Przykładowy przewodnik automatyzacji bezpiecznego rozruchu E2E

Zasady grupy AvailableUpdatesPolicy

Jest to klawisz sterowany przez gpo/ADMX, który:

• Trwa podczas ponownych uruchomień

• Ustawiane przez zasady grupy /MDM

• Nie powoduje ponownych prób pętli (wyczyszczone przez ClearRolloutFlags)

• Jest właściwym kluczem wdrażania opartego na zasadach

Informacje: metoda bezpiecznego rozruchu obiektów zasady grupy obiektów (GPO) dla urządzeń z systemem Windows z aktualizacjami zarządzanymi przez DZIAŁ IT

powrót do pozycji "Odwołanie do ustawień Aktualizacje certyfikatu" 

WinCSFlags — flagi systemu konfiguracji systemu Windows

Administratorzy domeny mogą również używać systemu konfiguracji systemu Windows (WinCS) wydanego z aktualizacjami systemu operacyjnego Windows do wdrażania aktualizacji bezpiecznego rozruchu na serwerach i klientach systemu Windows przyłączonych do domeny. Składa się on z narzędzia interfejsu wiersza polecenia (CLI) do wykonywania zapytań i stosowania konfiguracji bezpiecznego rozruchu lokalnie na komputerze.

Informacje: Interfejsy API systemu konfiguracji systemu Windows (WinCS) do bezpiecznego rozruchu

powrót do pozycji "Odwołanie do ustawień Aktualizacje certyfikatu"

powrót do początku

Skrypty potrzebne do fazy 1

Przykładowe skrypty zbierania danych w spisie bezpiecznego rozruchu

powrót do "Faza 1: Wykrywanie i monitorowanie stanu na poziomie przedsiębiorstwa"

Testowanie lokalne

Przed wdrożeniem za pośrednictwem obiektu zasad grupy przetestuj skrypt kolekcji na jednym komputerze, aby sprawdzić funkcjonalność. 

• Uruchamianie skryptu kolekcji lokalnie
  
  Otwórz monit programu PowerShell z podwyższonym poziomem uprawnień i wykonaj:

  & .\Detect-SecureBootCertUpdateStatus.ps1 -OutputPath "C:\Temp\SecureBootTest" 

• Weryfikowanie danych wyjściowych JSON

  
  # View the collected data  Get-Content "C:\Temp\SecureBootTest\*_latest.json" | ConvertFrom-Json | Format-List

  Pola kluczy do zweryfikowania  
  • SecureBootEnabled — powinna być prawda lub fałsz
  • GeneralStatus — Complete, ReadyForUpdate, NeedsData lub Error
  • BucketHash — zasobnik urządzenia umożliwiający dopasowywanie
  danych ufności • SecureBootTaskEnabled — pokazuje stan zadania aktualizacji bezpiecznego rozruchu.

• Testowanie skryptu agregacji

  
  # Generate reports from collected data  & .\Aggregate-SecureBootCertStatus.ps1"
      -InputPath "C:\Temp\SecureBootTest" '
      -OutputPath "C:\Temp\SecureBootReports"
  
  # Otwórz pulpit nawigacyjny HTML   

  Start-Process "C:\Temp\SecureBootReports\SecureBoot_Dashboard_*.html"

powrót do "Faza 1: Wykrywanie i monitorowanie stanu na poziomie przedsiębiorstwa" 

Konfiguracja udziału sieciowego

• Tworzenie udziału
  
  sieciowego Na serwerze plików utwórz dedykowany udział do zbierania danych:

  
  # Run on file server as Administrator  $SharePath = "D:\SecureBootCollection"
  $ShareName = "SecureBootData$"
  
  # Utwórz folder
  New-Item -ItemType Directory -Path $SharePath -Force
  
  # Tworzenie ukrytego udziału (sufiks$ ukrywa się przed listą przeglądania)
  New-SmbShare -Name $ShareName -Path $SharePath '
      -Description "Secure Boot Certificate Status Collection" (Zbieranie stanu certyfikatu bezpiecznego rozruchu)
      -FullAccess "Administratorzy domeny"
      -ChangeAccess "Uwierzytelnieni użytkownicy"    

• Konfigurowanie uprawnień systemu plików NTFS

  
  # Get current ACL  $Acl = Get-Acl $SharePath
  
  # Zezwalaj uwierzytelnionym użytkownikom na pisanie plików
  $WriteRule = New-Object System.Security.AccessControl.FileSystemAccessRule(
      "Uwierzytelnieni użytkownicy",
      "CreateFiles,AppendData,WriteAttributes,WriteExtendedAttributes",
      "ContainerInherit,ObjectInherit",
      "Brak",
      "Zezwalaj"
  )
  $Acl.AddAccessRule($WriteRule)
  
  # Zezwalaj administratorom domeny na pełną kontrolę (na potrzeby agregacji)
  $AdminRule = New-Object System.Security.AccessControl.FileSystemAccessRule(
      "Administratorzy domeny",
      "FullControl",
      "ContainerInherit,ObjectInherit",
      "Brak",
      "Zezwalaj"
  )
  $Acl.AddAccessRule($AdminRule)
  
  # Zastosuj uprawnienia
  Set-Acl -Path $SharePath -AclObject $Acl       

• Weryfikowanie dostępu do udostępniania

  
  # Test from a domain-joined workstation  Test-Path "\\fileserver\SecureBootData$"
  # Powinien wrócić: Prawda

powrót do "Faza 1: Wykrywanie i monitorowanie stanu na poziomie przedsiębiorstwa" 

Wdrożenie obiektu zasad grupy

Użyj skryptu automatyzacji udostępnionego z kontrolera domeny:

Ten skrypt wykona następujące czynności:

• Tworzy nowy obiekt zasad grupy o określonej nazwie

• Kopiuje skrypt kolekcji do SYSVOL w celu zapewnienia wysokiej dostępności

• Konfiguruje skrypt uruchamiania komputera

• Łączy obiekt zasad grupy z docelową kartą graficzną

• Opcjonalnie tworzy zaplanowane zadanie dla kolekcji okresowej

W poniższej tabeli przedstawiono, jak długo opóźnienie będzie zależeć od rozmiaru floty.

powrót do "Faza 1: Wykrywanie i monitorowanie stanu na poziomie przedsiębiorstwa" 

Podsumowanie ustawień obiektu zasad grupy

powrót do "Faza 1: Wykrywanie i monitorowanie stanu na poziomie przedsiębiorstwa" 

Weryfikacja

• Force GPO Update on Test Machine

  
  ## On a test workstation  gpupdate /force
  
  # Uruchom ponownie komputery klienckie, aby uruchomić skrypt uruchamiania, lub uruchomi się on w następnym harmonogramie.  
  Restart-Computer -Siła

• Weryfikowanie zbierania danych

  # Sprawdź, czy dane zostały zebrane (na serwerze plików lub z dowolnego komputera)
  Get-ChildItem "\\fileserver\SecureBootData$" |  
      Sort-Object LastWriteTime -Descending |  
      Select-Object -Pierwsze 10
   
  # Weryfikowanie zawartości
  JSON Get-Content "\\fileserver\SecureBootData$\TESTPC_latest.json" | ConvertFrom-Json 

• Sprawdź aplikację obiektu zasad grupy

  # Sprawdź, czy obiekt zasad grupy został zastosowany do komputera
  gpresult /r /scope:komputer | Select-String "SecureBoot"
  S
  Skrypt zapisuje również kopię lokalną dla nadmiarowości:
  Get-ChildItem "C:\ProgramData\SecureBootCollection\" 

powrót do "Faza 1: Wykrywanie i monitorowanie stanu na poziomie przedsiębiorstwa"

powrót do początku 

Skrypty potrzebne do fazy 2

Przykładowe skrypty zbierania danych w spisie bezpiecznego rozruchu

powrót do "Faza 2: Skrypty aranżacji aktualizacji certyfikatu bezpiecznego rozruchu" 

Start-SecureBootRolloutOrchestrator.ps1

• Celu: W pełni zautomatyzowana, ciągła aranżacja z automatycznym wdrażaniem obiektów zasad grupy.

• Opis

  • Połączenia Aggregate-SecureBootData.ps1 w celu ustawienia stanu urządzenia

  • Generuje fale wdrażania za pomocą progresywnego podwojenia

  • Tworzy obiekt zasad grupy dla wdrożenia certyfikatów przy użyciu jednej z następujących metod

    • Zasady grupy bezpiecznego rozruchu AvailableUpdatesPolicy = 0x5944 (domyślne)

    • Metoda WinCS (Parametr — UseWinCS)

  • Tworzy grupy zabezpieczeń usługi AD na potrzeby kierowania

  • Dodaje konta komputerów do grup zabezpieczeń

  • Konfiguruje filtrowanie zabezpieczeń obiektu zasad grupy

  • Łączy obiekt zasad grupy z docelową kartą graficzną

  • Monitory blokowanych zasobników (nieosiągalne urządzenia)

  • Automatyczne odblokowywanie po odzyskaniu przez urządzenia

• użytkowanie

  
  # Interactive (testing) .\Start-SecureBootRolloutOrchestrator.ps1 '
      -AggregationInputPath "\\fileserver\SecureBootData$"
      -ReportBasePath "C:\SecureBootReports"
      -PollIntervalMinutes 30

  
  # Interactive (testing), leveraging WinCS method .\Start-SecureBootRolloutOrchestrator.ps1 '
      -AggregationInputPath "\\fileserver\SecureBootData$"
      -ReportBasePath "C:\SecureBootReports"
      -PollIntervalMinutes 1440 -UseWinCS

• polecenia Administracja

  
  # List blocked buckets .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -ListBlockedBuckets

  
  # Unblock specific bucket .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -UnblockBucket "Dell|Szerokość5520|BIOS1.2"

  
  # Unblock all .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -UnblockAll

• Parametry

  Parametr	Domyślne	Opis
  AggregationInputPath	Wymagane	Ścieżka UNC do plików JSON punktu końcowego
  ReportBasePath	Wymagane	Ścieżka lokalna raportów i stanu
  TargetOU	Domena główna	OU do łączenia obiektów GPO
  WavePrefix	SecureBoot-Rollout	Prefiks nazewnictwa obiektów gpo/grup
  MaxWaitHours	72	Godziny przed sprawdzeniem przydatności urządzenia
  PollIntervalMinutes	1440	Minuty między testami stanu
  DryRun	False	Pokaż, co by się stało bez zmian

powrót do "Faza 2: Skrypty aranżacji aktualizacji certyfikatu bezpiecznego rozruchu"  

Deploy-OrchestratorTask.ps1

• Celu: Wdraża aranżatora jako zadanie zaplanowane w systemie Windows.

• Korzyści

  • Brak monitów zabezpieczeń programu PowerShell (ExecutionPolicy Bypass)

  • Działa w tle w sposób ciągły

  • Interakcja z użytkownikami nie jest wymagana

  • Przetrwa ponowny rozruch

• użytkowanie

  • Wdrażanie za pomocą konta usługi domeny (zalecane)

    • Użyj zasady grupy AvailableUpdates (metoda domyślna)

      .\Deploy-OrchestratorTask.ps1 '
          -AggregationInputPath "\\server\SecureBootData$"
          -ReportBasePath "C:\SecureBootReports"
          -ServiceAccount "DOMAIN\svc_secureboot"

    • Korzystanie z metody WinCS

      .\Deploy-OrchestratorTask.ps1 '
          -AggregationInputPath "\\server\SecureBootData$"
          -ReportBasePath "C:\SecureBootReports"
          -ServiceAccount "DOMAIN\svc_secureboot" -UseWinCS

  • Wdrażanie za pomocą konta SYSTEM

    • Użyj zasady grupy AvailableUpdates (metoda domyślna)

      .\Deploy-OrchestratorTask.ps1 '
          -AggregationInputPath "\\server\SecureBootData$"
          -ReportBasePath "C:\SecureBootReports"

    • Korzystanie z method.\Deploy-OrchestratorTask.ps1 WinCS

          -AggregationInputPath "\\server\SecureBootData$"
          -ReportBasePath "C:\SecureBootReports" —UseWinCS

    • Wymagania dotyczące konta usługi

      • Administracja domeny (dla obiektów New-GPO, New-ADGroup, Add-ADGroupMember)

      • Odczyt dostępu do udziału plików JSON

      • Dostęp do zapisu w programie ReportBasePath

powrót do "Faza 2: Skrypty aranżacji aktualizacji certyfikatu bezpiecznego rozruchu"  

Get-SecureBootRolloutStatus.ps1

• Celu: Wyświetl postęp wdrażania z dowolnej stacji roboczej.

• Co jest wyświetlane

  • Stan zaplanowanego zadania (uruchomiony/gotowy/zatrzymany)

  • Numer bieżącego etapu

  • Urządzenia kierowane a zaktualizowane

  • Wizualny pasek postępu

  • Podsumowanie blokowanych zasobników

  • Link do najnowszego pulpitu nawigacyjnego HTML

• użytkowanie

  
  # Quick status check .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports"

  
  # Continuous monitoring (refreshes every 30 seconds) .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -Watch 30

  
  # View blocked buckets .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -ShowBlocked

  
  # View wave history .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -ShowWaves

  
  # View recent log .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -ShowLog

  
  # Open dashboard in browser .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -OpenDashboard

• Przykładowe dane wyjściowe

  
  ==============================================================    STAN
  WDROŻENIA BEZPIECZNEGO ROZRUCHU    2026-02-17 19:30:00
  ======================================================

  Scheduled Task: Running

  
  ROLLOUT PROGRESS
  ---------------------------------------- Stan: InProgress
  Bieżąca fala: 5
  Łączna liczba kierowanych: 1250
  Całkowita aktualizacja: 847

  Progress: [█████████████████████░░░░░░░░░░░░░░░░░░░] 67.8%

  
  BLOCKED BUCKETS: 2 buckets need attention   Uruchom za pomocą polecenia -ShowBlocked, aby uzyskać szczegółowe informacje

  
  LATEST DASHBOARD
  C:\SecureBootReports\Aggregation_20260217_193000\SecureBoot_Dashboard.html __________________________________________________________________________________________

powrót do "Faza 2: Skrypty aranżacji aktualizacji certyfikatu bezpiecznego rozruchu"

powrót do początku 

Faza 1: Infrastruktura wykrywania

• Krok 1. Tworzenie udziału kolekcji

  
  # On file server $sharePath = "D:\SecureBootData"
  New-Item -ItemType Directory -Path $sharePath -Force
  New-SmbShare -Name "SecureBootData$" -Path $sharePath -FullAccess "Domain Admins" -ChangeAccess "Domain Computers"

  
  # Set NTFS permissions $acl = Get-Acl $sharePath
  $rule = New-Object System.Security.AccessControl.FileSystemAccessRule("Domain Computers","Modify","Allow")
  $acl. AddAccessRule($rule)
  Set-Acl $sharePath $acl

• Krok 2. Wdrażanie obiektu zasad grupy wykrywania

  
  .\Deploy-GPO-SecureBootCollection.ps1 `     -DomainName "contoso.com" '
      -OUPath "OU=Workstations,DC=contoso,DC=com" '
      -CollectionSharePath "\\server\SecureBootData$"

• Krok 3. Oczekiwanie na raportowanie punktów końcowych (24–48 godzin)

  # Sprawdź postęp
  kolekcji (Get-ChildItem "\\server\SecureBootData$" -Filter "*.json"). Liczba

powrót do sekcji "Kroki wdrażania E2E (Krótki przewodnik)" 

Faza 2. Wdrożenie zaaranżowane

• Krok 4. Sprawdzanie wymagań wstępnych

  • Wdrożono obiekt zasad grupy wykrywania (krok 2)

  • Co najmniej 50+ punktów końcowych raportowania JSON

  • Konto usługi z prawami Administracja domeny

  • Serwer zarządzania z programem PowerShell 5.1+

• Krok 5. Wdrażanie aranżacji jako zaplanowanego zadania

  
  .\Deploy-OrchestratorTask.ps1 `     -AggregationInputPath "\\server\SecureBootData$"
      -ReportBasePath "C:\SecureBootReports"
      -ServiceAccount "DOMAIN\svc_secureboot"

• Krok 6. Monitorowanie postępu

  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports"

• Krok 7. Wyświetlanie pulpitu nawigacyjnego

  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -OpenDashboard

• Krok 8. Zarządzanie zablokowanymi zasobnikami

  
  # List blocked .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -ListBlockedBuckets

  
  # Investigate and unblock .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -UnblockBucket "Producent|Model|BIOS"

• Krok 9. Weryfikacja ukończenia

  
  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" # Stan powinien zawierać komunikat "Ukończono"

powrót do sekcji "Kroki wdrażania E2E (Krótki przewodnik)"  

Files województwo

Aranżator zachowuje stan w ReportBasePath\RolloutState\:

powrót do sekcji "Kroki wdrażania E2E (Krótki przewodnik)" 

powrót do początku 

Aranżator nie rozwija się

1. Sprawdzanie zaplanowanego zadania

   Get-ScheduledTask -TaskName "SecureBoot-Rollout-Orchestrator"

2. Sprawdzanie dzienników

   Get-Content "C:\SecureBootReports\RolloutState\Orchestrator_*.log" -Tail 50

3. Sprawdzanie świeżości danych JSON

   (Get-ChildItem "\\server\SecureBootData$" -Filter "*.json" | Where-Object { $_.LastWriteTime -gt (Get-Date).AddDays(-1) }).Count

powrót do "Rozwiązywanie problemów" 

Zablokowane zasobniki

1. Lista jest zablokowana.

   .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -ListBlockedBuckets

2. Sprawdź osiągalność urządzenia.

3. Sprawdź, czy nie ma problemów z oprogramowaniem układowym.

4. Odblokuj po zbadaniu.

powrót do "Rozwiązywanie problemów"  

Obiekt zasad grupy nie stosuje się

1. Sprawdź, czy obiekt zasad grupy istnieje.

   Get-GPO -Name "SecureBoot-Rollout-Wave*"

2. Sprawdź filtrowanie zabezpieczeń.

   Get-GPPermission -Name "GPO-Name" -All

3. Sprawdź, czy komputer jest w grupie zabezpieczeń.

4. Zastosuj obiekt zasad grupy do obiektu docelowego.

   gpupdate /force

powrót do "Rozwiązywanie problemów"

powrót do początku