Notă
- Data originală de publicare: februarie 19, 2026
- ID KB: 5080914
Notă
Acest articol conține instrucțiuni pentru:
Administratorii Windows 365 care gestionează PC-uri cloud.
Organizațiile care utilizează PC-uri cloud cu bootare sigură pentru implementările Windows 365.
Organizații care utilizează imagini particularizate pentru implementările Windows 365.
În acest articol:
Introducere
Bootarea sigură este o caracteristică de securitate de firmware UEFI care vă ajută să vă asigurați că doar software-ul de încredere, semnat digital, rulează în timpul unei secvențe de bootare a dispozitivului. Certificatele Microsoft Secure Boot emise în 2011 încep să expire în iunie 2026. Fără certificatele 2023 actualizate, dispozitivele nu vor mai primi noi protecții Bootare securizată și Manager de boot sau atenuări pentru vulnerabilitățile la nivel de boot nou descoperite.
Toate PC-urile cloud cu bootare securizată asigurată în serviciul Windows 365 și imaginile particularizate utilizate pentru a le asigura accesul trebuie actualizate la certificatele 2023 înainte de expirare pentru a rămâne protejate. Vedeți când expiră certificatele Secure Boot pe dispozitive Windows.
Acest lucru se aplică mediului meu Windows 365?
| Scenariu | Bootare securizată activă? | Acțiune necesară |
|---|---|---|
| PC-uri în cloud | ||
| PC în cloud cu bootare sigură activată | Da | Actualizați certificatele pe PC-ul în cloud |
| PC în cloud cu bootarea sigură dezactivată | Nu | Nicio acțiune necesară |
| Imagini | ||
| Imagine Galerie de calcul Azure cu pornirea sigură activată | Da | Actualizați certificatele din imaginea sursă înainte de generalizare |
| Imagine Galerie de calcul Azure fără lansare de încredere | Nu | Aplicați actualizări în Cloud PC după asigurarea accesului |
| Imagine gestionată (nu acceptă lansarea de încredere) | Nu | Aplicați actualizări în Cloud PC după asigurarea accesului |
Pentru informații generale, consultați Actualizări ale certificatului Secure Boot: Îndrumare pentru profesioniști IT și organizații.
Inventariere și monitorizare
Înainte de a lua măsuri, inventariați mediul pentru a identifica dispozitivele care necesită actualizări. Monitorizarea este esențială pentru a confirma că certificatele sunt aplicate înainte de termenul limită din iunie 2026, chiar dacă vă bazați pe metode de implementare automată. Mai jos sunt opțiuni pentru a determina dacă trebuie luate măsuri.
Opțiunea 1: Remedieri Microsoft Intune
Pentru PC-urile în cloud înscrise în Microsoft Intune, puteți implementa un script de detectare utilizând remedieri Intune (remedieri proactive) pentru a colecta automat starea certificatului de pornire sigură în flota dvs. Scriptul rulează silențios pe fiecare dispozitiv și raportează starea pornirii sigure, progresul actualizării certificatului și detaliile dispozitivului înapoi la portalul Intune. Nu se efectuează modificări la dispozitive. Rezultatele pot fi vizualizate și exportate în CSV direct din centrul de administrare Intune pentru analiză la nivel de flotă.
Pentru instrucțiuni pas cu pas despre implementarea scriptului de detectare, consultați Monitorizarea stării certificatului de pornire sigură cu remedieri Microsoft Intune.
Opțiunea 2: Raport stare pornire securizată Windows Autopatch
Pentru PC-urile în cloud înregistrate cu Windows Autopatch, accesați centrul de administrare> IntuneRapoarte>Windows Autopatch> WindowsActualizări> de calitate WindowsFila>Rapoarte Starea de pornire securizată. Consultați raportul de stare a pornirii sigure în Windows Autopatch.
Notă: pentru a utiliza Windows Autopatch cu Windows 365, PC-urile cloud trebuie să fie înregistrate cu serviciul Windows Autopatch. Consultați Windows Autopatch pe volumul de lucru Windows 365 Enterprise.
Opțiunea 3: Chei de registry pentru monitorizarea flotei
Utilizați instrumentele de gestionare a dispozitivelor existente pentru a interoga aceste valori de registry în flota dvs.
| Cale de registry | Tastă | Scop |
|---|---|---|
| HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet \Control\SecureBoot\Servicing |
UEFICA2023Status | Starea implementării curente |
| HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet \Control\SecureBoot\Servicing |
Eroare UEFICA2023 | Indică erori (nu ar trebui să existe) |
| HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet \Control\SecureBoot\Servicing |
UEFICA2023ErrorEvent | Indică ID-ul de eveniment (nu ar trebui să existe) |
| HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet \Control\SecureBoot |
Actualizări disponibile | Biți de actualizare în așteptare |
Pentru detalii complete despre cheia de registry, consultați Actualizări ale cheii de registry pentru pornirea sigură.
Opțiunea 4: Monitorizarea jurnalului de evenimente
Utilizați instrumentele de gestionare a dispozitivelor existente pentru a colecta și monitoriza aceste ID-uri de evenimente din jurnalul de evenimente de sistem din întreaga flotă.
| ID eveniment | Locație | Semnificație |
|---|---|---|
| 1808 | Sistem | Certificate applied successfully |
| 1801 | Sistem | Detalii despre starea actualizării sau eroare |
Pentru o listă completă a detaliilor evenimentului, consultați Evenimente de actualizare variabilă DB și DBX Secure Boot.
Opțiunea 5: Script de inventar PowerShell
Rulați scriptul Microsoft Secure Boot Inventory Data Collection pentru a verifica starea de actualizare a certificatului Secure Boot. Scriptul colectează mai multe puncte de date, inclusiv starea pornirii sigure, starea actualizării UEFI CA 2023, versiunea de firmware și activitatea jurnalului de evenimente.
Implementare
Important
Indiferent de opțiunea de implementare pe care o alegeți, vă recomandăm să monitorizați flota de dispozitive pentru a confirma că certificatele sunt aplicate cu succes înainte de termenul limită din iunie 2026. Pentru imagini particularizate, consultați Considerații privind imaginile particularizate.
Opțiunea 1: Actualizări automate de la Windows Update (dispozitive cu încredere ridicată)
Microsoft actualizează automat dispozitivele prin intermediul actualizărilor lunare Windows atunci când o telemetrie suficientă confirmă implementarea cu succes pe configurații hardware similare.
- Stare: Activat implicit pentru dispozitive cu încredere ridicată
- Nu este necesară nicio acțiune decât dacă doriți să renunțați
| Registry | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot |
|---|---|
| Tastă | HighConfidenceOptOut = 1 pentru a renunța |
| Politica de grup | Configurație> computerȘabloane> administrativeComponente> WindowsBootare sigură>Implementarea automată a certificatelor prin Actualizări> Setați la Dezactivat pentru a renunța |
Notă
Recomandare: Chiar și cu actualizările automate activate, monitorizați PC-urile în cloud pentru a verifica dacă se aplică certificatele. Nu toate dispozitivele se pot califica pentru implementarea automată de încredere ridicată.
Pentru mai multe informații, consultați Asistență pentru implementarea automată.
Opțiunea 2: Implementarea IT-Initiated
Declanșați manual actualizările certificatelor pentru lansare imediată sau controlată.
| Metodă | Documentație |
|---|---|
| Microsoft Intune | Metoda Microsoft Intune |
| Politica de grup | Metoda GPO |
| Chei de registry | Metoda cheii de registry |
| WinCS CLI | API-uri WinCS |
Notă
- Nu amestecați metodele de implementare inițiate de departamentul IT (de exemplu, Intune și GPO) pe același dispozitiv - ele controlează aceleași chei de registry și pot intra în conflict.
- Permiteți aproximativ 48 de ore și una sau mai multe reporniri pentru ca certificatele să se aplice complet.
Considerații privind imaginile particularizate
Imaginile particularizate sunt gestionate în întregime de organizația dvs. Sunteți responsabil pentru aplicarea actualizărilor certificatului Secure Boot la imaginea particularizată și reîncărcarea acesteia înainte de a o utiliza pentru asigurarea accesului.
Aplicarea actualizărilor certificatului de pornire sigură la imaginea sursă este acceptată doar cu imaginile Galerie de calcul Azure (previzualizare), care acceptă lansarea de încredere și bootarea sigură. Imaginile gestionate nu acceptă bootarea sigură, astfel că actualizările certificatelor nu pot fi aplicate la nivel de imagine. Pentru PC-urile în cloud cărora li s-a asigurat accesul din imagini gestionate, aplicați actualizările direct pe PC-ul în cloud, utilizând una dintre metodele de implementare de mai sus.
Înainte de a generaliza o nouă imagine particularizată, verificați dacă certificatele sunt actualizate:
Notă
Get-ItemProperty "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing" | Select-Object UEFICA2023Status
Probleme cunoscute
Cheia de registry de service nu există
| Simptom | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing cale nu există |
|---|---|
| Cauza | Actualizările certificatelor nu au fost inițiate pe dispozitiv |
| Rezolvarea | Așteptați implementarea automată prin Windows Update sau inițiați manual utilizând una dintre metodele de implementare inițiate de departamentul IT de mai sus |
Starea afișează "În curs" pentru o perioadă extinsă
| Simptom | UEFICA2023Status rămâne "În curs" după mai multe zile |
|---|---|
| Cauza | Dispozitivul poate necesita o repornire pentru a finaliza procesul de actualizare |
| Rezolvarea | Reporniți PC-ul în cloud și verificați starea din nou după 15 minute. Dacă problema persistă, consultați Evenimente de actualizare a variabilelor DB și DBX Secure Boot pentru instrucțiuni de depanare |
Cheia de registry UEFICA2023Error există
| Simptom | Cheia de registry UEFICA2023Error este prezentă |
|---|---|
| Cauza | A apărut o eroare în timpul implementării certificatului |
| Rezolvarea | Verificați jurnalul de evenimente de sistem pentru detalii. Vedeți evenimentele de actualizare a variabilelor DB și DBX Secure Boot pentru instrucțiuni de depanare |