urządzenia, wersji systemu operacyjnego, modelu urządzenia i producenta urządzenia.

Wyświetlanie podglądu i tworzenie filtru

  1. Wybierz pozycję Urządzenia w wersji zapoznawczej , aby potwierdzić, które zarejestrowane urządzenia są zgodne.
  2. Wybierz pozycję Dalej.
  3. (Opcjonalnie) Przypisz tagi zakresu , jeśli ich używasz.
  4. Wybierz pozycję Dalej.
  5. W obszarze Recenzja + tworzenie wybierz pozycję Utwórz.

Krok 3. Przypisywanie zasad przy użyciu filtru przypisania

Na koniec przypisz profil wykazu ustawień do urządzenia lub grupy użytkowników i zastosuj filtr przypisania. Określa to, które zarejestrowane urządzenia otrzymują i przetwarzają ustawienia aktualizacji certyfikatu bezpiecznego rozruchu podczas oceny zasad.

Czym będziesz się zajmować

Przypiszesz profil wykazu ustawień bezpiecznego rozruchu z kroku 1 do grupy, a następnie zastosujesz filtr z kroku 2 w trybie dołączania lub wykluczania .

Stosowanie filtru zadania

  1. W centrum administracyjnym usługi Microsoft Intune przejdź do pozycji Zarządzanie>urządzeniami>— konfiguracja.

  2. Wybierz profil wykazu ustawień utworzony w kroku 1 powyżej.

  3. Otwórzoknoedycji zadań> właściwości>.

  4. Przypisz profil do odpowiedniej grupy użytkowników lub grupy urządzeń.

    Porada

    Jeśli nie masz żadnych innych kryteriów ograniczania kierowania ustawień, przypisz te zasady do grupy wirtualnej Wszystkie urządzenia . Użyj filtru przypisania modelu urządzenia z kroku 2, aby określić zakres przypisania. Ta kombinacja jest wystarczająca w przypadku większości wdrożeń. Grupa wirtualna Wszystkie urządzenia jest wbudowana, nie wymaga konserwacji grupy i jest zoptymalizowana pod kątem skali. Następnie filtr przypisania zawęża możliwość zastosowania podczas ewidencjonowania urządzenia na podstawie właściwości urządzenia, bez konieczności korzystania z dodatkowych grup usługi Microsoft Entra.

  5. Wybierz pozycję Edytuj filtr.

  6. Wybierz jedną z opcji:

    • Uwzględnij filtrowane urządzenia w zadaniu: tylko urządzenia spełniające kryteria filtru otrzymują zasady.
    • Wyklucz filtrowane urządzenia w zadaniu: urządzenia spełniające kryteria filtru nie otrzymują zasad.

  7. Wybierz istniejący filtr zadania z kroku 2 i wybierz pozycję Wybierz.

  8. Wybierz pozycję Przejrzyj + zapisz>Zapisz.

Opis zachowania urządzenia

  • Usługa Intune ocenia filtr podczas rejestrowania urządzenia, za każdym razem, gdy się zaewidencjonuje i za każdym razem, gdy przypisane zasady zostaną ponownie ocenione.
  • Włączenie ustawienia bezpiecznego rozruchu nie gwarantuje natychmiastowego zastosowania certyfikatu. W przypadku ustawienia bezpiecznego rozruchu, które wyzwala proces aktualizacji, zadanie bezpiecznego rozruchu systemu Windows jest uruchamiane co 12 godzin. Niektóre aktualizacje mogą wymagać ponownego uruchomienia komputera.

Często zadawane pytania

Jak często urządzenia przetwarzają ustawienie "Włącz aktualizacje certyfikatu bezpiecznego rozruchu"?

Zadanie bezpiecznego rozruchu systemu Windows, które przetwarza ustawienie, jest uruchamiane co 12 godzin.

Czy należy oczekiwać ponownego uruchomienia?

Zainicjowanie aktualizacji za pośrednictwem usługi Intune nie powoduje ponownego uruchomienia, chociaż ponowne uruchomienie może być wymagane w celu ukończenia aktualizacji.

Czy mogę wycofać lub usunąć nowe certyfikaty po ich zastosowaniu?

Po zastosowaniu certyfikatów do oprogramowania układowego system Windows nie może ich usunąć. Czyszczenie certyfikatów musi odbywać się za pośrednictwem interfejsu oprogramowania układowego.

Dlaczego należy to zrobić przed czerwcem 2026 r.?

Starsze certyfikaty zaczynają wygasać w czerwcu 2026 r. Urządzenia, które nie otrzymały nowszych certyfikatów z 2023 r., utracą możliwość otrzymywania nowych zabezpieczeń wczesnego rozruchu (np. aktualizacji bazy danych bezpiecznego rozruchu i odwołań).

Zasoby