Aplicar configurações de atualização de certificado de Inicialização Segura usando direcionamento baseado em modelo no Microsoft Intune

Aplica-se a
Windows 10 ESU Windows 10 Enterprise LTSC 2021 Windows 11 Home and Pro, version 21H2 Windows 11 Enterprise Multi-Session, version 21H2 Windows 11 Enterprise and Education, version 21H2 Windows 11 IoT Enterprise, version 21H2 Windows 11 Home and Pro, version 22H2 Windows 11 Enterprise Multi-Session, version 22H2 Windows 11 Enterprise and Education, version 22H2 Windows 11 IoT Enterprise, version 22H2 Windows 11 SE, version 23H2 Windows 11 Home and Pro, version 23H2 Windows 11 Enterprise and Education, version 23H2 Windows 11 Enterprise Multi-Session, version 23H2 Windows 11 SE, version 24H2 Windows 11 Enterprise and Education, version 24H2 Windows 11 Enterprise Multi-Session, version 24H2 Windows 11 Home and Pro, version 24H2 Windows 11 IoT Enterprise, version 24H2 Windows 11 version 25H2, all editions

Observação

  • Data de publicação original: 10 de março de 2026
  • ID da base de dados: 5084490

Este artigo tem diretrizes para

  • Profissionais de TI e administradores do Intune que gerenciam dispositivos Windows, implantam controles de atualização de certificado de Inicialização Segura por meio de políticas de catálogo de Configurações e supervisionam fluxos de trabalho de atualização.
  • Equipes que precisam direcionar implantações para modelos de hardware específicos usando filtros de atribuição.

Neste artigo:

Introdução

Essas diretrizes ajudam os administradores de TI a habilitar o processo de atualização de certificado de Inicialização Segura usando as políticas de catálogo de Configurações do Microsoft Intune. Ele descreve como definir a configuração de Inicialização Segura que habilita o processo de atualização de certificado e como implantar essa configuração. Ele também destaca como usar filtros de atribuição baseados em modelo para dar suporte a distribuições controladas e em estágios no hardware que já foi validado para lidar com a atualização com êxito.

Pré-requisitos

A qualificação para atualização do certificado de Inicialização Segura é determinada peloCSP da Política de Inicialização Segura e pelo firmware do  dispositivo. Esse escopo nem sempre está alinhado com as linhas do tempo de manutenção do Windows (ou seja, atualizações) ou com os requisitos de registro do Intune.

Pré-requisitos do Intune e da política

  • Entre com uma conta que tenha permissões para criar filtros e criar/atribuir políticas de Catálogo de Configurações.
  • Os dispositivos devem ser registrados no Intune (os filtros de atribuição se aplicam somente a dispositivos gerenciados).

Pré-requisitos de elegibilidade da Inicialização Segura

Etapa 1 – Definir as configurações de atualização de certificado do Secure Boot no Intune (catálogo de configurações)

Nesta etapa, você cria um perfil de configuração de dispositivo do catálogo de Configurações do Windows no Microsoft Intune. Você também define as configurações de Inicialização Segura que habilitam o processo de atualização de certificado da Inicialização Segura.

O que você vai criar

Um perfil de configuração de dispositivo do catálogo de Configurações do Windows que permite a Habilitação de Atualizações de Certificado de Inicialização Segura:

Criar o perfil do catálogo Configurações

  1. Entre no centro de administração do Microsoft Intune.

  2. Vá para Configuração de Dispositivos>Gerenciar dispositivos>.

  3. Selecione Criar>nova política.

  4. Em Criar um perfil:

  5. Plataforma: Windows 10 e posterior

  6. Tipo de perfil: Catálogo de configurações

  7. Selecione Criar.

  8. Nomeie o perfil (por exemplo, Atualização de Certificado de Inicialização Segura), adicione uma descrição opcional e selecione Avançar.

  9. Em Configurações, selecione Adicionar configurações.

  10. No seletor de configurações, pesquise Inicialização Segura e selecione-a em Procurar por categoria.

  11. Adicione ao perfil a configuração Habilitar Certificado de Inicialização Segura Atualizações das três apresentadas na categoria Inicialização Segura.

    Observação

    Você pode definir as outras configurações de Inicialização Segura nesta categoria da mesma maneira se o cenário de implantação exigir.

  12. Defina o valor de configuração como Habilitado.

  13. Selecione Avançar para continuar com as tarefas. (Você aplicará um filtro na Etapa 3).

Etapa 2 - Criar um filtro de atribuição para segmentação baseada em modelo

Em seguida, você cria um filtro de atribuição do Intune destinado a modelos de dispositivo específicos. O direcionamento baseado em modelo permite que você defina o escopo das atualizações de certificado de Inicialização Segura para os modelos de hardware selecionados. Essa implantação controlada e em estágios não requer grupos adicionais do Microsoft Entra ID.

Por que o direcionamento baseado em modelo é recomendado para a implantação de certificado de Inicialização Segura

  • Variabilidade do firmware : os OEMs implementam a Inicialização Segura de forma diferente, portanto, o escopo no nível do modelo reduz comportamentos inesperados.
  • Validação prévia – você pode validar atualizações de certificado em um conjunto de hardware válido conhecido antes da ampla distribuição.

O que você vai criar

Um filtro de atribuição de dispositivos gerenciados que visa (ou exclui) modelos de dispositivos específicos.

Criar o filtro de atribuição

  1. Entre no centro de administração do Microsoft Intune.

  2. Ir para Administração de> locatáriosFiltros> de atribuiçãoCriar.

  3. Selecione Dispositivos gerenciados.

  4. No Básico, defina:

    • Nome do filtro (descritivo).
    • Descrição (opcional, mas recomendada).
    • Plataforma: Windows 10 e posterior.

  5. Selecione Avançar.

  6. Em Regras, escolha uma abordagem:

    • Construtor de regras (recomendado para a maioria dos administradores)
    • Sintaxe da regra (edição manual de expressão)

Criar uma regra baseada em modelo (construtor de regras)

  1. No Construtor de regras, selecione a propriedade do modelo .
  2. Escolha um operador.
  3. Insira a(s) sequência(s) de modelo que deseja corresponder.
  4. Selecione Adicionar expressão para adicioná-la à regra.
  5. Se necessário, use E/Ou para estender a regra para modelos adicionais ou para adicionar critérios adicionais com base em outras propriedades filtráveis possíveis.

Dica

Use dispositivos de Visualização para validar se o filtro corresponde ao conjunto pretendido. A lista de visualização dá suporte à pesquisa por nome do dispositivo, versão do sistema operacional, modelo do dispositivo e fabricante do dispositivo.

Visualizar e criar o filtro

  1. Selecione Visualizar dispositivos para confirmar quais dispositivos registrados correspondem.
  2. Selecione Avançar.
  3. (Opcional) Atribua marcas de Escopo se você usá-las.
  4. Selecione Avançar.
  5. Em Examinar + criar, selecione Criar.

Etapa 3 – atribuir a política usando o filtro de atribuição

Por fim, você atribui o perfil do catálogo Configurações a um dispositivo ou grupo de usuários e aplica o filtro de atribuição. Isso determina quais dispositivos registrados recebem e processam as configurações de atualização do certificado de Inicialização Segura durante a avaliação da política.

O que você vai fazer

Você atribuirá o perfil de catálogo Configurações de Inicialização Segura da Etapa 1 a um grupo e, em seguida, aplicará o filtro da Etapa 2 no modo Incluir ou Excluir .

Aplicar o filtro de atribuição

  1. No centro de administração do Microsoft Intune, navegue atéConfiguração de Dispositivos>Gerenciar dispositivos>.

  2. Selecione o perfil de catálogo Configurações que você criou na Etapa 1 acima.

  3. Abra a ediçãode atribuições de> propriedades.>

  4. Atribua o perfil ao grupo de usuários ou grupo de dispositivos apropriado.

    Dica

    Se você não tiver nenhum outro critério para limitar a segmentação, atribua essa política ao grupo virtual Todos os dispositivos . Utilize o filtro de atribuição de modelo de dispositivo do Passo 2 para definir o âmbito da atribuição. Essa combinação é suficiente para a maioria das implantações. O grupo virtual Todos os dispositivos é incorporado, não requer manutenção do grupo e é otimizado para escala. Em seguida, o filtro de atribuição restringe a aplicabilidade no marcar do dispositivo com base nas propriedades do mesmo, sem exigir grupos de Microsoft Entra adicionais.

  5. Selecione Editar filtro.

  6. Escolha uma:

    • Incluir dispositivos filtrados na atribuição: apenas os dispositivos que corresponderem ao filtro receberão a política.
    • Excluir dispositivos filtrados na atribuição: os dispositivos que corresponderem ao filtro não receberão a política.

  7. Selecione o seu filtro de tarefa existente no Passo 2 e selecione Selecionar.

  8. Selecione Rever + guardar>Guardar.

Compreender o comportamento do dispositivo

  • Intune avalia o filtro quando o dispositivo é registado, sempre que dá entrada e sempre que a política atribuída é reavaliada.
  • Ativar a definição de Arranque Seguro não garante a aplicação imediata do certificado. Para a definição de Arranque Seguro que aciona o processo de atualização, a tarefa de Arranque Seguro do Windows é executada a cada 12 horas. Algumas atualizações podem exigir uma reinicialização.

Perguntas frequentes

Com que frequência os dispositivos processam a definição "Ativar Certificado de Arranque Seguro Atualizações"?

A tarefa de Arranque Seguro do Windows que processa a definição é executada a cada 12 horas.

Devo esperar reinícios?

Iniciar a atualização através do Intune não causa um reinício, embora possa ser necessário reiniciar para concluir a atualização.

Posso reverter ou remover os novos certificados depois de serem aplicados?

Após a aplicação dos certificados ao firmware, o Windows não consegue removê-los. A compensação de certificados tem de ser feita através da interface de firmware.

Por que motivo devo fazê-lo antes de junho de 2026?

Os certificados mais antigos começam a expirar em junho de 2026. Os dispositivos que não receberam os certificados mais recentes de 2023 perderão a capacidade de receber novas proteções de segurança de arranque inicial (por exemplo, bases de dados de Arranque Seguro e atualizações de revogação).

Recursos