Примечание
- Дата первоначальной публикации: 19 февраля 2026 г.
- Идентификатор базы знаний: 5080914
Примечание
В этой статье содержатся рекомендации по следующим вопросам:
Администраторы Windows 365, управляющие облачными компьютерами.
Организации, использующие облачные компьютеры с поддержкой безопасной загрузки для развертывания Windows 365.
Организации, использующие настраиваемые образы для развертывания Windows 365.
В этой статье:
Введение
Безопасная загрузка — это функция безопасности встроенного ПО UEFI, которая помогает гарантировать, что во время загрузки устройства запускается только надежное программное обеспечение с цифровой подписью. Срок действия сертификатов безопасной загрузки Майкрософт, выпущенных в 2011 г., истекает в июне 2026 г. Без обновленных сертификатов 2023 года устройства больше не будут получать новые средства защиты безопасной загрузки и диспетчера загрузки или средства устранения недавно обнаруженных уязвимостей на уровне загрузки.
Все облачные компьютеры с поддержкой безопасной загрузки, подготовленные в службе Windows 365, и пользовательские образы, используемые для их подготовки, необходимо обновить до сертификатов 2023 до истечения срока действия, чтобы сохранить защиту. Узнайте, когда истекает срок действия сертификатов безопасной загрузки на устройствах с Windows.
Применяется ли это к моей среде Windows 365?
| Сценарий | Безопасная загрузка активна? | Требуется действие |
|---|---|---|
| Облачные компьютеры | ||
| Облачный компьютер с включенной безопасной загрузкой | Да | Обновление сертификатов на облачном компьютере |
| Облачный компьютер с отключенной безопасной загрузкой | Нет | Никаких действий не требуется |
| Изображения | ||
| Изображение коллекции вычислений Azure с включенной безопасной загрузкой | Да | Обновление сертификатов в исходном образе перед обобщением |
| Изображение коллекции вычислений Azure без доверенного запуска | Нет | Применение обновлений на облачном компьютере после подготовки |
| Управляемый образ (не поддерживает доверенный запуск) | Нет | Применение обновлений на облачном компьютере после подготовки |
Полную справочную информацию см. в статье "Обновления сертификатов безопасной загрузки: руководство для ИТ-специалистов и организаций".
Инвентаризация и мониторинг
Прежде чем предпринимать какие-либо действия, проведите инвентаризацию среды, чтобы определить устройства, требующие обновления. Мониторинг необходим для подтверждения того, что сертификаты были применены до крайнего срока в июне 2026 года, даже если вы используете автоматические методы развертывания. Ниже приведены варианты определения необходимости принятия мер.
Вариант 1. Исправления Microsoft Intune
Для облачных компьютеров, зарегистрированных в Microsoft Intune, можно развернуть сценарий обнаружения с помощью исправлений Intune (упреждающих исправлений) для автоматического сбора состояния сертификата безопасной загрузки во всем парке. Сценарий запускается автоматически на каждом устройстве и сообщает о состоянии безопасной загрузки, ходе обновления сертификата и сведениях об устройстве порталу Intune — на устройства не вносятся никакие изменения. Результаты можно просмотреть и экспортировать в CSV непосредственно из Центра администрирования Intune для анализа в масштабах всего парка.
Пошаговые инструкции по развертыванию сценария обнаружения см. в разделе Мониторинг состояния сертификата безопасной загрузки с помощью исправлений Microsoft Intune.
Вариант 2. Отчет о состоянии безопасной загрузки Автоисправления Windows
Для облачных компьютеров, зарегистрированных с помощью автоматического исправления Windows, перейдите вЦентр >администрирования IntuneОтчеты >Автоматическое исправление>Windows Исправления> WindowsВкладка> "Отчеты" Состояние безопасной загрузки. См. отчет о состоянии безопасной загрузки в автоматическом исправлении Windows.
Примечание. Чтобы использовать автоматическое исправление Windows с Windows 365, облачные компьютеры должны быть зарегистрированы в службе автоматического исправления Windows. См. статью "Автоматическое исправление Windows" для рабочих нагрузок Windows 365 Корпоративная.
Вариант 3: Разделы реестра для мониторинга парка техники
Используйте существующие средства управления устройствами, чтобы запросить эти значения реестра во всем своем парке.
| Путь реестра | Клавиша | Цель |
|---|---|---|
| HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet \Control\SecureBoot\Servicing |
УЕФИКА2023Статус | Текущее состояние развертывания |
| HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet \Control\SecureBoot\Servicing |
UEFICA2023Error | Указывает на ошибки (не должно быть) |
| HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet \Control\SecureBoot\Servicing |
UEFICA2023ErrorEvent | Обозначает идентификатор события (не должен существовать) |
| HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet \Control\SecureBoot |
Доступные обновления | Биты ожидающего обновления |
Подробные сведения о разделе реестра см. в разделе "Обновления разделов реестра для безопасной загрузки".
Вариант 4. Мониторинг журнала событий
Используйте существующие средства управления устройствами для сбора и отслеживания этих идентификаторов событий из журнала системных событий во всем вашем парке.
| Идентификатор события | Расположение. | Значение |
|---|---|---|
| 1808 | Система | Сертификаты успешно применены |
| 1801 | Система | Состояние обновления или сведения об ошибке |
Полный список сведений о событии см . в разделе События обновления переменных DB безопасной загрузки и DBX.
Вариант 5. Скрипт инвентаризации PowerShell
Запустите образец сценария сбора данных инвентаризации безопасной загрузки Майкрософт для проверки состояния обновления сертификата безопасной загрузки. Скрипт собирает несколько точек данных, включая состояние безопасной загрузки, состояние обновления UEFI CA 2023, версию встроенного ПО и действия в журнале событий.
Развертывание
Важно
Независимо от выбранного варианта развертывания мы рекомендуем отслеживать парк устройств, чтобы убедиться, что сертификаты успешно применены до крайнего срока в июне 2026 года. Сведения о пользовательских изображениях см. в разделе "Рекомендации по выбору изображений".
Вариант 1. Автоматическое обновление из клиентского компонента Центра обновления Windows (устройства с высоким уровнем достоверности)
Корпорация Майкрософт автоматически обновляет устройства с помощью ежемесячных обновлений Windows, когда достаточная телеметрия подтверждает успешное развертывание на аналогичном оборудовании.
- Состояние: включено по умолчанию для устройств с высоким уровнем конфиденциальности
- Никаких действий не требуется, если вы не хотите отказаться
| Реестр | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot |
|---|---|
| Клавиша | HighConfidenceOptOut = 1 для отказа |
| Групповая политика | Конфигурация> компьютераАдминистративные шаблоны>Компоненты> WindowsБезопасная загрузка>Автоматическое развертывание сертификатов в разделе "Обновления>" Установите значение "Отключено", чтобы отказаться |
Примечание
Рекомендация: Даже при включенных автоматических обновлениях отслеживайте применение сертификатов на облачных компьютерах. Не все устройства могут соответствовать критериям для автоматического развертывания с высоким уровнем достоверности.
Дополнительные сведения см. в статье "Автоматические развертывания".
Вариант 2. Развертывание IT-Initiated
Обновления сертификатов можно запускать вручную для немедленного или контролируемого развертывания.
| Метод | Документация |
|---|---|
| Microsoft Intune | Метод Microsoft Intune |
| Групповая политика | Метод GPO |
| Разделы реестра | Метод раздела реестра |
| WinCS CLI | API WinCS |
Примечание
- Не используйте одновременно инициируемые ИТ-специалистами методы развертывания (например, Intune и GPO) на одном устройстве — они управляют одними и теми же разделами реестра и могут конфликтовать.
- Чтобы сертификаты вступили в силу в полном объеме, подождите примерно 48 часов и один или несколько перезапусков.
Рекомендации по выбору изображения
Пользовательские образы полностью управляются вашей организацией. Вы несете ответственность за применение обновлений сертификата безопасной загрузки к пользовательскому образу и его повторную отправку перед использованием для подготовки.
Применение обновлений сертификата безопасной загрузки к исходному образу поддерживается только для образов Галереи вычислений Azure (предварительная версия), которые поддерживают доверенный запуск и безопасную загрузку. Управляемые образы не поддерживают безопасную загрузку, поэтому обновления сертификатов нельзя применить на уровне образа. Для облачных компьютеров, подготовленных из управляемых образов, примените обновления непосредственно на облачном компьютере с помощью одного из методов развертывания, описанных выше.
Прежде чем обобщить новое настраиваемое изображение, убедитесь, что сертификаты обновляются:
Примечание
Get-ItemProperty "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing" | Select-Object UEFICA2023Status
Известные проблемы
Раздел реестра для обслуживания не существует
| Проблема | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing пути не существует |
|---|---|
| Причина | На устройстве не инициированы обновления сертификатов |
| Решение | Дождитесь автоматического развертывания с помощью клиентского компонента Центра обновления Windows или вручную с помощью одного из указанных выше способов развертывания, инициируемых ИТ-отделом |
Состояние отображается как "Выполняется" в течение длительного периода времени
| Проблема | UEFICA2023Status остается "В процессе" через несколько дней |
|---|---|
| Причина | Для завершения обновления может потребоваться перезапуск устройства |
| Решение | Перезагрузите облачный компьютер и повторите проверку через 15 минут. Если проблема сохраняется, см. инструкции по устранению неполадок в разделе События обновления компонентов DB безопасной загрузки и DBX |
UEFICA2023Существует раздел реестра ошибок
| Проблема | UEFICA2023Раздел реестра ошибок присутствует |
|---|---|
| Причина | Во время развертывания сертификата произошла ошибка |
| Решение | Подробные сведения см. в журнале системных событий. Инструкции по устранению неполадок см. в разделах События обновления переменных DB безопасной загрузки и DBX |