Opomba
- Prvotni datum objave: 18 februarja, 2026
- ID KB : 5080921
Ta članek vsebuje navodila za:
- Skrbniki za IT, ki potrebujejo vpogled v stanje posodobitve potrdila za varen zagon iz svojih naprav s sistemom Windows, vpisanih v storitev Intune
- Organizacije, ki se pripravljajo na rok za potek potrdila varnega zagona junija 2026
- Skupine, ki želijo spremljati napredek uvajanja potrdil v napravah s sistemom Windows, vpisanih v storitev Intune
V tem članku:
- Uvod
- Predpogoji
- Skript za zaznavanje
- Ustvarjanje popravljanja v storitvi Intune
- Ogled in izvoz rezultatov
- Pogosta vprašanja
- Viri
Uvod
Potrdila Microsoftovega varnega zagona (certifikati za nadzor 2011) potečejo junija 2026. Vse naprave s sistemom Windows z omogočenim varnim zagonom je treba pred potekom posodobiti na potrdila 2023, da se zagotovi nadaljnja podpora za varnostne posodobitve.
V tem priročniku je na voljo pristop samo za spremljanje s sredstvi storitve Microsoft Intune (proaktivna popravljanja). Skript za zaznavanje zbere stanje varnega zagona in potrdila iz vsake naprave ter ga sporoči portalu Intune – v napravah se ne izvede noben ukrep za popravek. To skrbnikom omogoča centraliziran pogled na napredek posodabljanja potrdila v napravah s sistemom Windows, vpisanih v storitev Intune.
Zakaj uporabiti ta pristop?
| Korist | Opis |
|---|---|
| Vidljivost v celotni napravi | Na enem mestu si oglejte stanje potrdila vsake naprave s sistemom Windows, vpisane v storitev Intune |
| Izvoz | Izvoz rezultatov v CSV neposredno s portala Intune |
| Neobdelane vrednosti registra | Oglejte si dejanske podatke registra, ne le uspešno in ne |
| Kontekst naprave | Vključuje proizvajalca, model, različico BIOS-a in vrsto vdelane programske opreme |
| Telemetrija dnevnika dogodkov | Zajame ID-je dogodkov varnega zagona (1801/1808), ID-je vedra in ravni zaupanja |
| Brez dotika | Deluje tiho kot SYSTEM – ni potrebna interakcija uporabnika |
Če želite vse osnovne informacije o posodobitvah potrdil, glejte Posodobitve potrdil za varen zagon: navodila za strokovnjake in organizacije za IT.
Predpogoji
Pred uvedbo skripta za zaznavanje se prepričajte, da vaše okolje izpolnjuje potrebne zahteve.
Ta rešitev uporablja popravke v storitvi Microsoft Intune. Če si želite ogledati celoten seznam pogojev, glejte Uporaba popravkov za zaznavanje in odpravljanje težav s podporo – Microsoft Intune.
Skripti za zaznavanje
Skript za zaznavanje je skript PowerShell, ki zbira izčrpne podatke inventarja varnega zagona iz vsake naprave in jih izpiše kot niz JSON. Scenarij se bere iz naslednjih virov:
Register – Stanje posodobitve potrdila za varen zagon, servisni ključi, atributi naprave in nastavitve za privolitev / zavrnitev iz HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot in njegovih podključev
WMI / CIM - Različica operacijskega sistema, čas zadnjega zagona in informacije o strojni opremi podnožja
Dnevniki dogodkov – vnosi v dnevnik sistemskih dogodkov za ID-ja dogodkov 1801 in 1808 (dogodki posodobitve varnega zagona)
Izhod JSON je prikazan na portalu Intune v razdelku Stanje > naprave za nadzor > popravkov »Izhod zaznavanja pred popravkom>« in ga je mogoče izvoziti v CSV za analizo.
Pomembno: To je skript samo za zaznavanje. V napravi ni nobenih sprememb. Skript za odpravljanje ni potreben.
Ustvarjanje datoteke skripta
Opomba
POMEMBNO Naslednji članek, ki vsebuje vzorčni scenarij, je bil ukinjen. Če ste namestili posodobitev sistema Windows, ki je bila izdana 12. maja 2026 ali pozneje, lahko vzorčni skript najdete v mapi %systemroot%\SecureBoot\ExampleRolloutScripts v napravi.
- Pomaknite se do vzorčnega skripta za zbiranje podatkov inventarja varnega zagona (KB5072718)
- Kopiranje celotne vsebine skripta s strani
- Odprite urejevalnik besedila (npr. Beležnico, VS Code) in prilepite skript
- Shranite datoteko kot Detect-SecureBootCertUpdateStatus.ps1
Ustvarjanje popravljanja v storitvi Intune
Sledite tem korakom, če želite skript za zaznavanje uvesti kot popravek (paket skriptov) v storitvi Microsoft Intune.
1. korak: Ustvarite skriptni paket
- Vpis v skrbniško središče za Microsoft Intune
- Krmarjenje do razdelka Popravki naprav >
- Kliknite + Ustvari skriptni paket
2. korak: Osnove
- Na zavihku Osnove konfigurirajte te nastavitve:
| Nastavitev | Value (Vrednost) |
|---|---|
| Ime | Nadzornik stanja potrdila za varen zagon |
| Opis | Spremlja stanje posodobitve potrdila za varen zagon v celotnem voznem parku. Samo zaznavanje – ne izvedejo se nobeni popravni ukrepi. |
| Publisher | (ime vaše organizacije) |
- Kliknite Naprej
3. korak: Nastavitve
- Na zavihku Nastavitve konfigurirajte te nastavitve:
| Nastavitev | Value (Vrednost) | Opombe |
|---|---|---|
| Datoteka skripta za zaznavanje | Naložite Detect-SecureBootCertificateStatus.ps1 | Scenarij iz prejšnjega razdelka |
| Datoteka skripta za sanacijo | (pustite prazno) | Sanacija ni potrebna – to je samo spremljanje |
| Zaženite ta skript s poverilnicami, prijavljenimi | Ne | Deluje kot SYSTEM, da zagotovi dostop do Confirm-SecureBootUEFI in registra |
| Uveljavljanje preverjanja podpisa skripta | Ne | Nastavite na Da , če vaša organizacija zahteva podpisane skripte |
| Zagon skripta v 64-bitni lupini PowerShell | Da | Zahtevano za Confirm-SecureBootUEFI cmdlet in natančno branje registra |
- Kliknite Naprej
4. korak: Oznake obsega
- Dodajte vse oznake obsega, ki jih zahteva vaša organizacija, ali pustite kot privzete
- Kliknite Naprej
5. korak: Dodelitve
| Nastavitev | Value (Vrednost) | Opombe |
|---|---|---|
| Dodelitev | Izberite skupine naprav, ki jih želite nadzorovati | Uporaba vseh naprav za spremljanje celotnega voznega parka ali določenih skupin za ciljno spremljanje |
| Urnik | Konfiguracija glede na vaše potrebe nadzora | Priporočeno: Enkrat na dan za aktivno sledenje uvajanju ali enkrat na teden za stalno spremljanje |
Opomba: Popravki se izvajajo po konfiguriranem urniku naprave. Prvi zagon lahko traja do 24 ur po dodelitvi, odvisno od cikla prijave naprave.
Kliknite Naprej
6. korak: pregled + ustvarjanje
- Pregled vseh nastavitev
- Kliknite Ustvari
Ogled in izvoz rezultatov
Ogled rezultatov na portalu
- Krmarjenje do razdelka Popravki naprav >
- Kliknite Monitor stanja potrdila za varen zagon (ali ime, ki ste ga izbrali)
- Izberite zavihek Monitor
- Kliknite Stanje naprave
- Kliknite Stolpci in dodajte izhod zaznavanja pred popravkom
Videli boste tabelo z naslednjimi stolpci:
| Stolpec | Opis |
|---|---|
| Ime naprave | Ime naprave |
| Uporabniško ime | Primarni uporabnik naprave |
| Stanje zaznavanja | Brez težave (potrdila so posodobljena) ali z izdajo (potrdila niso posodobljena) |
| Izhod zaznavanja pred sanacijo | Celoten izhod JSON iz skripta |
| Zadnja sprememba | Kdaj se je skript nazadnje zagnal v napravi |
Izvoz v CSV
- Na strani Stanje naprave kliknite gumb Izvozi na vrhu tabele
- Datoteka CSV bo prenesla vse stolpce, vključno s celotnim izhodom zaznavanja JSON za vsako napravo
- Odprite v Excelu za filtriranje, razvrščanje in analizo po katerem koli polju
Namig: V Excelu lahko uporabite funkcije TEXTJOIN ali JSON, da razčlenite izhodni JSON zaznavanja v ločene stolpce za lažjo analizo.
Zavihek »Pregled«
Na zavihku »Pregled « v razdelku »Popravek« je na voljo nadzorna plošča s povzetkom:
| Metrika | Pomen |
|---|---|
| Naprave s težavami | Naprave, v katerih potrdila še niso posodobljena |
| Naprave brez težav | Naprave, v katerih so potrdila posodobljena |
| Naprave z neuspešnim zaznavanjem | Naprave, v katerih je skript naletel na napako |
Pogosta vprašanja
Ali to kaj spremeni v mojih napravah?
Ne. To je skript samo za zaznavanje. Nobena vrednost registra ni spremenjena, posodobitve niso sprožene in ne izvede se nobeno dejanje popravljanja. Skript samo prebere vrednosti in jih sporoči.
Kaj pomeni "Z izdajo"?
»Z težavo« pomeni, da naprava še nima uporabljenih potrdil za varen zagon 2023 in upravitelja zagona, podpisanega leta 2023. To je lahko zato, ker: - Posodobitev potrdila ni bila začeta - Posodobitev je v teku in morda bo treba znova zagnati - Varni zagon v napravi ni omogočen - Naprava ne temelji na vmesniku UEFI ali čaka na ponovni zagon, da uporabi upravitelja zagona.
Kaj pomeni »brez težave«?
»Brez težave« pomeni, da je v napravi omogočen varen zagon in da je vrednost registra UEFICA2023Status posodobljena, kar pomeni, da so bila potrdila 2023 uspešno uporabljena.
Kako pogosto se skript izvaja?
Skript se zažene po urniku, ki ste ga konfigurirali v dodelitvi. Za aktivno spremljanje med uvajanjem je priporočljivo vsak dan. Za stalno spremljanje zadostuje tedensko.
Kaj pa, če registrski ključ servisiranja ne obstaja?
Če ključ HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing v napravi ne obstaja, bo v polju UEFICA2023Status prikazano NoValue. To po navadi pomeni, da posodobitve potrdil niso bile začete v napravi.
Katere licence so potrebne?
Za popravke potrebujete licence za Windows 10/11 Enterprise E3/E5, Education A3/A5 ali F3. Če imajo vaše naprave samo licence za Business Premium ali Pro, popravki ne bodo na voljo. Glejte Zahteve za popravke.
Viri
Priročnik o posodobitvi potrdila za varen zagon
Posodobitve potrdil za varen zagon: navodila za strokovnjake za IT
Posodobitve registrskega ključa za varen zagon
Dogodki posodobitve spremenljivk DB in DBX za varen zagon