Применение параметров обновления сертификата безопасной загрузки с использованием определения цели на основе модели в Microsoft Intune

Применяется к
Windows 10 ESU Windows 10 Enterprise LTSC 2021 Windows 11 Home and Pro, version 21H2 Windows 11 Enterprise Multi-Session, version 21H2 Windows 11 Enterprise and Education, version 21H2 Windows 11 IoT Enterprise, version 21H2 Windows 11 Home and Pro, version 22H2 Windows 11 Enterprise Multi-Session, version 22H2 Windows 11 Enterprise and Education, version 22H2 Windows 11 IoT Enterprise, version 22H2 Windows 11 SE, version 23H2 Windows 11 Home and Pro, version 23H2 Windows 11 Enterprise and Education, version 23H2 Windows 11 Enterprise Multi-Session, version 23H2 Windows 11 SE, version 24H2 Windows 11 Enterprise and Education, version 24H2 Windows 11 Enterprise Multi-Session, version 24H2 Windows 11 Home and Pro, version 24H2 Windows 11 IoT Enterprise, version 24H2 Windows 11 version 25H2, all editions

Примечание

  • Дата первоначальной публикации: 10 марта 2026 г.
  • Идентификатор базы знаний: 5084490

В этой статье содержатся рекомендации по следующим вопросам:

  • ИТ-специалисты и администраторы Intune, которые управляют устройствами с Windows, развертывают элементы управления обновлением сертификата безопасной загрузки с помощью политик каталога параметров и контролируют рабочие процессы обновления.
  • Команды, которым необходимо выбрать целевые развертывания для конкретных моделей оборудования с помощью фильтров назначений.

В этой статье:

Введение

Это руководство помогает ИТ-администраторам включить процесс обновления сертификата безопасной загрузки с помощью политик каталога параметров Microsoft Intune. В ней описано, как настроить параметр безопасной загрузки, который включает процесс обновления сертификата, и как развернуть эту конфигурацию. В нем также описывается, как использовать фильтры назначений на основе модели для поддержки контролируемых поэтапных развертываний на оборудовании, которое уже было проверено на успешную обработку обновления.

Необходимые условия

Возможность обновления сертификата безопасной загрузки определяется поставщиком служб конфигурации политики безопасной загрузки и встроенным ПО устройства. Эта область не всегда соответствует срокам обслуживания Windows (т. е. обновлений) или требованиям к регистрации в Intune.

Предварительные требования Intune и политик

  • Войдите с помощью учетной записи, у которой есть разрешения на создание фильтров и создание/назначение политик каталога параметров.
  • Устройства должны быть зарегистрированы в Intune (фильтры назначений применяются только к управляемым устройствам).

Предварительные требования для безопасной загрузки

Шаг 1. Настройка параметров обновления сертификата безопасной загрузки в Intune (каталог параметров)

На этом шаге вы создадите профиль конфигурации устройства из каталога параметров Windows в Microsoft Intune. Вы также настраиваете параметры безопасной загрузки, которые обеспечивают обновление сертификата безопасной загрузки.

Что вы создадите

Профиль конфигурации устройства из каталога параметров Windows, который включает включенные обновления сертификата безопасной загрузки:

Создание профиля каталога параметров

  1. Войдите в Центр администрирования Microsoft Intune.

  2. Перейдите в раздел "Управление конфигурациейустройств>>".

  3. Выберите "Создать>политику".

  4. В окне "Создание профиля":

  5. Платформа: Windows 10 и более поздние версии

  6. Тип профиля: Каталог параметров

  7. Нажмите кнопку Создать.

  8. Укажите имя профиля (например, "Обновление сертификата безопасной загрузки"), добавьте необязательное описание и выберите "Далее".

  9. В разделе "Параметры конфигурации" выберите "Добавить параметры".

  10. В средстве выбора параметров найдите безопасную загрузку и выберите ее в разделе "Обзор по категориям".

  11. Добавьте в профиль параметр "Включить обновления сертификата безопасной загрузки" из трех представленных в категории "Безопасная загрузка".

    Примечание

    Вы можете настроить другие параметры безопасной загрузки в этой категории таким же образом, если они требуются для сценария развертывания.

  12. Установите для параметра значение "Включено".

  13. Нажмите кнопку "Далее", чтобы перейти к заданиям. (Фильтр будет применен на шаге 3).

Шаг 2. Создание фильтра назначения для таргетинга на основе модели

Далее вы создаете фильтр назначения Intune, предназначенный для конкретных моделей устройств. Таргетинг на основе модели позволяет установить области обновления сертификата безопасной загрузки на выбранные модели оборудования. Это контролируемое и поэтапное развертывание не требует дополнительных групп Microsoft Entra ID.

Почему для развертывания сертификатов безопасной загрузки рекомендуется использовать таргетинг на основе модели

  • Вариативность встроенного ПО — изготовители оборудования по-разному реализуют безопасную загрузку, поэтому определение области на уровне модели снижает вероятность непредвиденного поведения.
  • Предварительная проверка — вы можете проверить обновления сертификатов на заведомо исправном оборудовании до широкого развертывания.

Что вы создадите

Фильтр назначений управляемых устройств , который нацелен (или исключает) на определенные модели устройств.

Создание фильтра задания

  1. Войдите в Центр администрирования Microsoft Intune.

  2. Перейти к администрированию> клиентаФильтры> назначенийСоздание.

  3. Выберите "Управляемые устройства".

  4. В "Основах" задайте:

    • Имя фильтра (описательный).
    • Описание (необязательно, но рекомендуется).
    • Платформа: Windows 10 и более поздние версии.

  5. Нажмите кнопку Далее.

  6. В разделе "Правила" выберите один из подходов:

    • Построитель правил (рекомендуется для большинства администраторов)
    • Синтаксис правила (ручное редактирование выражений)

Создание правила на основе модели (построитель правил)

  1. В построителе правил выберите свойство модели.
  2. Выберите оператор.
  3. Введите строки модели, которым необходимо сопоставить.
  4. Нажмите кнопку "Добавить выражение ", чтобы добавить его в правило.
  5. При необходимости используйте оператор И/ИЛИ , чтобы расширить правило на дополнительные модели или добавить дополнительные условия на основе других свойств, которые можно фильтровать.

Совет

Используйте устройства с предварительной версией , чтобы проверить, соответствует ли фильтр предполагаемому набору. Список предварительных версий поддерживает поиск по имени устройства, версии ОС, модели устройства и изготовителю устройства.

Предварительный просмотр и создание фильтра

  1. Выберите "Предварительные версии устройств ", чтобы проверить, какие зарегистрированные устройства подходят.
  2. Нажмите кнопку Далее.
  3. (Необязательно) Назначьте теги области , если вы их используете.
  4. Нажмите кнопку Далее.
  5. В разделе "Рецензирование+создание" выберите "Создать".

Шаг 3. Назначение политики с помощью фильтра назначения

Наконец, необходимо назначить профиль каталога параметров устройству или группе пользователей и применить фильтр назначения. Это определяет, какие зарегистрированные устройства получают и обрабатывают параметры обновления сертификата безопасной загрузки во время оценки политики.

Что вы будете делать

Вы назначите профиль каталога параметров безопасной загрузки из шага 1 группе, а затем примените фильтр из шага 2 в режиме включения или исключения .

Применение фильтра задания

  1. В Центре администрирования Microsoft Intune перейдите в раздел "Управление> устройствами","Конфигурацияустройств>".

  2. Выберите профиль каталога параметров, созданный на шаге 1 выше.

  3. Откройте редактирование "Свойства>", "Назначения".>

  4. Назначьте профиль соответствующей группе пользователей или устройств.

    Совет

    Если у вас нет других критериев для ограничения таргетинга, назначьте эту политику виртуальной группе "Все устройства ". Используйте фильтр назначения модели устройства из шага 2, чтобы определить области назначения. Этого сочетания достаточно для большинства развертываний. Виртуальная группа "Все устройства " встроена, не требует обслуживания группы и оптимизирована для масштабирования. Затем фильтр назначения сужает применимость при проверке устройства на основе свойств устройства, не требуя дополнительных групп Microsoft Entra.

  5. Выберите "Изменить фильтр".

  6. Выберите один из вариантов:

    • Включить отфильтрованные устройства в назначение: политику получают только устройства, соответствующие фильтру.
    • Исключить отфильтрованные устройства в назначении: устройства, соответствующие фильтру, не получают политику.

  7. Выберите фильтр существующего задания из шага 2 и нажмите "Выбрать".

  8. Выберите "Просмотр" + "Сохранить>""Сохранить".

Общие сведения о поведении устройства

  • Intune оценивает фильтр при регистрации устройства, при каждой регистрации и при повторной оценке назначенной политики.
  • Включение параметра безопасной загрузки не гарантирует немедленного применения сертификата. Для параметра безопасной загрузки, который запускает процесс обновления, задача безопасной загрузки Windows выполняется каждые 12 часов. Для некоторых обновлений может потребоваться перезагрузка.

Вопросы и ответы

Как часто устройства обрабатывают параметр "Включить обновления сертификата безопасной загрузки"?

Задача безопасной загрузки Windows, обрабатывающая параметр, выполняется каждые 12 часов.

Следует ли ожидать перезапусков?

Запуск обновления через Intune не приводит к перезапуску, хотя для завершения обновления может потребоваться перезагрузка.

Можно ли откатить или удалить новые сертификаты после их применения?

После применения сертификатов к прошивке Windows не сможет их удалить. Очистка сертификатов должна выполняться через интерфейс встроенного ПО.

Почему это следует сделать до июня 2026 года?

Срок действия старых сертификатов истекает в июне 2026 года. Устройства, не получившие более новые сертификаты 2023 г., потеряют возможность получать новые средства защиты ранней загрузки (например, обновления базы данных безопасной загрузки и отзыва).

Ресурсы