Ažuriranja sertifikata za Secure Boot: Uputstvo za IT profesionalce i organizacije

Evidencija promena

Promena datuma	Promeni opis
5 maja, 2026	Sadržaj u odeljku Rešavanje problema zamenjen je vezom ka članku Rešavanje problema. Uklonjeni su odeljci "Istek certifikata za bezbedno pokretanje", "Šta se menja" i "Resursi Microsoft podrške za korisnike" jer su duplirali opšte informacije iz srodnih članaka, kao što su istek certifikata za bezbedno pokretanje operativnog sistema Windows i ispravke autoriteta certifikata.
30 marta, 2026	Rešen je poznati problem "Ažuriranja sertifikata za bezbedno pokretanje mogu da ne uspeju sa ID-om događaja 1795 na Hyper-V virtuelnim mašinama"
24 marta, 2026	Ažuriran je poznati problem "Ažuriranja sertifikata bezbednog pokretanja mogu da ne uspeju uz ID događaja 1795 na Hyper-V virtuelnim mašinama"
16 marta, 2026	Uklonjen je odeljak "Uzorak podataka o pouzdanosti" u okviru "Uzorak skripte za prikupljanje podataka inventara bezbednog pokretanja" jer je zastareo.
3 marta, 2026	Ponovo smo oblikovali uzorak izlaza u odeljku "Priprema" tako da se on nalazi u okviru.
24. februar 2026.	Ažuriran je sadržaj za "Uzorak skripte za prikupljanje podataka inventara bezbednog pokretanja" u odeljku " Priprema". Dodat je novi odeljak "Uzorak izlaza" u odeljku "Priprema".
23. februar, 2026	Ažuriran je sadržaj za "Uzorak skripte za prikupljanje podataka inventara bezbednog pokretanja" u odeljku " Priprema".
13 februara, 2026	Dodate su stavke "Uzorak podataka o pouzdanosti" u odeljak " Priprema". Uklonjena je "skripta za prikupljanje za događaje na čekanju 1801 i 1808" iz odeljka "Priprema" jer više nije potrebna.
3 februara, 2026	Premeštena i preoblikovana uobičajena pitanja u odeljku "Rešavanje problema". Dodat je novi uobičajeni problem: "Ažuriranja sertifikata za bezbedno pokretanje mogu da ne uspeju uz ID događaja 1795 na Hyper-V virtuelnim mašinama".
26 januara, 2026	Ažuriran je tekst u okviru "Pomoć za automatsku primenu" iz " Obe pomoći zahtevaju dijagnostičke podatke." na " Samo pomoć za primenjivanje kontrolisanih funkcija zahteva dijagnostičke podatke.
11 novembra, 2025	Ispravljene su dve greške u kucanju u odeljku "Podrška za primenu sertifikata za bezbedno pokretanje". 0x0800 – Naziv certifikata je promenjeno sa "Microsoft UEFI CA 2023" na "Microsoft Option ROM UEFI CA 2023". 0x1000 – Promenjeno "Microsoft Option ROM CA 2023" u "Microsoft UEFI CA 2023".
10 novembra, 2025	Ispravljene su dve greške u kucanju u odeljku "Novi certifikat": iz " Microsoft Corporation KEK CA 2023" u " Microsoft Corporation KEK 2K CA 2023" i iz " Microsoft Option ROM CA 2023" u " Microsoft Option ROM UEFI CA 2023". Nove PowerShell skripte dodate su ispod zaglavlja "Provera statusa bezbednog pokretanja u vašoj floti: Da li je bezbedno pokretanje sistema omogućeno?" i "Priprema".

U ovom članku:

• Pregled

• Priručnik za primenu za IT stručnjake

  • Provera statusa bezbednog pokretanja u ceo vozni park: Da li je omogućeno bezbedno pokretanje sistema?
  • Kako se primenjuju ispravke
  • Koraci primene
  • Priprema
  • Razmatranje firmvera
  • Windows u virtuelizovanim okruženjima
  • Nadgledanje i primena
  • Pomaže za automatizovanu primenu
  • Metode primene koje nisu pokrivene automatizovanim pomoćnim sistemima
  • Nadgledanje evidencije događaja
  • Strategije primene

• Najčešća pitanja (FAQ)

• Rešavanje problema

• Dodatni resursi

Pregled

Ovaj članak je namenjen organizacijama sa posvećenim IT stručnjacima koji aktivno upravljaju ispravkama u celoj floti uređaja. Veći deo ovog članka fokusiraće se na aktivnosti neophodne da bi IT sektor organizacije bio uspešan u primeni novih Secure Boot sertifikata. Ove aktivnosti uključuju testiranje firmvera, nadgledanje ispravki uređaja, pokretanje primene i dijagnostikovanje problema čim se pojave. Predstavljeno je više metoda primene i nadgledanja. Pored ovih osnovnih aktivnosti, nudimo nekoliko pomagala za primenu, uključujući opciju davanja saglasnosti za klijentske uređaje za učešće u kontrolisanoj primeni funkcija (CFR) posebno za primenu certifikata.

Priručnik za primenu za IT profesionalce

Planirajte i izvršite ažuriranja sertifikata za bezbedno pokretanje u celom voznom parku uređaja kroz pripremu, nadgledanje, primenu i oporavak.

Provera statusa bezbednog pokretanja u ceo vozni park: Da li je omogućeno bezbedno pokretanje sistema?

Većina uređaja proizvedenih od 2012. imaju podršku za Secure Boot i isporučuju se sa omogućenim Secure Boot. Da biste proverili da li je na uređaju omogućeno bezbedno pokretanje, uradite nešto od sledećeg:

• GUI metod: Idite na "Start" postavke>>:privatnost & bezbednost>Windows bezbednost>bezbednost uređaja. U okviru bezbednosti uređaja, odeljak "Bezbedno pokretanje sistema" trebalo bi da ukazuje na to da je bezbedno pokretanje sistema uključeno.
• Metod komandne linije: Na komandnoj liniji sa punim privilegijama u programu PowerShell otkucajte Confirm-SecureBootUEFI , a zatim pritisnite taster Enter. Komanda bi trebalo da vrati vrednost True , što ukazuje na to da je bezbedno pokretanje sistema uključeno.

U velikim primenama za flotu uređaja, softver za upravljanje koji koriste IT stručnjaci moraće da obezbedi proveru za omogućavanje bezbednog pokretanja.

Na primer, metod za proveru stanja bezbednog pokretanja na uređajima kojima upravlja Microsoft Intune jeste pravljenje i primena prilagođene Intune skripte za usaglašenost. Intune postavke usaglašenosti pokrivene su u članku Korišćenje prilagođenih postavki usaglašenosti za Linux i Windows uređaje sa Microsoft Intune.

Ako Bezbedno pokretanje sistema nije omogućeno, možete da preskočite dolenavedene korake ažuriranja jer nisu primenljivi.

Kako se primenjuju ispravke

Postoji više načina za ciljanje uređaja za ažuriranja sertifikata za bezbedno pokretanje. Detalji primene, uključujući postavke i događaje, biće razmotreni kasnije u ovom dokumentu. Kada usmeravate uređaj za ažuriranja, na uređaju se pravi postavka koja ukazuje na to da uređaj treba da započne proces primene novih certifikata. Planirani zadatak se pokreće na uređaju svakih 12 sati i otkriva da je uređaj meta za ažuriranja. Pregled sadržaja zadatka je sledeći:

1. Windows UEFI CA 2023 se primenjuje na DB.
2. Ako uređaj ima Microsoft Corporation UEFI CA 2011 u DB-u, tada se na DB zadatke primenjuju Microsoft Option ROM UEFI CA 2023 i Microsoft UEFI CA 2023 .
3. Zadatak zatim dodaje Microsoft Corporation KEK 2K CA 2023.
4. Konačno, planirani zadatak ažurira upravljač pokretanjem operativnog sistema Windows na onaj koji je potpisao Windows UEFI CA 2023. Windows će primetiti da je potrebno ponovno pokretanje da bi upravljač pokretanjem mogao da se primeni. Ažuriranje upravljača pokretanjem će biti odloženo dok se ponovno pokretanje ne dogodi prirodno (na primer, kada se primene mesečne ispravke), a zatim će Windows ponovo pokušati da primeni ispravku upravljača pokretanjem.

Svi od gorenavedenih koraka moraju biti uspešno dovršeni pre premeštanja planiranog zadatka na sledeći korak. Tokom tog procesa, evidencije događaja i drugi statusi biće dostupni kako bi pomogli u nadgledanju primene. Više detalja o nadgledanju i evidencijama događaja je navedeno ispod.

Ažuriranje sertifikata za bezbedno pokretanje omogućava buduće ažuriranje upravljača pokretanjem 2023, koji je bezbedniji. Određene ispravke za upravljač pokretanjem biće u budućim izdanjima.

Koraci primene

• Priprema: Inventar i test uređaja.
• Razmatranje firmvera
• Nadgledanje: Verifikujte radove na nadgledanju i osnovnu liniju vašeg voznog parka.
• Primena: Ciljanje uređaja za ažuriranja, počevši od malih podskupova i proširivanje na osnovu uspešnih testova.
• Sanacija: Istražite i rešite sve probleme pomoću evidencije i podrške dobavljača.

Priprema

Inventar, hardver i firmver. Napravite reprezentativni uzorak uređaja na osnovu proizvođača sistema, modela sistema, verzije/datuma BIOS-a, verzije proizvoda osnovne ploče itd. i testirajte ispravke na tim uređajima pre šire primene.  Ovi parametri su obično dostupni u informacijama o sistemu (MSINFO32). Koristite priložene uzorke PowerShell komandi da biste proverili status ažuriranja za Secure Boot i napravili popis uređaja u celoj organizaciji.

Primer skripte za prikupljanje podataka inventara bezbednog pokretanja

Kopirajte i nalepite ovaj uzorak skripte i izmenite ga po potrebi za okruženje: Uzorak skripte za prikupljanje podataka inventara bezbednog pokretanja.

Nivoi pouzdanosti za Secure Boot

Nivo pouzdanosti	Značenje	Potrebna je radnja
Visoka pouzdanost	Microsoft je proverio da li je ova klasa uređaja bezbedna za ispravke	Bezbedna primena ispravki certifikata
Pod posmatranjem – potrebno je više podataka	Microsoft još uvek prikuplja Secure Boot Primenite dijagnostičke podatke o ovim uređajima	Sačekajte Microsoft klasifikaciju
Nema posmatranih podataka – potrebna je radnja	Klasa uređaja nije poznata korporaciji Microsoft	Veliko preduzeće mora da testira i planira uvođenje
Privremeno pauziran	Poznati problemi sa kompatibilnošću	Proverite OEM BIOS Update; Sačekajte da Microsoft reši probleme
Nije podržano – poznato ograničenje	Ograničenja platforme ili hardvera	Dokument kao izuzetak

Prvi korak ako je omogućeno bezbedno pokretanje jeste da proverite da li postoje događaji na čekanju koji su nedavno ažurirani ili da li su u procesu ažuriranja certifikata za bezbedno pokretanje. Od posebnog interesa su najnoviji događaji u 1801 i 1808.  Ovi događaji su detaljno opisani u događajima ažuriranja promenljive DB i DBX za Secure Boot. Pogledajte i odeljak "Nadgledanje i primena" kako događaji mogu da prikažu stanje ispravki na čekanju.

Sledeći korak je popis uređaja u celoj organizaciji. Prikupite sledeće detalje pomoću PowerShell komandi da biste napravili reprezentativni uzorak:

Razmatranje firmvera

Primena novih certifikata za bezbedno pokretanje na flotu uređaja zahteva da firmver uređaja igra ulogu u dovršavanju ažuriranja. Iako Microsoft očekuje da će većina firmvera uređaja funkcionisati prema očekivanjima, pre primene novih certifikata potrebno je pažljivo testiranje.

Pregledajte zalihe hardvera i napravite mali, reprezentativni uzorak uređaja na osnovu sledećih jedinstvenih kriterijuma kao što su:

• Proizvođač
• Broj modela
• Verzija firmvera
• OEM verzija ploče, itd

Pre šire primene na uređajima u svojoj floti, preporučujemo da testirate ispravke certifikata na reprezentativnim uzorcima uređaja (kao što je definisano faktorima kao što su proizvođač, model, verzija firmvera) da biste se uverili da se ispravke uspešno obrađuju. Preporučena uputstva o broju uzoraka uređaja koje treba testirati za svaku jedinstvenu kategoriju su 4 ili više.

To će pomoći u izgradnji poverenja u proces raspoređivanja i pomoći da se izbegnu neočekivani uticaji na vaš širi vozni park.

U nekim slučajevima, možda će biti potrebna ispravka firmvera da bi se uspešno ažurirali certifikati za bezbedno pokretanje. U tim slučajevima, preporučujemo da sa OEM proizvođača uređaja proverite da li je dostupan ažurirani firmver.

Windows u virtuelizovanim okruženjima

Za Windows koji radi u virtuelnom okruženju, postoje dva metoda za dodavanje novih certifikata u promenljive firmvera Secure Boot:

• Kreator virtuelnog okruženja (AVS, Azure, Hiper-V, VMvare itd.) Može da obezbedi ažuriranje okruženja i uključi nove sertifikate u virtualizovani firmver. Ovo bi funkcionisalo za nove virtuelizovane uređaje.
• Za Windows koji radi dugoročno u VM-u, ispravke se mogu primeniti putem operativnog sistema Windows kao i bilo kog drugog uređaja, ako virtuelizovani firmver podržava ispravke za bezbedno pokretanje.

Nadgledanje i primena

Preporučujemo da započnete nadgledanje uređaja pre primene da biste se uverili da nadgledanje ispravno funkcioniše i da imate dobar uvid u stanje voznog parka unapred. Opcije nadgledanja su opisane u nastavku.

Microsoft pruža više metoda za primenu i nadgledanje ispravki sertifikata za bezbedno pokretanje.

Pomaže pri automatizovanoj primeni

Microsoft obezbeđuje dva pomoćnika za primenu. Ove pomoći mogu biti korisne u raspoređivanju novih sertifikata u vašem voznom parku. Samo Pomoć za primenjivanje kontrolisanih funkcija zahteva dijagnostičke podatke.

• Opcija za kumulativne ispravke sa kontejnerima pouzdanosti: Microsoft može automatski da uključi grupe uređaja visokog stepena pouzdanosti u mesečne ispravke na osnovu dijagnostičkih podataka koji se dele do danas, u korist sistema i organizacija koje ne mogu da dele dijagnostičke podatke. Ovaj korak ne zahteva omogućavanje dijagnostičkih podataka.

  • Za organizacije i sisteme koji mogu da dele dijagnostičke podatke, to korporaciji Microsoft daje uvid i pouzdanost da uređaji mogu uspešno da primene certifikate. Više informacija o omogućavanju dijagnostičkih podataka dostupno je u: Konfigurisanje Windows dijagnostičkih podataka u organizaciji. Pravimo "kontejnere" za svaki jedinstveni uređaj (kao što je definisano atributima koji uključuju proizvođača, verziju matične ploče, proizvođača firmvera, verziju firmvera i dodatne tačke podataka). Za svaki kontejner nadgledamo dokaze o uspehu na više uređaja. Kada budemo videli dovoljno uspešnih ispravki i bez grešaka, smatraćemo kontejner "visokog stepena pouzdanosti" i uključiti te podatke u mesečne kumulativne ispravke. Kada se mesečne ispravke primene na uređaj u kontejneru visokog stepena pouzdanosti, Windows će automatski primeniti certifikate na UEFI Secure Boot promenljive u firmveru.
  • Kontejneri visoke pouzdanosti obuhvataju uređaje koji ispravno obrađuju ispravke. Naravno, neće svi uređaji pružati dijagnostičke podatke i to može da ograniči poverenje korporacije Microsoft u sposobnost uređaja da ispravno obradi ispravke.
  • Ova pomoć je podrazumevano omogućena za uređaje visokog stepena pouzdanosti i može se onemogućiti uz postavku specifičnu za uređaj. Više informacija će biti deljeno u budućim izdanjima operativnog sistema Windows.

• Kontrolisana primena funkcija (CFR): Prijavite saglasnost za uređaje za primenu kojom upravlja Microsoft ako su omogućeni dijagnostički podaci.

  • Kontrolisana primena funkcija (CFR) može da se koristi sa klijentskim uređajima u organizacijskim flotama. Ovo zahteva da uređaji šalju obavezne dijagnostičke podatke korporaciji Microsoft i da signaliziraju da uređaj daje saglasnost za korišćenje CFR na uređaju. Detalji o tome kako da date saglasnost su opisani ispod.

  • Microsoft će upravljati procesom ažuriranja za ove nove certifikate na Windows uređajima na kojima su dijagnostički podaci dostupni i uređaji učestvuju u kontrolisanoj primeni funkcija (CFR). Iako CFR može pomoći u raspoređivanju novih sertifikata, organizacije neće moći da se oslone na CFR za sanaciju svojih flota – to će zahtevati praćenje koraka navedenih u ovom dokumentu u odeljku o metodama raspoređivanja koje nisu obuhvaćene automatizovanim asistencijama.

  • Ograničenja: Postoji nekoliko razloga zbog kojih CFR možda neće raditi u vašem okruženju. Na primer:

    • Dijagnostički podaci nisu dostupni ili dijagnostički podaci nisu upotrebljivi kao deo CFR primene.
    • Uređaji nisu na podržanim verzijama klijenta Windows 11 i Windows 10 sa proširenim bezbednosnim ispravkama (ESU).

Metode primene koje nisu pokrivene automatizovanim pomoćnim sistemima

Odaberite metod koji odgovara vašem okruženju. Izbegavajte metode mešanja na istom uređaju:

• Ključevi registratora: Kontrolišite primenu i nadgledajte rezultate.
  Dostupno je više ključeva registratora za kontrolisanje ponašanja primene certifikata i nadgledanje rezultata. Pored toga, postoje dva ključa za prijavljivanje i isključivanje pomoći za raspoređivanje opisanih gore. Više informacija o ključevima registratora potražite u članku Novosti ključeva registratora za Secure Boot – Windows uređaji sa IT-upravljanim ažuriranjima.

• Smernice grupe Objekti (GPO): Upravljajte postavkama; nadgledajte putem registratora i evidencija događaja.
  Microsoft će u budućoj ispravci pružati podršku za upravljanje ispravkama za bezbedno pokretanje pomoću Smernice grupe. Imajte na umu da pošto Smernice grupe koriste postavke, nadgledanje statusa uređaja moraće da se izvrši pomoću alternativnih metoda, uključujući nadgledanje ključeva registratora i stavki evidencije događaja.

• WinCS (Windows sistem konfiguracije) CLI: Koristite alatke komandne linije za klijente pridružene domenu.
  Administratori domena mogu alternativno da koriste Windows Configuration System (WinCS) koji je uključen u ispravke operativnog sistema Windows za primenu ispravki za bezbedno pokretanje na Windows klijente i servere pridružene domenu. Sastoji se od niza uslužnih programa komandne linije (tradicionalne izvršne datoteke i modula PowerShell) za upit i primenu konfiguracija bezbednog pokretanja lokalno na računaru. Više informacija potražite u sledećim člancima:

  • Windows Configuration System (WinCS) API-ji za Secure Boot
  • Primer vodiča za automatizaciju krajnjeg do kraja (E2E) za Secure Boot

• Microsoft Intune/Configuration Manager: Primena PowerShell skripti. Dobavljač usluga konfiguracije (CSP) biće obezbeđen u budućoj ispravci kako bi se omogućila primena pomoću usluge Intune.

Nadgledanje evidencije događaja

Obezbeđena su dva nova događaja koja pomažu u primeni ispravki certifikata za bezbedno pokretanje. Ovi događaji su detaljno opisani u događajima ažuriranja promenljive DB i DBX za Secure Boot:

• ID događaja: 1801
  Ovaj događaj je događaj greške koji ukazuje na to da ažurirani certifikati nisu primenjeni na uređaj. Ovaj događaj daje neke detalje specifične za uređaj, uključujući atribute uređaja, koji će vam pomoći u povezivanju uređaja kojima je još potrebno ažuriranje.
• ID događaja: 1808
  Ovaj događaj je informativni događaj koji ukazuje na to da uređaj ima potrebne nove certifikate za bezbedno pokretanje koji su primenjeni na firmver uređaja.

Strategije primene

Da biste smanjili rizik, primenjujte ispravke za bezbedno pokretanje sistema u fazama, a ne odjednom. Počnite sa malim podskupom uređaja, proverite valjanost rezultata, a zatim proširite na dodatne grupe. Predlažemo da počnete sa podskupovima uređaja i kada steknete poverenje u te primene, dodate još podskupova uređaja. Može se koristiti više faktora da bi se utvrdilo šta ulazi u podskup, uključujući rezultate testova na uzorcima uređaja i organizacione strukture itd.

Odluka o tome koje ćete uređaje primeniti je na vama. Ovde su navedene neke moguće strategije.

• Velika flota uređaja: počnite tako što ćete se osloniti na pomoći opisane iznad za najčešće uređaje kojima upravljate. Paralelno, fokusirajte se na manje uobičajene uređaje kojima upravlja organizacija. Testirajte mali uzorak uređaja i, ako je testiranje uspešno, primenite na ostalim uređajima istog tipa. Ako testiranje dovede do problema, istražite uzrok problema i odredite korake za oporavak. Možda ćete želeti da razmotrite i klase uređaja koji imaju veću vrednost u voznom parku i da počnete sa testiranjem i primenom kako biste se uverili da ti uređaji imaju rano ažuriranu zaštitu.
• Mala flota, velika raznolikost: Ako vozni park kojim upravljate sadrži veliki broj uređaja gde bi testiranje pojedinačnih uređaja bilo preveliko, razmislite o tome da se u velikoj meri oslanjate na dve pomoći opisane iznad, posebno za uređaje koji će verovatno biti uobičajeni uređaji na tržištu. U početku se fokusirajte na uređaje koji su kritični za svakodnevni rad, testirajte i zatim primenite. Nastavite da se krećete niz listu uređaja visokog prioriteta, testiranje i raspoređivanje dok nadgledate flotu kako biste potvrdili da asistenci pomažu sa ostalim uređajima.

Beleške

• Obratite pažnju na starije uređaje, posebno na uređaje koje proizvođač više ne podržava. Iako bi firmver trebalo ispravno da izvrši operacije ažuriranja, neki možda ne. U slučajevima kada firmver ne radi ispravno i uređaj više nije podržan, razmotrite zamenu uređaja kako biste obezbedili zaštitu bezbednog pokretanja u celom voznom parku.
• Novi uređaji proizvedeni u proteklih 1–2 godine možda već imaju ažurirane certifikate, ali možda nemaju Windows UEFI CA 2023 potpisan upravljač pokretanjem primenjen na sistem. Primena ovog upravljača pokretanjem je poslednji korak od kritičnog značaja u primeni za svaki uređaj.
• Kada uređaj bude izabran za ažuriranje, može potrajati neko vreme dok se ažuriranja ne dovrše. Procenite vreme trajanja od 48 časova i jedno ili više ponovnih pokretanja kako bi se certifikati primenili.

Najčešća pitanja (FAQ)

Najčešća pitanja potražite u članku o najčešćim pitanjima o bezbednom pokretanju .

Rešavanje problema

Više detalja potražite u dokumentu za rešavanje problema .

Dodatni resursi

• Ciljna stranica predstavljanja sertifikata za bezbedno pokretanje
• Često postavljana pitanja o Secure Boot
• Windows uređaji za preduzeća i organizacije sa ispravkama kojima upravlja IT
• Windows uređaji za kućne korisnike, preduzeća i škole sa ispravkama kojima upravlja Microsoft
• Windows 11 i bezbedno pokretanje sistema
• Događaji ažuriranja promenljivih za DB i DBX za bezbedno pokretanje
• Uputstvo za kreiranje i upravljanje ključevima za Secure Boot
• Bezbedno pokretanje sistema
• Ažuriranje tastera za bezbedno pokretanje sistema
• Uputstvo za primenu preduzeća za CVE-2023-24932
• Kako da upravljate opozivima programa Windows upravljač pokretanjem za promene sistema Secure Boot povezanim sa CVE-2023-24932