Observação
- Data de publicação original: 18 de fevereiro de 2026
- ID BDC: 5080921
Este artigo tem orientações para:
- Administradores de TI que precisam de visibilidade sobre as status de atualização do certificado de Arranque Seguro a partir dos respetivos dispositivos Windows inscritos no Intune
- Organizações que se preparam para o prazo de expiração do certificado de Arranque Seguro de junho de 2026
- Equipas que pretendam monitorizar o progresso da implementação do certificado nos respetivos dispositivos Windows inscritos no Intune
Neste artigo:
- Introdução
- Pré-requisitos
- Script de Deteção
- Criar a remediação no Intune
- Visualizar e exportar resultados
- Perguntas frequentes
- Recursos
Introdução
Os certificados de Arranque Seguro da Microsoft (ACs de 2011) estão a expirar a partir de junho de 2026. Todos os dispositivos Windows com o Início Seguro ativado têm de ser atualizados para os certificados de 2023 antes da expiração para garantir a continuidade do suporte de atualizações de segurança.
Este guia fornece uma abordagem somente de monitoramento usando Microsoft Intune Remediações (Remediações Proativas). O script de deteção recolhe status do Arranque Seguro e do certificado de cada dispositivo e reporta-os ao portal Intune — não é tomada nenhuma ação de remediação nos dispositivos. Isto proporciona aos administradores uma vista centralizada e exportável do progresso da atualização dos certificados nos respetivos dispositivos Windows inscritos no Intune.
Porquê utilizar esta abordagem?
| Benefício | Descrição |
|---|---|
| Visibilidade em todo o dispositivo | Veja todos os Intune status de certificado do dispositivo Windows inscritos num único local |
| Exportável | Exportar resultados para CSV diretamente a partir do portal Intune |
| Valores de registo em bruto | Ver os dados reais do registo, não apenas a aprovação/reprovação |
| Contexto do dispositivo | Inclui fabricante, modelo, versão do BIOS e tipo de firmware |
| Telemetria do registo de eventos | Captura IDs de eventos de Arranque Seguro (1801/1808), IDs de bucket e níveis de confiança |
| Sem toque | Executa silenciosamente como SYSTEM — sem necessidade de interação do usuário |
Para obter informações básicas completas sobre as atualizações de certificados, consulte Atualizações de certificados de inicialização segura: orientações para profissionais de TI e organizações.
Pré-requisitos
Antes de implantar o script de detecção, verifique se seu ambiente atende aos requisitos necessários.
Esta solução aproveita as remediações em Microsoft Intune. Para obter uma lista completa de pré-requisitos, consulte Usar remediações para detectar e corrigir problemas de suporte - Microsoft Intune.
Scripts de deteção
O script de deteção é um script do PowerShell que recolhe dados de inventário abrangentes de Arranque Seguro de cada dispositivo e os produz como uma cadeia de carateres JSON. O script lê a partir das seguintes fontes:
Registo — Atualização do certificado de Arranque Seguro status, chaves de manutenção, atributos do dispositivo e definições de participação/exclusão de HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot e respetivas subchaves
WMI/CIM — Versão do SO, hora do último arranque e informações sobre o hardware da placa base
Logs de eventos — Entradas do log de eventos do sistema para IDs de evento 1801 e 1808 (eventos de atualização de inicialização segura)
A saída JSON aparece no portal Intune em Remediations Monitor > Device status > "Saída de detecção de pré-remediação>" e pode ser exportada para CSV para análise.
Importante: Este é um script apenas de deteção. Não são feitas alterações ao dispositivo. Nenhum script de remediação é necessário.
Criando o arquivo de script
Observação
IMPORTANTE O artigo a seguir que contém o script de exemplo foi descontinuado. Se instalou uma atualização do Windows lançada em ou após 12 de maio de 2026, o script de exemplo pode ser encontrado na pasta %systemroot%\SecureBoot\ExampleRolloutScripts no seu dispositivo.
- Navegue para o script de recolha de dados de inventário de Arranque Seguro de Exemplo (KB5072718)
- Copiar todo o conteúdo do script da página
- Abra um editor de texto (por exemplo, Bloco de Notas, VS Code) e cole o script
- Guardar o ficheiro como Detect-SecureBootCertUpdateStatus.ps1
Criar a remediação no Intune
Siga estas etapas para implantar o script de detecção como uma Remediação (pacote de scripts) no Microsoft Intune.
Etapa 1: Criar o pacote de scripts
- Inicie sessão no centro de administração do Microsoft Intune
- Navegar para remediações de dispositivos >
- Clique em + Criar pacote de scripts
Passo 2: noções básicas
- Configure as seguintes definições no separador Noções Básicas :
| Configuração | Valor |
|---|---|
| Nome | Monitor de Estado do Certificado de Arranque Seguro |
| Descrição | Monitoriza a atualização do certificado de Arranque Seguro status em toda a frota. Apenas detecção — nenhuma ação de remediação é tomada. |
| Fornecedor | (o nome da sua organização) |
- Clique em Avançar
Passo 3: Definições
- Configure as seguintes definições no separador Definições :
| Configuração | Valor | Observações |
|---|---|---|
| Ficheiro de script de deteção | Carregar Detect-SecureBootCertificateStatus.ps1 | O script da seção anterior |
| Ficheiro de script de remediação | (deixe vazio) | Não é necessária qualquer remediação, isto é, apenas monitorização |
| Execute este script com as credenciais com sessão iniciada | Não | Funciona como SYSTEM para garantir o acesso ao Confirm-SecureBootUEFI e ao registo |
| Impor assinatura de script marcar | Não | Defina para Sim se a sua organização exigir scripts assinados |
| Executar script no PowerShell de 64 bits | Sim | Necessário para Confirm-SecureBootUEFI cmdlet e leituras de registo precisas |
- Clique em Avançar
Etapa 4: Marcas de escopo
- Adicione as marcas de escopo necessárias para sua organização ou deixe como padrão
- Clique em Avançar
Etapa 5: Atribuições
| Configuração | Valor | Observações |
|---|---|---|
| Atribuições | Selecione os grupos de dispositivos a serem monitorados | Use todos os dispositivos para monitoramento de toda a frota ou grupos específicos para monitoramento direcionado |
| Horário | Configure de acordo com suas necessidades de monitoramento | Recomendado: uma vez por dia para o acompanhamento de implantação ativa ou uma vez por semana para monitoramento contínuo |
Observação: as correções são executadas na programação configurada do dispositivo. A primeira execução pode levar até 24 horas após a atribuição, dependendo do ciclo de marcar do dispositivo.
Clique em Avançar
Etapa 6: Examinar + Criar
- Examinar todas as configurações
- Clique em Criar
Exibindo e exportando resultados
Exibir resultados no portal
- Navegue até Correções de dispositivos >
- Clique em Monitor de Status do Certificado de Inicialização Segura (ou no nome que você escolheu)
- Selecione a guia Monitor
- Clique em Status do dispositivo
- Clique em Colunas e adicione saída de detecção de pré-correção
Você verá uma tabela com as seguintes colunas:
| Coluna | Descrição |
|---|---|
| Nome do dispositivo | O nome do dispositivo |
| Nome de usuário | O usuário principal do dispositivo |
| Status da detecção | Sem problema (certificados atualizados) ou com problema (certificados não atualizados) |
| Saída de detecção de pré-correção | A saída JSON completa do script |
| Última modificação | Quando o script foi executado pela última vez no dispositivo |
Exportação para CSV
- Na página de status do dispositivo, clique no botão Exportar na parte superior da tabela
- O arquivo CSV baixará todas as colunas, incluindo a saída completa da detecção JSON para cada dispositivo
- Abra no Excel para filtrar, classificar e analisar por qualquer campo
Dica: No Excel, você pode usar as funções TEXTJOIN ou JSON para analisar o JSON de saída de detecção em colunas separadas para facilitar a análise.
Guia Visão geral
A guia Visão geral na correção fornece um dashboard de resumo:
| Métrica | Significado |
|---|---|
| Dispositivos com problemas | Dispositivos em que os certificados ainda não foram atualizados |
| Dispositivos sem problemas | Dispositivos em que os certificados estão atualizados |
| Dispositivos com falha na detecção | Dispositivos em que o script encontrou um erro |
Perguntas frequentes
Isso muda alguma coisa em meus dispositivos?
Não. Este é um script somente de detecção. Nenhum valor do Registro é modificado, nenhuma atualização é disparada e nenhuma ação de correção é tomada. O script apenas lê valores e os relata.
O que significa "Com problema"?
"Com problema" significa que o dispositivo ainda não tem os certificados de Inicialização Segura de 2023 aplicados e o gerenciador de inicialização assinado de 2023 em vigor. Isso pode ser porque: - A atualização do certificado não foi iniciada - A atualização está em andamento e pode exigir uma reinicialização para ser concluída - A inicialização segura não está habilitada no dispositivo - O dispositivo não é baseado em UEFI ou está aguardando uma reinicialização para aplicar o gerenciador de inicialização.
O que significa "Sem problemas"?
"Sem problema" significa que o dispositivo tem a Inicialização Segura habilitada e o valor do registro UEFICA2023Status é Atualizado, indicando que os certificados de 2023 foram aplicados com êxito.
Com que frequência o script é executado?
O script é executado na agenda que você configurar na atribuição. Para monitoramento ativo durante uma implantação, recomenda-se o uso diário. Para monitoramento contínuo, semanalmente é suficiente.
E se a chave do Registro de manutenção não existir?
Se a chave HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing não existir em um dispositivo, o campo UEFICA2023Status mostrará NoValue. Isso geralmente significa que as atualizações de certificado não foram iniciadas no dispositivo.
Quais licenças são necessárias?
As correções exigem licenças do Windows 10/11 Enterprise E3/E5, Education A3/A5 ou F3. Se seus dispositivos tiverem apenas licenças Business Premium ou Pro, as correções não estarão disponíveis. Consulte os pré-requisitos para correções.
Informações
Guia Estratégico de Atualização de Certificado de Inicialização Segura
Atualizações de Certificado de Inicialização Segura: diretrizes para profissionais de TI
Atualizações de Chave do Registro para Inicialização Segura
Eventos de atualização de variável DB e DBX de inicialização segura