Certifikat za bezbedno pokretanje Novosti za Windows 365

Uvod

Bezbedno pokretanje je bezbednosna funkcija UEFI firmvera koja obezbeđuje da se pokrene samo pouzdani, digitalno potpisani softver tokom sekvence pokretanja uređaja. Certifikati microsoft bezbednog pokretanja izdati 2011. godine ističu u junu 2026. Bez ažuriranih certifikata iz 2023. godine, uređaji više neće primati nove zaštite od bezbednog pokretanja i upravljača pokretanja za nove otkrivene ranjivosti na nivou pokretanja.

Svi računari sa omogućenim bezbednim pokretanjem na oblaku koji su obezbeđeni u Windows 365 usluzi, a prilagođene slike koje se koriste za obezbeđivanje, moraju da se ažuriraju na 2023 certifikate pre nego što istek roka važenja ostane zaštićen. Pogledajte članak Kada certifikati za bezbedno pokretanje ističu na Windows uređajima.

Da li se ovo odnosi na moje Windows 365 okruženje?

Scenario	Bezbedno pokretanje aplikacije je aktivno?	Potrebna je radnja
Računari u oblaku
Računar u oblaku sa omogućenim bezbednim pokretanjem	Da	Ažuriranje certifikata na računaru u oblaku
Računar u oblaku sa onemogućenim bezbednim pokretanjem	Ne	Nije potrebna nikakva radnja
Imidžis
Azure galerije računara sa omogućenim bezbednim pokretanjem	Da	Ažuriranje certifikata na izvornoj slici pre nego što opšte
Azure galerije izračunavanja bez pouzdanog pokretanja	Ne	Primena ispravki u oblaku računara nakon obezbeđivanja
Kontrolisana slika (ne podržava pouzdano pokretanje)	Ne	Primena ispravki u oblaku računara nakon obezbeđivanja

Kompletne informacije o pozadini potražite u članku Ispravke certifikata za bezbedno pokretanje: Vodič za IT stručnjake i organizacije.

Zalihe i nadgledanje

Pre nego što izvršite radnju, zalihe okruženja da biste identifikovali uređaje koji zahtevaju ispravke. Nadgledanje je od suštinske važnosti da biste potvrdili da su certifikati primenjeni pre isteka juna 2026. – čak i ako se oslanjate na metode automatske primene. Ispod su opcije za određivanje da li treba preduzeti radnju.

1. opcija: Microsoft Intune ispravke

Za računare u oblaku upisane za Microsoft Intune možete da primenite skriptu za otkrivanje koristeći Intune ispravke (proaktivni remedijacije) da biste automatski prikupili status certifikata za bezbedno pokretanje širom svog voznog sistema. Skripta se pokreće tiho na svakom uređaju i izveštava o statusu bezbednog pokretanja, toku ažuriranja certifikata i detaljima o uređaju na Intune portalu – na uređajima se ne unose nikakve promene. Rezultati se mogu prikazati i izvesti u CSV direktno iz Intune centra administracije za analizu na nivou flote.

Postupna uputstva o primeni skripte za otkrivanje potražite u članku Nadgledanje statusa certifikata za bezbedno pokretanje sistema pomoću Microsoft Intune ispravki.

2. opcija: Izveštaj o statusu bezbednog pokretanja operativnog sistema Windows Autopatch

Za računare u oblaku registrovane na Windows automatskom odabiju, idite u Intune centar administracije > Izveštaji > Windows automatsko otpatke > Ispravke za kvalitet operativnog sistema Windows > Izveštaji >Status bezbednog pokretanja. Pogledajte izveštaj o statusu bezbednog pokretanja u Windows automatskom odabiju.

Napomena: Da biste koristili Windows automatsko odašiljanje sa Windows 365, računari u oblaku moraju biti registrovani sa uslugom Windows automatskog otpatka. Pogledajte windows automatsko otpremanje na Windows 365 Enterprise radna učitavanje.

Opcija 3: Ključevi registratora za nadgledanje flote

Koristite postojeće alatke za upravljanje uređajima da biste izvršili upit nad ovim vrednostima registratora širom svog flote.

Putanja registratora	Ključ	Svrhu
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet \Control\SecureBoot\Servicing	UEFICA2023Status	Trenutni status primene
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet \Control\SecureBoot\Servicing	UEFICA2023Greška	Ukazuje na greške (ne bi trebalo da postoji)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet \Control\SecureBoot\Servicing	UEFICA2023ErrorEvent	Ukazuje na ID događaja (ne bi trebalo da postoji)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet \Control\SecureBoot	Dostupne ispravke	Bitovi ažuriranja na čekanju

Kompletne detalje o ključu registratora potražite u članku Ispravke ključa registratora za bezbedno pokretanje.

Opcija 4: Nadgledanje evidencije događaja

Koristite postojeće alatke za upravljanje uređajima da biste prikupili i nadgledali ove ID-ove događaja iz evidencije događaja sistema u vašem floti.

ID događaja	Lokaciju	Znaиenje
1808	Sistem	Certifikati su uspešno primenjeni
1801	Sistem	Ažuriranje statusa ili detalja greške

Kompletnu listu detalja o događaju potražite u člancima Događaji bezbednog pokretanja baze podataka i Događaji promenljivih DBX promenljivih.

Opcija 5: Skripta PowerShell zaliha

Pokrenite skriptu prikupljanja podataka o zalihama bezbednog pokretanja korporacije Microsoft da biste proverili status ažuriranja certifikata bezbednog pokretanja. Skripta prikuplja nekoliko tačaka podataka, uključujući stanje bezbednog pokretanja, status ažuriranja UEFI CA 2023, verziju firmvera i aktivnost evidencije događaja.

Raspoređivanja

Važno: Bez obzira na to koju opciju primene odaberete, preporučujemo da nadgledate flotu uređaja da biste potvrdili da su certifikati uspešno primenjeni pre isteka roka iz juna 2026. Prilagođene slike potražite u članku Prilagođena razmatranja slika.

1. opcija: automatske Novosti iz Windows Update (uređaji sa visokim stepenom pouzdanosti)

Microsoft automatski ažurira uređaje putem mesečnih ispravki operativnog sistema Windows kada dovoljna telemetrija potvrdi uspešnu primenu na sličnim konfiguracijama hardvera.

Status: Podrazumevano omogućeno za uređaje sa visokim stepenom pouzdanosti
Nije potrebno izvršiti nikakvu radnju osim ako ne želite da odbijete saglasnje

Registratora	HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot
Ključ	HighConfidenceOptOut = 1 za odbijanje saglasnosti
Smernice grupe	Administrativni predlošci > konfiguracije računara > Windows komponente > bezbedno pokretanje sistema > automatsko pokretanje certifikata putem Novosti > pošte na onemogućeno radi odbijanja saglasnosti

Preporuka: Čak i kada su omogućene automatske ispravke, nadgledajte računare u oblaku da biste potvrdili da su certifikati primenjeni. Ne mogu svi uređaji da se kvalifikuju za automatsku primenu visokog stepena pouzdanosti.

Više informacija potražite u članku Pomoć za automatizovanu primenu.

Opcija 2: IT-Initiated primena

Ručno aktivirajte ažuriranja certifikata za neposrednu ili kontrolisanu primenu.

Metod	Dokumentaciju
Microsoft Intune	Microsoft Intune metoda
Smernice grupe	GPO metod
Ključevi registratora	Metod ključa registratora
WinCS CLI	WinCS API-ji

Napomene:

Nemojte da mešate IT metode primene (npr. Intune i GPO) na istom uređaju – oni kontrolišu iste ključeve registratora i mogu biti neusaglašeni.
Dozvolite približno 48 časova i jedno ili više ponovnog pokretanja da bi se certifikati u potpunosti primenili.

Stavke koje treba uzeti u obzir u vezi sa prilagođenom slikom

Prilagođenim slikama u potpunosti upravlja vaša organizacija. Vi ste odgovorni za primenu ispravki certifikata za bezbedno pokretanje na prilagođenu sliku i ponovno otpremanje pre nego što je koristite za obezbeđivanje.

Primena ispravki certifikata za bezbedno pokretanje na izvornu sliku podržana je samo sa slikama galerije Azure računarske galerije (pregled), koje podržavaju pouzdano pokretanje i bezbedno pokretanje. Kontrolisane slike ne podržavaju bezbedno pokretanje sistema, tako da nije moguće primeniti ispravke certifikata na nivou slike. Za računare u oblaku koji su obezbeđeni na kontrolisanim slikama, primenite ispravke direktno na računar u oblaku pomoću jednog od gorenavedenih metoda primene.

Pre nego što opšte prilagodite novu prilagođenu sliku, proverite da li su certifikati ažurirani:

Get-ItemProperty "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing" | Select-Object UEFICA2023Status

Poznati problemi

Ključ registratora za servisiranje ne postoji

Simptom	HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing putanja ne postoji
Izazvati	Ažuriranja certifikata nisu pokrenuta na uređaju
Rezoluciju	Sačekajte automatsku primenu putem Windows Update ili ručno pokrenite korišćenje jednog od gorenavedenih metoda primene koje je inicirao IT

Status prikazuje "InProgress" za produženi period

Simptom	UEFICA2023Status ostaje "InProgress" nakon više dana
Izazvati	Uređaju je možda potrebno ponovno pokretanje da bi se dovršio proces ažuriranja
Rezoluciju	Ponovo pokrenite računar u oblaku i proverite status ponovo posle 15 minuta. Ako se problem i dalje bude javljao, pročitajte članak Događaji ažuriranja promenljivih za bezbedno pokretanje sistema i DBX promenljivih za uputstva za rešavanje problema

Postoji ključ registratora UEFICA2023Error

Simptom	Prisutan je ključ registratora UEFICA2023Error
Izazvati	Došlo je do greške tokom primene certifikata
Rezoluciju	Detalje potražite u evidenciji sistemskih događaja. Pogledajte događaje promenljivih promenljivih za bezbedno pokretanje baze podataka i DBX za uputstva za rešavanje problema