Primena postavki ažuriranja certifikata bezbednog pokretanja pomoću ciljanja zasnovanog na modelu u programskom Microsoft Intune

U ovom članku:

• Uvod

• Preduslovi

• 1. korak – Konfigurisanje postavki ažuriranja certifikata za bezbedno pokretanje Intune (katalog postavki)

• 2. korak – kreiranje filtera dodele za ciljanje zasnovano na modelu

• 3. korak – Dodeljivanje smernica pomoću filtera dodele

• Najčešća pitanja

• Resurse

Uvod

Ovo uputstvo pomaže IT administratorima da omoguće proces ažuriranja certifikata za bezbedno pokretanje pomoću Microsoft Intune postavki kataloga. On pokazuje kako da konfigurišete postavku bezbednog pokretanja koja omogućava proces ažuriranja certifikata i kako da primenite tu konfiguraciju. Takođe ističe kako da koristite filtere dodeljivanja zasnovane na modelu da biste podržali kontrolisane primene po fazama na hardveru za koji je već proverena valjanost za uspešno rukovanje ispravkom.

Preduslovi

Kvalifikovanost ispravke certifikata za bezbedno pokretanje  određena jeCSP-om smernica za bezbedno pokretanje i firmverom uređaja. Ovaj opseg se ne poravnava uvek sa vremenskim osama windows servisiranja (npr. ispravkama) ili zahtevima za Intune upisivanje.

Intune i preduslove za smernice

• Prijavite se pomoću naloga koji ima dozvole za kreiranje filtera i kreiranje/dodeljivanje smernica kataloga postavki.

• Uređaji moraju biti upisani za Intune (filteri dodele se primenjuju samo na upravljane uređaje).

Preduslovi za kvalifikovanost bezbednog pokretanja

• Lista podržanih verzija operativnog sistema Windows dostupna je Microsoft Intune bezbednog pokretanja za Windows uređaje sa ispravkama kojima upravlja IT.

• Uređaji moraju da imaju omogućeno bezbedno pokretanje i trebalo bi da se koriste u trenutnoj ispravki za servisiranje.

1. korak – Konfigurisanje postavki ažuriranja certifikata za bezbedno pokretanje Intune (katalog postavki)

U ovom koraku kreirate profil za konfigurisanje uređaja windows kataloga postavki u programu Microsoft Intune. Takođe konfigurišite postavke bezbednog pokretanja koje omogućavaju proces ažuriranja certifikata za bezbedno pokretanje.

Šta ćete vi kreirati

Profil za konfigurisanje uređaja windows kataloga postavki koji omogućava opciju Omogući certifikat za bezbedno pokretanje Novosti:

Kreiranje profila kataloga postavki

1. Prijavite se Microsoft Intune centru administracije.

2. Idite na Uređaji >upravljanje uređajima >konfiguraciju.

3. Izaberite stavku Kreiraj > nove smernice.

4. U okviru Kreiranje profila:

5. Platforma: Windows 10 i novije verzije

6. Tip profila: katalog postavki

7. Izaberite stavku Kreiraj.

8. Imenujte profil (npr. ažuriranje certifikata za bezbedno pokretanje), dodajte opcionalni opis i kliknite na dugme Dalje.

9. U okviru Postavke konfiguracije izaberite stavku Dodaj postavke.

10. U biraču postavki potražite stavku Bezbedno pokretanje i izaberite je u okviru Pregledaj po kategoriji.

11. Dodajte postavku Omogući certifikat za bezbedno Novosti pokretanja iz tri kategorije bezbednog pokretanja u profil.

    Napomena: Druge postavke bezbednog pokretanja možete da konfigurišete u ovoj kategoriji na isti način ako su potrebne scenariju primene.

12. Konfigurišite vrednost postavke na Omogućeno.

13. Kliknite na dugme Dalje da biste prešli na zadatke. (Primenićete filter u 3. koraku).

2. korak – kreiranje filtera dodele za ciljanje zasnovano na modelu

Zatim kreirajte filter Intune dodele koji cilja određene modele uređaja. Ciljanje zasnovano na modelu omogućava vam da suzite opseg ažuriranja certifikata bezbednog pokretanja na izabrane hardverske modele. Ova kontrolisana primena i primena po fazama ne zahteva dodatne Microsoft Entra ID grupama.

Zašto se ciljanje zasnovano na modelu preporučuje za primenu certifikata za bezbedno pokretanje

• Promenljiva firmvera – OEM-i drugačije primenjuju bezbedno pokretanje, tako da određivanje opsega na nivou modela smanjuje neočekivano ponašanje.

• Prethodna provera valjanosti – Možete da proverite valjanost ispravki certifikata na poznatom dobrom skupu hardvera pre široke primene.

Šta ćete vi kreirati

Filter dodeljivanja upravljanih uređaja koji cilja (ili isključuje) određene modele uređaja.

Kreiranje filtera za dodelu

1. Prijavite se Microsoft Intune centru administracije.

2. Idite na karticu Vlasnička administracija > dodeljivanja i >kreiraj.

3. Izaberite stavku Kontrolisani uređaji.

4. U okviru Osnove, podesite:

   • Ime filtera (opisno).

   • Opis (opcionalno, ali se preporučuje).

   • Platforma: Windows 10 i novije verzije.

5. Izaberite stavku Dalje.

6. U okviru Pravila odaberite jedan pristup:

   • Izrada pravila (preporučuje se za većinu administratora)

   • Sintaksa pravila (ručno uređivanje izraza)

Pravljenje pravila zasnovanog na modelu (izrada pravila)

1. U alatki "Izrada pravila" izaberite svojstvo modela .

2. Odaberite operator.

3. Unesite niske modela koje želite da se podudaraju.

4. Izaberite stavku Dodaj izraz da biste ga dodali u pravilo.

5. Ako je potrebno, koristite And/Or da biste proširili pravilo na dodatne modele ili da biste dodali dodatne kriterijume na osnovu drugih mogućih svojstava koja se mogu filtrirati.

Pregled i kreiranje filtera

1. Izaberite stavku Pregled uređaja da biste potvrdili koji upisani uređaji se podudaraju.

2. Izaberite stavku Dalje.

3. (Opcionalno) Dodelite oznake opsega ako ih koristite.

4. Izaberite stavku Dalje.

5. U okviru Redigovanje + kreiraj izaberite stavku Kreiraj.

3. korak – Dodeljivanje smernica pomoću filtera dodele

Na kraju, profil kataloga Postavki dodeljujete uređaju ili grupi korisnika i primenjujete filter dodele. Ovo određuje koji upisani uređaji primaju i obrađuju postavke ažuriranja certifikata za bezbedno pokretanje tokom procene smernica.

Šta ćete uraditi

Dodelićete profil kataloga Postavke bezbednog pokretanja iz 1. koraka grupi, a zatim primeniti filter iz 2. koraka u režimu uključivanja ili isključivanja.

Primena filtera za dodelu

1. U Microsoft Intune administracije idite na stavku Uređaji > Upravljanje uređajima > konfiguraciju.

2. Izaberite profil kataloga Postavke koji ste kreirali u 1. koraku iznad.

3. Otvorite svojstva > dodele >Uredi.

4. Dodelite profil odgovarajućoj grupi korisnika iligrupi uređaja.

   Savet: Ako nemate nijedan drugi kriterijum za ograničavanje ciljanja, dodelite ove smernice virtuelnoj grupi Svi uređaji. Koristite filter dodeljivanja modela uređaja od 2. koraka da biste suzili opseg zadatka. Ova kombinacija je dovoljna za većinu primena. Virtuelna grupa svih uređaja je ugrađena, ne zahteva održavanje grupe i optimizovana je za razmeru. Zatim filter dodele sužava primenljivu primenu pri prijavljivanje na uređaju na osnovu svojstava uređaja, bez potrebe za dodatnim Microsoft Entra grupama.

5. Izaberite stavku Uredi filter.

6. Odaberite jedan:

   • Uključite filtrirane uređaje u dodelu: samo uređaji koji se podudaraju sa filterom primaju smernice.

   • Isključite filtrirane uređaje u dodeli: uređaji koji se podudaraju sa filterom ne primaju smernice.

7. Izaberite postojeći filter za dodelu iz 2. koraka i odaberite stavku Izaberi.

8. Izaberite pregled + sačuvaj >Sačuvaj.

Razumevanje ponašanja uređaja

• Intune procenjuje filter kada se uređaj upisi, svaki put kada se prijavi i svaki put kada se dodeljene smernice ponovo procene.

• Omogućavanje postavke bezbednog pokretanja ne garantuje neposrednu aplikaciju certifikata. Za postavku bezbednog pokretanja koja pokreće proces ažuriranja, zadatak bezbednog pokretanja operativnog sistema Windows se pokreće svakih 12 sati. Neke ispravke mogu zahtevati ponovno pokretanje.

Najčešća pitanja

Resurse

• Definicije postavki i dozvoljene vrednosti: SecureBoot Policy CSP

• Postavke toka i ponašanja postavki kataloga: Microsoft Intune metoda bezbednog pokretanja za Windows uređaje sa ispravkama kojima upravlja IT

• Pozadina i vremenske ose: istek certifikata za bezbedno pokretanje operativnog sistema Windows i CA ispravke

• Kreiranje, pregled i primena filtera: Kreiranje filtera za dodelu u programu Microsoft Intune

• Podržana svojstva, operatori i sintaksa: Reference svojstava filtera za dodelu i operatori

• Celokupno planiranje objave i Intune su pozvani kao preporučena opcija: Beležnica za bezbedno pokretanje za certifikate koji ističu 2026. godine

• Pristup samo za nadgledanje i Intune izveštavanje): Nadgledanje statusa certifikata za bezbedno pokretanje pomoću Microsoft Intune ispravki