Metóda zabezpečeného spustenia pomocou Microsoft Intune pre zariadenia s Windowsom s aktualizáciami spravovanými IT

Tento článok obsahuje pokyny pre:

• Organizácie, ktoré majú vlastné IT oddelenie spravujúce zariadenia s Windowsom a aktualizácie.

Poznámka: Ak ste jednotlivec, ktorý vlastní osobné zariadenie s Windowsom, pozrite si článok Zariadenia s Windowsom pre domácich používateľov, podniky a školy s aktualizáciami spravovanými spoločnosťou Microsoft.

Zoznam zmien

Zmeniť dátum	Popis zmeny
Marec 23, 2026	Aktualizovaný známy problém s kódom chyby 65000 služby Microsoft Intune.
9. marca 2026	Odstránili sme nepodporované verzie Windowsu 10 z časti Vzťahuje sa na.
4. marca 2026	Do zoznamu "Vzťahuje sa na" bol pridaný Windows 11, verzia 25H2
Vydanie 4. februára 2026	Známy problém vyriešený
Decembra 17, 2025	Pridaná sekcia Známy problém

Obsah tohto článku:

• Úvod
• Spôsob konfigurácie služby Microsoft Intune
• Popis nastavenia
• Známe problémy
• Zdroje informácií

Úvod

Tento dokument popisuje podporu nasadenia, správy a monitorovania aktualizácií certifikátov zabezpečeného zavedenia systému pomocou služby Microsoft Intune. Nastavenia pozostávajú z týchto funkcií:

• Možnosť spustiť nasadenie v zariadení
• Nastavenie na prihlásenie alebo vyjadrenie explicitného nesúhlasu v sektoroch s vysokou spoľahlivosťou
• Nastavenie na vyjadrenie explicitného súhlasu alebo vyjadrenia explicitného nesúhlasu so spravovaním aktualizácií spoločnosťou Microsoft

Spôsob konfigurácie služby Microsoft Intune

Táto metóda ponúka nastavenie zabezpečeného spustenia pomocou služby Microsoft Intune, ktoré môžu správcovia domény nastaviť na nasadenie aktualizácií zabezpečeného spustenia pre všetkých klientov Windowsu pripojených do domény. Okrem toho možno dvoch asistenciálnych zariadení zabezpečeného spustenia spravovať pomocou nastavení vyjadrenia výslovného súhlasu alebo nesúhlasu.

V službe Microsoft Intune

1. V časti Správy zariadení> vyberte položku Konfigurácia.

2. Vyberte položku Vytvoriť a vyberte položku Nová politika.

   • Prejdite na položku Vytvorenie profilu na pravej table.
   • Vyplnenie platformy vo Windowse 10 alebo novšom.

3. V časti Typ profilu vyberte katalóg nastavení. 

   

4. Začnite vytvárať profil tým, že ho pomenujete. V tomto príklade používame ako názov Secure Boot. Stlačte tlačidlo Ďalej.
   

5. V časti Nastavenia konfigurácie vyberte položku Pridať nastavenia a pomocou výberu nastavení vyhľadajte nastavenia zabezpečeného spustenia vyhľadaním výrazu Zabezpečené spustenie. V kategórii Zabezpečené spustenie by sa mali zobraziť tri nastavenia. Toto sú rovnaké nastavenia, ktoré sú popísané v aktualizáciách kľúčov databázy Registry pre zabezpečené spustenie: Zariadenia s Windowsom s aktualizáciami spravovanými IT a metóda Zabezpečeného spustenia objektov skupinovej politiky (GPO) pre zariadenia s Windowsom s aktualizáciami spravovanými IT oddelením.

   • Možnosť Povoliť aktualizácie certifikátu zabezpečeného spustenia je predvolene vybratá a povolená.

   • Nižšie uvedené nastavenia vyjadrenia explicitného súhlasu a nesúhlasu možno nakonfigurovať tak, aby vyhovovali vášmu prostrediu a potrebám nasadenia. 

     

6. Dokončite profil pre zariadenia, ktoré budú používať tieto nastavenia.

Popis nastavenia

Konfigurovanie prihlásenia so službou Managed od spoločnosti Microsoft

Názov nastavenia služby Microsoft Intune: Konfigurovanie prihlásenia so službou Microsoft Update Managed

Popis:
Táto politika umožňuje podnikom zúčastniť sa na zavádzaní certifikátu zabezpečeného zavedenia funkcie s kontrolovanými funkciami alebo aktualizácie certifikátu zabezpečeného spustenia spravovanej spoločnosťou Microsoft.

• Povolené: Spoločnosť Microsoft pomáha s nasadením certifikátov do zariadení zaregistrovaných v zavádzaní.
• Vypnuté (predvolené): Žiadna účasť na riadenom zavádzaní.

Požiadavky:

• Zariadenie musí spoločnosti Microsoft odoslať požadované diagnostické údaje. Podrobnosti nájdete v téme Konfigurácia diagnostických údajov Windowsu vo vašej organizácii – Ochrana osobných údajov v systéme Windows | Microsoft Learn.
• Zodpovedá kľúču databázy Registry MicrosoftUpdateManagedOptIn.

Konfigurácia explicitného nesúhlasu s vysokou spoľahlivosťou

Microsoft Intune Názov nastavenia: Konfigurácia Opt-Out s vysokou spoľahlivosťou

Popis:
Táto politika určuje, či sa aktualizácie certifikátu zabezpečeného spustenia automaticky použijú prostredníctvom mesačných aktualizácií zabezpečenia a aktualizácií nesúvisiacich so zabezpečením systému Windows. Zariadenia, ktoré spoločnosť Microsoft overila ako schopné spracovať aktualizácie premennej Zabezpečeného zavedenia systému, dostanú tieto aktualizácie ako súčasť kumulatívnych mesačných aktualizácií a použijú ich automaticky. Keďže nie všetky kombinácie hardvéru a firmvéru je možné vyčerpávajúcim spôsobom overiť, spoločnosť Microsoft sa pri určovaní pripravenosti zariadenia spolieha na cielené testovanie a diagnostické údaje. Iba pomôcky s dostatočnými diagnostickými údajmi možno posudzovať s vysokou spoľahlivosťou. Ak diagnostické údaje pre danú pomôcku nie sú k dispozícii, nemožno ich klasifikovať s vysokou spoľahlivosťou.

• Zapnuté: Automatické nasadenie prostredníctvom mesačných aktualizácií je zablokované.
• Vypnuté (predvolené): Zariadenia, ktoré overili výsledky aktualizácie, automaticky získajú aktualizácie certifikátov ako súčasť mesačných aktualizácií.

Poznámky:

• Potvrdí sa, že určené zariadenia úspešne spracovávajú aktualizácie.
• Nakonfigurujte túto politiku na spravovanie automatického nasadenia prostredníctvom mesačných aktualizácií.
• Zodpovedá kľúču databázy Registry HighConfidenceOptOut.

Povoľte aktualizácie certifikátu zabezpečeného spustenia

Názov nastavenia služby Microsoft Intune: Povoliť aktualizácie certifikátu zabezpečeného spustenia

Popis:
Táto politika určuje, či Windows iniciuje proces nasadenia certifikátu zabezpečeného zavedenia systému v zariadeniach.

• Zapnuté: Windows automaticky začne nasadzovať aktualizované certifikáty zabezpečeného spustenia.
• Vypnuté (predvolené): Windows nenasadí certifikáty automaticky.

Poznámky:

• Úloha, ktorá spracováva toto nastavenie, sa spúšťa každých 12 hodín. Niektoré aktualizácie môžu na bezpečné dokončenie vyžadovať reštartovanie.
• Po použití certifikátov na firmvér ich nemožno z Windowsu odstrániť. Vymazanie certifikátov sa musí vykonať prostredníctvom rozhrania firmvéru.
• Zodpovedá kľúču databázy Registry AvailableUpdates.

Známe problémy

Kód chyby Microsoft Intune 65000 vo vydaniach Pro Windowsu

Príznaky

Nastavenia konfigurácie zabezpečeného spustenia nasadené prostredníctvom Správa zariadení (MDM) služby Microsoft Intune sú momentálne blokované vo vydaniach Pro Windowsu 10 a Windowsu 11.

• Pokusy o použitie týchto politík majú za následok kód chyby 65000 služby Microsoft Intune.
• Denníky udalostí môžu zaznamenávať POLICYMANAGER_E_AREAPOLICY_NOTAPPLICABLEINEDITION, čo znamená, že funkcia nie je v tomto vydaní k dispozícii.

Riešenie

Licenčná služba Microsoft Intune bola aktualizovaná 27. januára 2026, aby umožnila nasadenie nastavení konfigurácie zabezpečeného spustenia vo vydaniach Pro Windowsu 10 a Windowsu 11.

Poznámka

Kód chyby 65000 služby Microsoft Intune sa môže stále vyskytovať vo vydaniach Pro systému Windows 11, verzie 23H2. Vyriešenie tohto problému je naplánované v budúcej aktualizácii Windowsu.

Zariadenia, ktoré získali licenciu na Microsoft Intune pred týmto dátumom, budú musieť na vyriešenie tohto problému licenciu obnoviť.  Licencie sa automaticky obnovujú každý mesiac, takže tento problém bude pre zariadenia vyriešený do 27. februára 2026 (okrem niektorých zariadení so systémom Windows 11, verzia 23H2, ako je uvedené vyššie). Ak chcete licenciu v zariadení obnoviť manuálne, spustite v mene používateľa nasledujúce príkazy (v kontexte používateľa):

• ClipDLS.exe odstrániťpredplatné
• ClipRenew.exe

Zdroje informácií

Podrobnosti o kľúčoch databázy Registry UEFICA2023Status a UEFICA2023Error na monitorovanie výsledkov zariadenia nájdete aj v téme Aktualizácie kľúčov databázy Registry pre zabezpečené spustenie: Zariadenia s Windowsom s aktualizáciami spravovanými IT

Pozrite si tému Udalosti aktualizácie premennej Secure Boot DB a DBX s informáciami o udalostiach, ktoré sú užitočné na pochopenie stavu zariadení, atribútov zariadenia a ID sektorov zariadení. Venujte zvýšenú pozornosť udalostiam 1801 a 1808 opísaným na stránke podujatia.