Aplicarea setărilor de actualizare a certificatului Secure Boot utilizând direcționarea bazată pe model în Microsoft Intune

Se aplică la
Windows 10 ESU Windows 10 Enterprise LTSC 2021 Windows 11 Home and Pro, version 21H2 Windows 11 Enterprise Multi-Session, version 21H2 Windows 11 Enterprise and Education, version 21H2 Windows 11 IoT Enterprise, version 21H2 Windows 11 Home and Pro, version 22H2 Windows 11 Enterprise Multi-Session, version 22H2 Windows 11 Enterprise and Education, version 22H2 Windows 11 IoT Enterprise, version 22H2 Windows 11 SE, version 23H2 Windows 11 Home and Pro, version 23H2 Windows 11 Enterprise and Education, version 23H2 Windows 11 Enterprise Multi-Session, version 23H2 Windows 11 SE, version 24H2 Windows 11 Enterprise and Education, version 24H2 Windows 11 Enterprise Multi-Session, version 24H2 Windows 11 Home and Pro, version 24H2 Windows 11 IoT Enterprise, version 24H2 Windows 11 version 25H2, all editions

Notă

  • Data originală de publicare: Martie 10, 2026
  • ID KB: 5084490

Acest articol conține instrucțiuni pentru

  • Profesioniștii IT și administratorii Intune care gestionează dispozitive Windows, implementează controale de actualizare a certificatelor de pornire sigură prin politicile catalogului de setări și supraveghează fluxurile de lucru de actualizare.
  • Echipele care trebuie să direcționeze implementările către modele hardware specifice, utilizând filtre de atribuire.

În acest articol:

Introducere

Aceste instrucțiuni ajută administratorii IT să activeze procesul de actualizare a certificatului de pornire sigură utilizând politicile de catalog de setări Microsoft Intune. Ea descrie cum se configurează setarea Secure Boot care activează procesul de actualizare a certificatelor și cum se implementează acea configurație. De asemenea, evidențiază modul în care se utilizează filtrele de atribuire bazate pe model pentru a accepta implementări controlate, pe etape pe hardware-ul care a fost deja validat pentru a gestiona cu succes actualizarea.

Cerințe preliminare

Eligibilitatea pentru actualizarea certificatului de pornire sigură este determinată de furnizorul de soluții cloud al politicii de pornire sigură și de firmware-ul dispozitivului. Acest domeniu nu se aliniază întotdeauna cu cronologiile de service (adică actualizări) sau cu cerințele de înscriere la Intune Windows.

Intune și cerințele preliminare pentru politică

  • Conectați-vă cu un cont care are permisiunile de a crea filtre și de a crea/atribui politici Catalog setări.
  • Dispozitivele trebuie înscrise în Intune (filtrele de atribuire se aplică doar pentru dispozitivele gestionate).

Cerințe preliminare pentru eligibilitatea Secure Boot

Pasul 1 - Configurați setările de actualizare a certificatului Secure Boot în Intune (catalogul Setări)

În acest pas, creați un profil de configurare a dispozitivului din catalogul Setări Windows în Microsoft Intune. De asemenea, configurați setările Secure Boot care activează procesul de actualizare a certificatului Secure Boot.

Ce veți crea

Un profil de configurare a dispozitivelor din catalogul Setări Windows care activează Activare Actualizări certificate de pornire sigură:

Crearea profilului din catalogul Setări

  1. Conectați-vă la centrul de administrare Microsoft Intune.

  2. Accesați Configurație pentru gestionarea dispozitivelor>>.

  3. Selectați Creare>politică nouă.

  4. În Crearea unui profil:

  5. Platformă: Windows 10 și versiuni ulterioare

  6. Tip de profil: Catalog setări

  7. Selectați Creați.

  8. Denumiți profilul (de exemplu, Actualizare certificat de pornire sigură), adăugați o descriere opțională și selectați Următorul.

  9. În Setări de configurare, selectați Adăugare setări.

  10. În selectorul de setări, căutați Bootare sigură și selectați-o sub Răsfoire după categorie.

  11. Adăugați setarea Activare Actualizări certificate de pornire sigură din cele trei prezentate în categoria Pornire sigură la profil.

    Notă

    Puteți configura celelalte setări Secure Boot din această categorie în același mod, dacă scenariul dvs. de implementare le cere.

  12. Configurați valoarea setării la Activat.

  13. Selectați Următorul pentru a continua cu temele. (Veți aplica un filtru în pasul 3).

Pasul 2 - Creați un filtru de atribuiri pentru direcționare bazată pe model

În continuare, creați un filtru de atribuire Intune care vizează anumite modele de dispozitive. Direcționarea bazată pe model vă permite să stabiliți domeniul actualizărilor certificatelor de pornire sigură la modelele hardware selectate. Această implementare controlată și pe etape nu necesită grupuri Microsoft Entra ID suplimentare.

De ce este recomandată direcționarea bazată pe model pentru implementarea certificatului de pornire sigură

  • Variabilitatea firmware-ului - producătorii OEM implementează bootarea sigură în mod diferit, astfel încât stabilirea domeniului la nivel de model reduce comportamentul neașteptat.
  • Validare prealabilă - Puteți valida actualizările de certificat pe un set de hardware cunoscut ca fiind bun înainte de implementarea generală.

Ce veți crea

Un filtru de atribuire pentru dispozitive gestionate care vizează (sau exclude) anumite modele de dispozitive.

Creați filtrul pentru teme

  1. Conectați-vă la centrul de administrare Microsoft Intune.

  2. Accesați Administrarea entităților> găzduite Filtre > deatribuireCreare.

  3. Selectați Dispozitive gestionate.

  4. În Noțiuni de bază, setați:

    • Nume filtru (descriptiv).
    • Descriere (opțional, dar recomandat).
    • Platformă: Windows 10 și versiuni ulterioare.

  5. Selectați Următorul.

  6. În Reguli, alegeți o abordare:

    • Generator de reguli (recomandat pentru majoritatea administratorilor)
    • Sintaxa regulilor (editarea manuală a expresiilor)

Crearea unei reguli bazate pe model (Generator de reguli)

  1. În Generatorul de reguli, selectați proprietatea de model .
  2. Alegeți un operator.
  3. Introduceți șirurile de modele pe care doriți să le potriviți.
  4. Selectați Adăugare expresie pentru a o adăuga la regulă.
  5. Dacă este necesar, utilizați Și/Sau pentru a extinde regula la modele suplimentare sau pentru a adăuga criterii suplimentare bazate pe alte proprietăți filtrabile posibile.

Sfat

Utilizați dispozitivele de previzualizare pentru a valida faptul că filtrul se potrivește cu setul dorit. Lista de previzualizare acceptă căutarea după numele dispozitivului, versiunea sistemului de operare, modelul dispozitivului și producătorul dispozitivului.

Previzualizarea și crearea filtrului

  1. Selectați Previzualizați dispozitivele pentru a confirma ce dispozitive înscrise se potrivesc.
  2. Selectați Următorul.
  3. (Opțional) Atribuiți etichete de domeniu dacă le utilizați.
  4. Selectați Următorul.
  5. În Revizuire + creare, selectați Creare.

Pasul 3 - Atribuirea politicii utilizând filtrul de atribuiri

În final, atribuiți profilul din catalogul de setări unui dispozitiv sau unui grup de utilizatori și aplicați filtrul de atribuire. Aceasta determină ce dispozitive înscrise primesc și procesează setările de actualizare ale certificatului de pornire sigură în timpul evaluării politicii.

Ce veți face

Veți atribui profilul de catalog Setări pornire sigură de la pasul 1 unui grup, apoi veți aplica filtrul de la pasul 2 în modul Includere sau excludere .

Aplicați filtrul pentru acasă

  1. În centrul de administrare Microsoft Intune, navigați la Configurație pentru dispozitive>și gestionare dispozitive>.

  2. Selectați profilul din catalogul de setări pe care l-ați creat la pasul 1 de mai sus.

  3. DeschidereEditare atribuiri>de proprietăți>.

  4. Atribuiți profilul grupului de utilizatori sau grupului de dispozitive corespunzător.

    Sfat

    Dacă nu aveți alte criterii pentru a limita direcționarea, atribuiți această politică grupului virtual Toate dispozitivele . Utilizați filtrul de atribuire a modelului de dispozitiv de la pasul 2 pentru a restrânge atribuirea. Această combinație este suficientă pentru majoritatea implementărilor. Grupul virtual Toate dispozitivele este încorporat, nu necesită întreținere de grup și este optimizat pentru scalare. Apoi, filtrul de atribuire restrânge aplicabilitatea la arhivarea dispozitivului pe baza proprietăților acestuia, fără a necesita grupuri Microsoft Entra suplimentare.

  5. Selectați Editare filtru.

  6. Alegeți una dintre următoarele:

    • Includerea dispozitivelor filtrate în atribuire: doar dispozitivele care se potrivesc filtrului primesc politica.
    • Excluderea dispozitivelor filtrate din atribuire: dispozitivele care corespund filtrului nu primesc politica.

  7. Selectați filtrul existent de teme pentru acasă de la pasul 2 și alegeți Selectați.

  8. Selectați Revizuire + salvare>Salvare.

Înțelegerea comportamentului dispozitivului

  • Intune evaluează filtrul atunci când dispozitivul se înscrie, de fiecare dată când se arhivează și de fiecare dată când politica atribuită este reevaluată.
  • Activarea setării Bootare sigură nu garantează aplicarea imediată a certificatului. Pentru setarea Bootare sigură care declanșează procesul de actualizare, activitatea Pornire sigură Windows rulează la fiecare 12 ore. Unele actualizări pot necesita o repornire.

Întrebări frecvente

Cât de des procesează dispozitivele setarea "Activare actualizări certificate de pornire sigură"?

Activitatea de pornire sigură Windows care procesează setarea rulează la fiecare 12 ore.

Ar trebui să mă aștept la reporniri?

Inițierea actualizării prin Intune nu provoacă o repornire, deși poate fi necesară o repornire pentru a finaliza actualizarea.

Pot să readuc certificatele noi la versiunea anterioară sau să le elimin după ce se aplică?

După ce certificatele se aplică la firmware, Windows nu le poate elimina. Golirea certificatelor trebuie efectuată prin interfața firmware.

De ce ar trebui să fac acest lucru înainte de iunie 2026?

Certificatele mai vechi încep să expire în iunie 2026. Dispozitivele care nu au primit noile certificate 2023 vor pierde capacitatea de a primi noi protecții de securitate pentru pornirea timpurie (de exemplu, actualizări de securitate și actualizări de revocare Secure Boot).

Resurse