Atualizações do Certificado de Inicialização Segura: diretrizes para profissionais de TI e organizações

Log de alterações

Data da Alteração	Descrição da alteração
5 de maio de 2026	Substituiu o conteúdo da seção Solução de problemas por um link para o artigo Solução de problemas. As seções "Expiração do certificado de Inicialização Segura", "O que está mudando" e "Recursos de suporte ao cliente da Microsoft" foram removidas, pois duplicavam informações gerais fornecidas em artigos relacionados, como a expiração do certificado de Inicialização Segura do Windows e atualizações da AC.
30 de março de 2026	Resolvido o problema conhecido, "As atualizações de certificado de Inicialização Segura podem falhar com a ID de Evento 1795 em máquinas virtuais Hyper-V"
24 de março de 2026	Atualização do problema conhecido, "As atualizações de certificado de Inicialização Segura podem falhar com a ID de Evento 1795 em máquinas virtuais Hyper-V"
16 de março de 2026	Removeu a seção "Exemplo de dados de confiança" em "Exemplo de script de coleta de dados do inventário de inicialização segura", pois está desatualizada.
3 de março de 2026	Reformatada a saída de exemplo na seção "Preparação" para que ela permaneça dentro da caixa.
24 de fevereiro de 2026	Atualizado o conteúdo de "Script de coleta de dados do inventário de inicialização segura de exemplo" na seção " Preparação". Adicionada uma nova seção "Saída de amostra" na seção "Preparação".
23 de fevereiro de 2026	Atualizado o conteúdo de "Script de coleta de dados do inventário de inicialização segura de exemplo" na seção " Preparação".
13 de fevereiro de 2026	Adicionados os itens "Dados de confiança do exemplo" à seção " Preparação". Removido o "script de coleta para eventos pendentes 1801 e 1808" da seção "Preparação", pois não é mais necessário.
3 de fevereiro de 2026	Problemas comuns movidos e reformatados na seção Solução de problemas. Adicionado um novo problema comum: "As atualizações de certificado de Inicialização Segura podem falhar com a ID de Evento 1795 em máquinas virtuais Hyper-V".
26 de janeiro de 2026	Atualizou o texto em "Assistência de Implantação Automática" de " Ambas as assistências requerem dados de diagnóstico." para " Somente a Assistência de Distribuição de Recursos Controlados requer dados de diagnóstico.
11 de novembro de 2025	Corrigidos dois erros de digitação em "Suporte à implantação de certificado de Inicialização Segura". 0x0800 – O nome do certificado foi alterado de "Microsoft UEFI CA 2023" para "Microsoft Option ROM UEFI CA 2023". 0x1000 - Alterou "Microsoft Option ROM CA 2023" para "Microsoft UEFI CA 2023".
10 de novembro de 2025	Corrigidos dois erros de digitação em "Novo Certificado": de " Microsoft Corporation KEK CA 2023" para " Microsoft Corporation KEK 2K CA 2023" e de " Microsoft Option ROM CA 2023" para " Microsoft Option ROM UEFI CA 2023". Novos scripts do PowerShell foram adicionados sob os títulos "Verificando o status da Inicialização Segura em toda a sua frota: a Inicialização Segura está habilitada?" e "Preparação".

Neste artigo:

• Visão geral

• Guia estratégico de implantação para profissional de TI

  • Verificando o status da Inicialização Segura em toda a sua frota: a Inicialização Segura está habilitada?
  • Como as atualizações são implantadas
  • Etapas de implantação
  • Preparação
  • Considerações sobre firmware
  • Windows em ambientes virtualizados
  • Monitoramento e implantação
  • A Implantação Automatizada auxilia
  • Métodos de implantação não cobertos por assistências automatizadas
  • Monitorando logs de eventos
  • Estratégias de implantação

• Perguntas frequentes

• Solução de problemas

• Recursos adicionais

Visão geral

Este artigo destina-se a organizações com profissionais de TI dedicados que gerenciam ativamente as atualizações em toda a frota de dispositivos. A maior parte deste artigo se concentrará nas atividades necessárias para que o departamento de TI de uma organização seja bem-sucedido na implantação dos novos certificados de Inicialização Segura. Essas atividades incluem testar firmware, monitorar atualizações de dispositivos, iniciar a implantação e diagnosticar problemas à medida que eles surgem. Vários métodos de implantação e monitoramento são apresentados. Além dessas atividades principais, oferecemos vários auxílios de implantação, incluindo a opção de optar por dispositivos cliente para participação em uma CFR (Distribuição de Recursos Controlados) especificamente para implantação de certificados.

Guia estratégico de implantação para profissionais de TI

Planeje e execute atualizações de certificado de Inicialização Segura em toda a frota de dispositivos por meio de preparação, monitoramento, implantação e correção.

Verificando o status da Inicialização Segura em toda a sua frota: a Inicialização Segura está habilitada?

A maioria dos dispositivos fabricados desde 2012 tem suporte para Inicialização Segura e são fornecidos com a Inicialização Segura habilitada. Para verificar se um dispositivo tem a Inicialização Segura habilitada, siga um destes procedimentos:

• Método GUI: Vá para Iniciar>Configurações>Privacidade & Segurança>Segurança do Windows>Segurança do Dispositivo. Em Segurança do dispositivo, a seção Inicialização segura deve indicar que a Inicialização segura está ativada.
• Método de linha de comando: Em um prompt de comando elevado no PowerShell, digite Confirm-SecureBootUEFI e pressione Enter. O comando deve retornar True indicando que a Inicialização Segura está ativada.

Em implantações em grande escala para uma frota de dispositivos, o software de gerenciamento usado pelos profissionais de TI precisará fornecer uma marca para a habilitação da Inicialização Segura.

Por exemplo, o método para marcar o estado de Inicialização Segura em dispositivos gerenciados pelo Microsoft Intune é criar e implantar um script de conformidade personalizado do Intune. As configurações de conformidade do Intune são abordadas em Usar configurações de conformidade personalizadas para dispositivos Linux e Windows com o Microsoft Intune.

Se a Inicialização Segura não estiver habilitada, você poderá ignorar as etapas de atualização abaixo, pois elas não são aplicáveis.

Como as atualizações são implantadas

Há várias maneiras de direcionar dispositivos para as atualizações de certificado da Inicialização Segura. Os detalhes da implantação, incluindo configurações e eventos, serão discutidos posteriormente neste documento. Quando você direciona um dispositivo para atualizações, uma configuração é feita no dispositivo para indicar que o dispositivo deve iniciar o processo de aplicação dos novos certificados. Uma tarefa agendada é executada no dispositivo a cada 12 horas e detecta que o dispositivo foi direcionado para as atualizações. Um esboço do que a tarefa faz é o seguinte:

1. O UEFI CA 2023 do Windows é aplicado ao DB.
2. Se o dispositivo tiver o Microsoft Corporation UEFI CA 2011 no banco de dados, a tarefa aplicará a Microsoft Option ROM UEFI CA 2023 e o Microsoft UEFI CA 2023 ao banco de dados.
3. Em seguida, a tarefa adiciona o Microsoft Corporation KEK 2K CA 2023.
4. Por fim, a tarefa agendada atualiza o gerenciador de inicialização do Windows para o assinado pelo UEFI CA 2023 do Windows. O Windows detectará que uma reinicialização é necessária antes que o gerenciador de inicialização possa ser aplicado. A atualização do gerenciador de inicialização será adiada até que a reinicialização ocorra naturalmente (por exemplo, quando atualizações mensais são aplicadas) e, em seguida, o Windows tentará aplicar novamente a atualização do gerenciador de inicialização.

Cada uma das etapas acima deve ser concluída com êxito antes que a tarefa agendada passe para a próxima etapa. Durante esse processo, logs de eventos e outros status estarão disponíveis para auxiliar no monitoramento da implantação. Mais detalhes sobre monitoramento e logs de eventos são fornecidos abaixo.

A atualização dos Certificados de Inicialização Segura permite uma atualização futura para o Gerenciador de Inicialização 2023, que é mais Seguro. Atualizações específicas no Gerenciador de Inicialização estarão disponíveis em versões futuras.

Etapas de implantação

• Preparação: Inventário e teste de dispositivos.
• Considerações sobre firmware
• Monitoramento: verifique se o monitoramento funciona e a linha de base de sua frota.
• Implantação: dispositivos de destino para atualizações, começando com pequenos subconjuntos e expandindo com base em testes bem-sucedidos.
• Correção: investigue e resolva quaisquer problemas usando logs e suporte do fornecedor.

Preparação

Inventarie hardware e firmware. Crie uma amostra representativa de dispositivos com base no fabricante do sistema, modelo do sistema, versão/data do BIOS, versão do produto da placa base, etc., e teste as atualizações nesses dispositivos antes da implantação ampla.  Esses parâmetros geralmente estão disponíveis nas informações do sistema (MSINFO32). Use os comandos do PowerShell de exemplo incluídos para marcar o status de atualização da Inicialização Segura e inventariar dispositivos em toda a organização.

Exemplo de script de coleta de dados do inventário de inicialização segura

Copie e cole este script de exemplo e modifique conforme necessário para seu ambiente: O script de coleta de dados do inventário de inicialização segura de exemplo.

Níveis de Confiança da Inicialização Segura

Nível de confiança	Significado	Ação necessária
Alta Confiança	A Microsoft validou que esta classe de dispositivo é segura para atualizações	É seguro implantar atualizações de certificado
Sob observação - mais dados necessários	A Microsoft ainda está coletando dados de diagnóstico da Distribuição de Inicialização Segura sobre esses dispositivos	Aguardar a classificação da Microsoft
Nenhum dado observado - ação necessária	A classe de dispositivo não é conhecida pela Microsoft	A empresa deve testar e planejar a distribuição
Pausado temporariamente	Problemas de compatibilidade conhecidos	Verifique se há atualização do BIOS OEM; Aguarde a Microsoft resolver
Sem suporte - limitação conhecida	Limitações de plataforma ou hardware	Documento como exceção

A primeira etapa se a Inicialização Segura estiver habilitada é marcar se há eventos pendentes que foram atualizados recentemente ou no processo de atualização dos certificados de Inicialização Segura. De interesse específico são os eventos mais recentes em 1801 e 1808. Esses eventos são descritos em detalhes em Eventos de atualização de variável do Banco de Dados e DBX de Inicialização Segura. Marque também a seção Monitoramento e implantação para saber como os eventos podem mostrar o estado das atualizações pendentes.

A próxima etapa é fazer o inventário de dispositivos em toda a organização. Colete os seguintes detalhes com comandos do PowerShell para criar uma amostra representativa:

Considerações de firmware

A implementação dos novos certificados de Arranque Seguro na sua frota de dispositivos exige que o firmware do dispositivo desempenhe um papel na conclusão da atualização. Embora a Microsoft espere que a maioria dos firmwares dos dispositivos tenham o desempenho esperado, é necessário efetuar testes cuidadosos antes de implementar os novos certificados.

Examine seu inventário de hardware e crie uma amostra pequena e representativa de dispositivos com base nos seguintes critérios exclusivos, como:

• Manufacturer
• Número do Modelo
• Versão do Firmware
• Versão da placa base OEM, etc.

Antes de implementar de forma generalizada em dispositivos da sua frota, recomendamos que teste as atualizações de certificado em dispositivos de amostra representativos (conforme definido por fatores como fabricante, modelo e versão de firmware) para garantir que as atualizações são processadas com êxito. A orientação recomendada sobre o número de dispositivos de amostra a testar para cada categoria exclusiva é igual ou superior a 4.

Isso ajudará a criar confiança em seu processo de implantação e ajudará a evitar impactos imprevistos em sua frota mais ampla.

Em alguns casos, uma atualização de firmware pode ser necessária para atualizar com êxito os certificados de Inicialização Segura. Nestes casos, recomendamos que consulte o OEM do dispositivo para ver se o firmware atualizado está disponível.

Windows em ambientes virtualizados

Para o Windows em execução num ambiente virtual, existem dois métodos para adicionar os novos certificados às variáveis de firmware do Arranque Seguro:

• O criador do ambiente virtual (AWS, Azure, Hyper-V, VMware, etc.) pode fornecer uma atualização para o ambiente e incluir os novos certificados no firmware virtualizado. Isso funcionaria para novos dispositivos virtualizados.
• Para Windows em execução de longo prazo em uma VM, as atualizações podem ser aplicadas através do Windows como qualquer outro dispositivo, se o firmware virtualizado suportar atualizações de Inicialização Segura.

Monitorização e implementação

Recomendamos que inicie a monitorização do dispositivo antes da implementação para garantir que a monitorização está a funcionar corretamente e que tem um bom senso do estado da frota com antecedência. As opções de monitorização são debatidas a seguir.

A Microsoft fornece vários métodos para implementar e monitorizar as atualizações de certificados de Arranque Seguro.

Ajudas de implementação automatizadas

A Microsoft disponibiliza duas assistências de implementação. Estas ajudas podem revelar-se úteis para ajudar na implementação dos novos certificados na sua frota. Apenas o assistente de Implementação de Funcionalidades Controladas requer dados de diagnóstico.

• Opção para atualizações cumulativas com buckets de confiança: A Microsoft pode incluir automaticamente grupos de dispositivos de alta confiança em atualizações mensais baseadas em dados de diagnóstico partilhados até à data, para beneficiar sistemas e organizações que não podem partilhar dados de diagnóstico. Este passo não requer que os dados de diagnóstico sejam ativados.

  • Para organizações e sistemas que podem partilhar dados de diagnóstico, dá à Microsoft a visibilidade e a confiança de que os dispositivos podem implementar os certificados com êxito. Mais informações sobre como habilitar dados de diagnóstico estão disponíveis em: Configure dados de diagnóstico do Windows em sua organização. Estamos a criar "grupos" para cada dispositivo exclusivo (conforme definido pelos atributos que incluem fabricante, versão da placa principal, fabricante do firmware, versão do firmware e pontos de dados adicionais). Para cada balde, estamos monitorando evidências de sucesso em vários dispositivos. Assim que tivermos visto atualizações bem-sucedidas suficientes e nenhuma falha, consideraremos o bucket de "alta confiança" e incluiremos esses dados nas atualizações cumulativas mensais. Quando as atualizações mensais são aplicadas a um dispositivo em um bucket de alta confiança, o Windows aplica automaticamente os certificados às variáveis de Inicialização Segura UEFI no firmware.
  • Os buckets de alta confiança incluem dispositivos que estão processando as atualizações corretamente. Naturalmente, nem todos os dispositivos fornecerão dados de diagnóstico e isto poderá limitar a confiança da Microsoft na capacidade de um dispositivo processar as atualizações corretamente.
  • Esta assistência está ativada por predefinição para dispositivos de alta confiança e pode ser desativada através de uma definição específica do dispositivo. Mais informações serão partilhadas em versões futuras do Windows.

• Implementação de Funcionalidades Controlada (CFR): Opte ativamente por participar em dispositivos para implementação gerida pela Microsoft se os dados de diagnóstico estiverem ativados.

  • O CFR (Controlled Feature Rollout) pode ser usado com dispositivos cliente em frotas de organizações. Isto requer que os dispositivos enviem os dados de diagnóstico obrigatórios para a Microsoft e tenham sinalizado que o dispositivo está a optar ativamente por permitir CFR no dispositivo. Os detalhes sobre como optar ativamente por participar estão descritos abaixo.

  • A Microsoft irá gerir o processo de atualização destes novos certificados em dispositivos Windows onde os dados de diagnóstico estão disponíveis e os dispositivos estão a participar na Implementação de Funcionalidade Controlada (CFR). Embora o CFR possa ajudar na implantação dos novos certificados, as organizações não poderão confiar no CFR para remediar suas frotas – isso exigirá seguir as etapas descritas neste documento na seção sobre métodos de implantação não cobertos por assistências automatizadas.

  • Limitações: Existem algumas razões pelas quais o CFR pode não funcionar no seu ambiente. Por exemplo:

    • Nenhum dado de diagnóstico está disponível ou os dados de diagnóstico não podem ser utilizados como parte da implantação do CFR.
    • Os dispositivos não estão em versões de cliente suportadas do Windows 11 e Windows 10 com atualizações de segurança alargadas (ESU).

Métodos de implementação não abrangidos pelas assistências automáticas

Escolha o método que se adapte ao seu ambiente. Evite misturar métodos no mesmo dispositivo:

• Chaves do Registro: controle a implantação e monitore os resultados.
  Há várias chaves do Registro disponíveis para controlar o comportamento da implantação dos certificados e para monitorar os resultados. Além disso, existem duas chaves para optar ativamente por participar e recusar as ajudas à implementação descritas acima. Para obter mais informações sobre as chaves do Registro, consulte Chave do Registro Atualizações para Inicialização Segura - dispositivos Windows com atualizações gerenciadas por TI.

• Política de Grupo Objects (GPO): Gerir definições; monitorizar através do registo e registos de eventos.
  A Microsoft fornecerá suporte para a gestão das atualizações do Arranque Seguro através do Política de Grupo numa atualização futura. Tenha em atenção que, uma vez que Política de Grupo se destina a definições, a monitorização do status do dispositivo terá de ser feita utilizando métodos alternativos, incluindo a monitorização de chaves do registo e entradas do registo de eventos.

• WinCS (Sistema de Configuração do Windows) CLI: use ferramentas de linha de comando para clientes associados a um domínio.
  Em alternativa, os administradores de domínios podem utilizar o Sistema de Configuração do Windows (WinCS) incluído nas atualizações do SO Windows para implementar as atualizações do Arranque Seguro em clientes e servidores Windows associados a domínios. Consiste numa série de utilitários de linha de comandos (um executável tradicional e um módulo PowerShell) para consultar e aplicar configurações de Arranque Seguro localmente a uma máquina. Para saber mais, confira os seguintes artigos:

  • APIs do Sistema de configuração do Windows (WinCS) para Inicialização Segura
  • Exemplo de Guia de Automação E2E para Inicialização Segura

• Microsoft Intune/Gerenciador de Configurações: Implemente scripts do PowerShell. Um Provedor de Serviços de Configuração (CSP) será fornecido em uma atualização futura para permitir a implantação usando Intune.

Monitorando logs de eventos

Dois novos eventos estão sendo fornecidos para ajudar na implantação das atualizações de certificado de Inicialização Segura. Estes eventos são descritos em detalhe nos eventos de atualização das variáveis DB e DBX do Arranque Seguro:

• ID do evento: 1801
  Este evento é um evento de erro que indica que os certificados atualizados não foram aplicados ao dispositivo. Este evento fornece alguns detalhes específicos do dispositivo, incluindo atributos do dispositivo, que ajudarão a correlacionar quais os dispositivos que ainda precisam de atualização.
• ID do Evento: 1808
  Este evento é um evento informativo que indica que o dispositivo tem os novos certificados de Arranque Seguro necessários aplicados ao firmware do dispositivo.

Estratégias de implementação

Para minimizar o risco, implemente as atualizações do Arranque Seguro por fases, em vez de todas de uma só vez. Comece com um pequeno subconjunto de dispositivos, valide os resultados e, em seguida, expanda para grupos adicionais. Sugerimos que comece pelos subconjuntos de dispositivos e, à medida que for ganhando confiança nessas implementações, adicione subconjuntos de dispositivos adicionais. Vários fatores podem ser usados para determinar o que entra em um subconjunto, incluindo resultados de teste em dispositivos de amostra e estrutura organizacional, etc.

A decisão sobre quais dispositivos você implanta é sua. Algumas estratégias possíveis estão listadas aqui.

• Grande frota de dispositivos: comece confiando nas assistências descritas acima para os dispositivos mais comuns que você gerencia. Paralelamente, concentre-se nos dispositivos menos comuns geridos pela sua organização. Teste pequenos dispositivos de amostra e, se o teste for bem-sucedido, implante-os no restante dos dispositivos do mesmo tipo. Se o teste produzir problemas, investigue a causa do problema e determine as etapas de correção. Você também pode considerar classes de dispositivos que têm maior valor em sua frota e começar a testar e implantar para garantir que esses dispositivos tenham proteção atualizada com antecedência.
• Frota pequena, grande variedade: Se a frota que você está gerenciando contiver uma grande variedade de máquinas em que o teste de dispositivos individuais seria proibitivo, considere confiar fortemente nas duas assistências descritas acima, especialmente para dispositivos que provavelmente serão dispositivos comuns no mercado. Primeiro, concentre-se nos dispositivos que são críticos para a operação diária, teste e, em seguida, implante. Continue descendo a lista de dispositivos de alta prioridade, testando e implantando enquanto monitora a frota para confirmar se as assistências estão ajudando com o restante dos dispositivos.

Observações

• Preste atenção aos dispositivos mais antigos, especialmente aos que não são mais compatíveis com o fabricante. Embora o firmware deva executar as operações de atualização corretamente, alguns podem não funcionar. Nos casos em que o firmware não funciona corretamente e o dispositivo não é mais compatível, considere substituir o dispositivo para garantir a proteção de Inicialização Segura em toda a sua frota.
• Os novos dispositivos fabricados nos últimos 1 a 2 anos podem já ter os certificados atualizados em vigor, mas podem não ter o gerenciador de inicialização assinado do UEFI CA 2023 do Windows aplicado ao sistema. Aplicar esse gerenciador de inicialização é uma última etapa crítica na implantação de cada dispositivo.
• Uma vez que um dispositivo tenha sido selecionado para atualizações, pode levar algum tempo até que as atualizações sejam concluídas. Estime 48 horas e uma ou mais reinicializações para que os certificados sejam aplicados.

Perguntas frequentes

Para perguntas frequentes, consulte o artigo Perguntas frequentes sobre Inicialização Segura .

Solução de problemas

Consulte o Documento de solução de problemas para obter mais detalhes.

Recursos adicionais

• Página de aterrissagem da distribuição do certificado de Inicialização Segura
• Perguntas frequentes sobre Inicialização Segura
• Dispositivos Windows para empresas e organizações com atualizações gerenciadas por TI
• Dispositivos Windows para usuários domésticos, empresas e escolas com atualizações gerenciadas pela Microsoft
• Windows 11 e Inicialização Segura
• Eventos de atualização de variável DB e DBX de Inicialização Segura
• Diretrizes para criação e gerenciamento de chaves de Inicialização Segura
• Inicialização Segura
• Atualizando chaves de inicialização segura
• Diretrizes de implantação corporativa para CVE-2023-24932
• Como gerenciar as revogações do Gerenciador de Inicialização do Windows das alterações de Inicialização Segura associadas à CVE-2023-24932