Uppdateringar av certifikat för säker start: Vägledning för IT-tekniker och organisationer

Ändringslogg

Ändra datum	Ändra beskrivning
Den 5 maj 2026	Ersatt innehållet i felsökningsavsnittet med en länk till artikeln Felsökning. Avsnitten "Förfallodatum för certifikat för säker start", "Vad som ändras" och "Microsoft Customer Support resources" har tagits bort eftersom de duplicerade allmän information i relaterade artiklar, till exempel förfallodatum för Windows Secure Boot-certifikat och CA-uppdateringar.
Senast uppdaterad: 30 mars 2026	Löste det kända problemet "uppdateringar av certifikat för säker start kan misslyckas med händelse-ID 1795 på virtuella Hyper-V-datorer"
Senast uppdaterad: 24 mars 2026	Det kända problemet "uppdateringar av certifikat för säker start kan misslyckas med händelse-ID 1795 på virtuella Hyper-V-datorer" har uppdaterats
Senast uppdaterad: 16 mars 2026	Avsnittet "Exempel på konfidensdata" under "Exempel på datainsamlingsskript för säker startinventering" har tagits bort eftersom det är inaktuellt.
Senast uppdaterad: 3 mars 2026	Formaterade om exempelutgången under avsnittet "Förberedelse" så att den håller sig inom rutan.
Den 24 februari 2026	Uppdaterade innehållet för "Exempel på datainsamlingsskript för säker startinventering" under avsnittet "Förberedelse". Lade till ett nytt avsnitt, "Sample output" under "Preparation" section.
Den 23 februari 2026	Uppdaterade innehållet för "Exempel på datainsamlingsskript för säker startinventering" under avsnittet "Förberedelse".
Den 13 februari 2026	Lade till "Exempel på konfidensdata" objekt i avsnittet " Förberedelse". "Samlingsskript för väntande händelser 1801 och 1808" har tagits bort från avsnittet "Förberedelse" eftersom det inte längre behövs.
Den 3 februari 2026	Flyttade och formaterade om vanliga problem i felsökningsavsnittet. Ett nytt vanligt problem har lagts till: "Uppdateringar av certifikat för säker start kan misslyckas med händelse-ID 1795 på virtuella Hyper-V-datorer".
Den 26 januari 2026	Uppdaterade texten under "Automatic Deployment Assist" från " Båda assisterna kräver diagnostikdata." till " Endast assistenten för Controlled Feature Rollout kräver diagnostikdata.
Den 11 november 2025	Korrigerade två stavfel under "Stöd för distribution av certifikat för säker start". 0x0800 - Certifikatnamnet ändrades från "Microsoft UEFI CA 2023" till "Microsoft Option ROM UEFI CA 2023". 0x1000 – Microsoft Option ROM CA 2023 har ändrats till "Microsoft UEFI CA 2023".
Den 10 november 2025	Korrigerade två stavfel under "Nytt certifikat": från " Microsoft Corporation KEK CA 2023" till " Microsoft Corporation KEK 2K CA 2023" och från " Microsoft Option ROM CA 2023" till " Microsoft Option ROM UEFI CA 2023". Nya PowerShell-skript har lagts till under rubrikerna "Verifiera status för säker start i hela flottan: Är säker start aktiverat? " och "Förberedelse".

I den här artikeln:

• Översikt

• Spelbok för distribution för IT-proffs

  • Verifiera status för säker start i hela vagnparken: Är säker start aktiverat?
  • Så här distribueras uppdateringar
  • Steg för distribution
  • Förberedelse
  • Att tänka på när det gäller inbyggd programvara
  • Windows i virtualiserade miljöer
  • Övervakning och distribution
  • Automatiserade distributionshjälp
  • Distributionsmetoder som inte omfattas av automatiserade assistenter
  • Övervaka händelseloggar
  • Distributionsstrategier

• Vanliga frågor (FAQ)

• Felsökning

• Ytterligare resurser

Översikt

Den här artikeln är avsedd för organisationer med dedikerade IT-proffs som aktivt hanterar uppdateringar i sina enheter. Det mesta av den här artikeln fokuserar på de aktiviteter som krävs för att en organisations IT-avdelning ska lyckas med distributionen av de nya certifikaten för säker start. Dessa aktiviteter omfattar testning av inbyggd programvara, övervakning av enhetsuppdateringar, initiering av distribution och diagnostisering av problem när de uppstår. Flera metoder för distribution och övervakning presenteras. Utöver dessa kärnaktiviteter erbjuder vi flera distributionshjälpmedel, inklusive möjligheten att välja klientenheter för deltagande i en CFR (Controlled Feature Rollout) specifikt för certifikatdistribution.

Spelbok för distribution för IT-proffs

Planera och utför certifikatuppdateringar för säker start i din enhetsflotta genom förberedelser, övervakning, distribution och reparation.

Verifiera status för säker start i hela vagnparken: Är säker start aktiverat?

De flesta enheter som tillverkats efter 2012 har stöd för Säker start och levereras med Säker start aktiverat. Om du vill kontrollera att Säker start är aktiverat på en enhet gör du något av följande:

• GUI-metod: Gå till Start-inställningar>>Sekretess & Säkerhet>Windows-säkerhet>Enhetssäkerhet. Under Enhetssäkerhet bör avsnittet Säker start indikera att Säker start är aktiverat.
• Kommandoradsmetod: Skriv Confirm-SecureBootUEFI i en upphöjd kommandotolk i PowerShell och tryck på Retur. Kommandot ska returnera True för att indikera att Säker start är aktiverat.

I storskaliga distributioner för en flotta av enheter måste hanteringsprogramvaran som används av IT-proffs tillhandahålla en kontroll för aktivering av säker start.

Metoden för att kontrollera tillståndet för säker start på Microsoft Intune-hanterade enheter är till exempel att skapa och distribuera ett anpassat efterlevnadsskript för Intune. Intune efterlevnadsinställningar beskrivs i Använda anpassade efterlevnadsinställningar för Linux och Windows-enheter med Microsoft Intune.

Om Säker start inte är aktiverat kan du hoppa över uppdateringsstegen nedan eftersom de inte är tillämpliga.

Så här distribueras uppdateringar

Det finns flera sätt att rikta in sig på enheter för certifikatuppdateringar för säker start. Distributionsinformation, inklusive inställningar och händelser, beskrivs senare i det här dokumentet. När du riktar in dig på en enhet för uppdateringar görs en inställning på enheten för att ange att enheten ska påbörja processen med att tillämpa de nya certifikaten. En schemalagd aktivitet körs på enheten var 12:e timme och identifierar att enheten har varit mål för uppdateringarna. Här följer några exempel på vad som händer i aktiviteten:

1. Windows UEFI CA 2023 tillämpas på databasen.
2. Om enheten har Microsoft Corporation UEFI CA 2011 i databasen tillämpar uppgiften Microsoft Option ROM UEFI CA 2023 och Microsoft UEFI CA 2023 på databasen.
3. Uppgiften lägger sedan till Microsoft Corporation KEK 2K CA 2023.
4. Slutligen uppdaterar den schemalagda aktiviteten Windows-starthanteraren till den som signerats av Windows UEFI CA 2023. Windows identifierar att en omstart behövs innan starthanteraren kan tillämpas. Uppdateringen av starthanteraren fördröjs tills omstarten sker naturligt (t.ex. när månatliga uppdateringar tillämpas) och sedan försöker Windows tillämpa uppdateringen för starthanteraren igen.

Alla stegen ovan måste slutföras innan den schemalagda aktiviteten går vidare till nästa steg. Under den här processen är händelseloggar och annan status tillgängliga för att underlätta övervakningen av distributionen. Mer information om övervakning och händelseloggar finns nedan.

Genom att uppdatera certifikaten för säker start möjliggörs en framtida uppdatering av 2023 Boot Manager, som är säkrare. Specifika uppdateringar för Boot Manager kommer att finnas i framtida versioner.

Steg för distribution

• Förberedelse: Inventering och testenheter.
• Att tänka på när det gäller inbyggd programvara
• Övervakning: Kontrollera att övervakningen fungerar och baslinjeforma din flotta.
• Distribution: Målenheter för uppdateringar, börja med små delmängder och expandera baserat på lyckade tester.
• Åtgärd: Undersök och lös eventuella problem med hjälp av loggar och leverantörssupport.

Förberedelse

Inventering av maskinvara och inbyggd programvara. Skapa ett representativt urval av enheter baserat på systemtillverkare, systemmodell, BIOS-version/datum, BaseBoard-produktversion osv. och testa uppdateringar på dessa enheter före bred distribution.  Dessa parametrar är allmänt tillgängliga i systeminformation (MSINFO32). Använd de medföljande PowerShell-exempelkommandona för att kontrollera uppdateringsstatus för säker start och för att inventera enheter i organisationen.

Exempel på datainsamlingsskript för inventering av säker start

Kopiera och klistra in det här exempelskriptet och ändra efter behov för din miljö: Exempel på datainsamlingsskript för säker startinventering.

Konfidensnivåer för säker start

Konfidensnivå	Betydelse	Åtgärd krävs
Högt förtroende	Microsoft har verifierat att den här enhetsklassen är säker för uppdateringar	Säkert att distribuera certifikatuppdateringar
Under observation – mer data behövs	Microsoft samlar fortfarande in diagnostikdata för distribution av säker start om dessa enheter	Vänta på Microsoft-klassificering
Inga observerade data – åtgärd krävs	Microsoft känner inte till enhetsklassen	Företaget måste testa och planera för distribution
Tillfälligt pausad	Kända kompatibilitetsproblem	Sök efter OEM BIOS-uppdatering; Vänta tills Microsoft har löst problemet
Stöds inte – känd begränsning	Plattforms- eller maskinvarubegränsningar	Dokument som undantag

Det första steget om Säker start är aktiverat är att kontrollera om det finns väntande händelser som nyligen har uppdaterats eller håller på att uppdatera certifikaten för säker start. Av särskilt intresse är de senaste händelserna 1801 och 1808. Dessa händelser beskrivs i detalj i Säker start, DB- och DBX-variabeluppdateringshändelser. Se även avsnittet Övervakning och distribution för att se hur händelserna kan visa tillståndet för väntande uppdateringar.

Nästa steg är att inventera enheter i organisationen. Samla in följande information med PowerShell-kommandon för att skapa ett representativt exempel:

Att tänka på när det gäller inbyggd programvara

Om du distribuerar de nya certifikaten för säker start till din enhetsflotta måste enhetens inbyggda programvara spela en roll för att slutföra uppdateringen. Microsoft förväntar sig att de flesta enheter med inbyggd programvara kommer att fungera som förväntat, men noggrann testning krävs innan de nya certifikaten distribueras.

Undersök maskinvaruinventeringen och skapa ett litet, representativt urval av enheter baserat på följande unika kriterier, till exempel:

• Tillverkare
• Modellnummer
• Version av inbyggd programvara
• OEM Baseboard version, etc.

Innan du distribuerar brett till enheter i din flotta rekommenderar vi att du testar certifikatuppdateringarna på representativa exempelenheter (enligt definitionen av faktorer som tillverkare, modell, version av inbyggd programvara) för att säkerställa att uppdateringarna bearbetas. Rekommenderad vägledning om antalet exempelenheter som ska testas för varje unik kategori är 4 eller fler.

Detta kommer att bidra till att bygga upp förtroende för din distributionsprocess och hjälpa till att undvika oförutsedda effekter på din bredare flotta.

I vissa fall kan det krävas en uppdatering av den inbyggda programvaran för att uppdatera certifikaten för säker start. I sådana fall rekommenderar vi att du kontrollerar med enhetens OEM-tillverkare om det finns uppdaterad inbyggd programvara.

Windows i virtualiserade miljöer

För Windows som körs i en virtuell miljö finns det två metoder för att lägga till de nya certifikaten i variablerna för säker startprogramvara:

• Skaparen av den virtuella miljön (AWS, Azure, Hyper-V, VMware osv.) kan tillhandahålla en uppdatering för miljön och inkludera de nya certifikaten i den virtualiserade inbyggda programvaran. Detta skulle fungera för nya virtualiserade enheter.
• För Windows som körs långsiktigt på en virtuell dator kan uppdateringarna tillämpas via Windows som andra enheter, om den virtualiserade inbyggda programvaran stöder uppdateringar av säker start.

Övervakning och distribution

Vi rekommenderar att du börjar enhetsövervakningen före distributionen för att säkerställa att övervakningen fungerar korrekt och att du har en god uppfattning om vagnparkens tillstånd i förväg. Övervakningsalternativ diskuteras nedan.

Microsoft tillhandahåller flera metoder för att distribuera och övervaka certifikatuppdateringarna för säker start.

Automatiserade distributionshjälp

Microsoft tillhandahåller två distributionshjälp. Dessa hjälpmedel kan visa sig vara användbara för att hjälpa till med distributionen av de nya certifikaten till din flotta. Endast assistenten för Controlled Feature Rollout kräver diagnostikdata.

• Alternativ för kumulativa uppdateringar med konfidensbuckets: Microsoft kan automatiskt inkludera enhetsgrupper med hög konfidens i månatliga uppdateringar baserat på diagnostikdata som delats hittills, för att gynna system och organisationer som inte kan dela diagnostikdata. Det här steget kräver inte att diagnostikdata är aktiverade.

  • För organisationer och system som kan dela diagnostikdata ger det Microsoft synlighet och förtroende för att enheter kan distribuera certifikaten. Mer information om hur du aktiverar diagnostikdata finns i: Konfigurera Windows-diagnostikdata i din organisation. Vi skapar "buckets" för varje unik enhet (enligt definitionen av attribut som tillverkare, moderkortsversion, tillverkare av inbyggd programvara, version av inbyggd programvara och ytterligare datapunkter). För varje bucket övervakar vi framgångsbevis över flera enheter. När vi har sett tillräckligt många lyckade uppdateringar och inga misslyckanden betraktar vi bucketen som "hög konfidens" och inkluderar dessa data i de månatliga kumulativa uppdateringarna. När månatliga uppdateringar tillämpas på en enhet i en bucket med hög konfidens tillämpar Windows automatiskt certifikaten på UEFI Secure Boot-variablerna i den inbyggda programvaran.
  • Buckets med hög konfidens innehåller enheter som bearbetar uppdateringarna korrekt. Naturligtvis tillhandahåller inte alla enheter diagnostikdata, och det kan begränsa Microsofts förtroende för en enhets förmåga att bearbeta uppdateringarna korrekt.
  • Den här hjälpen är aktiverad som standard för enheter med hög konfidens och kan inaktiveras med en enhetsspecifik inställning. Mer information kommer att delas i framtida Windows-versioner.

• Controlled Feature Rollout (CFR): Välj enheter för Microsoft-hanterad distribution om diagnostikdata är aktiverat.

  • CFR (Controlled Feature Rollout) kan användas med klientenheter i organisationens flottor. Detta kräver att enheter skickar obligatoriska diagnostikdata till Microsoft och har signalerat att enheten accepterar att tillåta CFR på enheten. Information om hur du registrerar dig finns nedan.

  • Microsoft hanterar uppdateringsprocessen för dessa nya certifikat på Windows-enheter där diagnostikdata är tillgängliga och enheterna deltar i CFR (Controlled Feature Rollout). Även om CFR kan hjälpa till med distributionen av de nya certifikaten kan organisationer inte förlita sig på CFR för att åtgärda sina flottor – det kräver att du följer de steg som beskrivs i det här dokumentet i avsnittet om distributionsmetoder som inte omfattas av automatiserade assister.

  • Begränsningar: Det finns några anledningar till att CFR kanske inte fungerar i din miljö. Till exempel:

    • Inga diagnostikdata är tillgängliga eller så kan diagnostikdata inte användas som en del av CFR-distributionen.
    • Enheter finns inte på klientversioner av Windows 11 och Windows 10 med utökade säkerhetsuppdateringar (ESU) som stöds.

Distributionsmetoder som inte omfattas av automatiserade assistenter

Välj den metod som passar din miljö. Undvik att blanda metoder på samma enhet:

• Registernycklar: Kontrollera distributionen och övervaka resultat.
  Det finns flera registernycklar tillgängliga för att styra distributionen av certifikaten och för att övervaka resultaten. Det finns dessutom två nycklar till att välja och välja bort de distributionshjälpmedel som beskrivs ovan. Mer information om registernycklarna finns i Uppdateringar av registernycklar för säker start – Windows-enheter med IT-hanterade uppdateringar.

• grupprincip Objects (GPO): Hantera inställningar, övervaka via register- och händelseloggar.
  Microsoft kommer att tillhandahålla stöd för hantering av uppdateringar för säker start med grupprincip i en framtida uppdatering. Observera att eftersom grupprincip är för inställningar måste övervakning av enhetens status göras med alternativa metoder, inklusive övervakning av registernycklar och händelseloggposter.

• WinCS (Windows Configuration System) CLI: Använd kommandoradsverktyg för domänanslutna klienter.
  Domänadministratörer kan också använda Windows Configuration System (WinCS) som ingår i Windows OS-uppdateringar för att distribuera uppdateringar för säker start över domänanslutna Windows-klienter och servrar. Den består av en serie kommandoradsverktyg (både en traditionell körbar fil och en PowerShell-modul) för att fråga och tillämpa konfigurationer för säker start lokalt på en dator. Mer information finns i följande artiklar:

  • Windows Configuration System (WinCS) API:er för säker start
  • Exempel på guide för säker start E2E-automatisering

• Microsoft Intune/Configuration Manager: Distribuera PowerShell-skript. En konfigurationstjänstleverantör (CSP) kommer att tillhandahållas i en framtida uppdatering för att möjliggöra distribution med Intune.

Övervaka händelseloggar

Två nya händelser tillhandahålls för att hjälpa dig att distribuera certifikatuppdateringarna för säker start. Dessa händelser beskrivs i detalj i Uppdateringshändelser för databasen för säker start och DBX:

• Händelse-ID: 1801
  Den här händelsen är en felhändelse som anger att de uppdaterade certifikaten inte har tillämpats på enheten. Den här händelsen innehåller enhetsspecifik information, inklusive enhetsattribut, som hjälper dig att korrelera vilka enheter som fortfarande behöver uppdateras.
• Händelse-ID: 1808
  Den här händelsen är en informationshändelse som anger att enheten har de nödvändiga nya certifikaten för säker start tillämpade på enhetens inbyggda programvara.

Distributionsstrategier

Minimera risken genom att distribuera uppdateringar för säker start i etapper i stället för alla samtidigt. Börja med en liten delmängd av enheter, verifiera resultaten och expandera sedan till ytterligare grupper. Vi föreslår att du börjar med delmängder av enheter och, när du får förtroende för dessa distributioner, lägger till ytterligare delmängder av enheter. Flera faktorer kan användas för att avgöra vad som ingår i en delmängd, inklusive testresultat på exempelenheter och organisationsstruktur osv.

Du bestämmer vilka enheter du ska distribuera. Några möjliga strategier listas här.

• Stor enhetsflotta: börja med att förlita dig på de hjälpmedel som beskrivs ovan för de vanligaste enheterna som du hanterar. Parallellt fokuserar du på de mindre vanliga enheterna som hanteras av organisationen. Testa små provenheter och, om testningen lyckas, distribuera till resten av enheterna av samma typ. Om testningen skapar problem undersöker du orsaken till problemet och bestämmer reparationssteg. Du kanske också vill överväga klasser av enheter som har högre värde i din flotta och börja testa och distribuera för att säkerställa att dessa enheter har uppdaterat skydd på plats tidigt.
• Liten flotta, stort utbud: Om den maskinpark du hanterar innehåller ett stort antal olika datorer där det skulle vara oöverkomligt att testa enskilda enheter bör du överväga att förlita dig mycket på de två hjälpmedel som beskrivs ovan, särskilt för enheter som sannolikt är vanliga enheter på marknaden. Fokusera inledningsvis på enheter som är viktiga för den dagliga driften, testa och distribuera sedan. Fortsätt att flytta nedåt i listan över högprioriterade enheter, testa och distribuera samtidigt som du övervakar flottan för att bekräfta att assisterna hjälper till med resten av enheterna.

Obs!

• Var uppmärksam på äldre enheter, särskilt enheter som inte längre stöds av tillverkaren. Även om den inbyggda programvaran bör utföra uppdateringsåtgärderna korrekt, kanske vissa inte gör det. I de fall där den inbyggda programvaran inte fungerar korrekt och enheten inte längre stöds bör du överväga att byta ut enheten för att säkerställa skydd vid säker start i hela flottan.
• Nya enheter som tillverkats under de senaste 1–2 åren kanske redan har de uppdaterade certifikaten på plats, men kanske inte har Windows UEFI CA 2023-signerad starthanterare tillämpad på systemet. Att använda denna starthanterare är ett viktigt sista steg i distributionen för varje enhet.
• När en enhet har valts för uppdateringar kan det ta lite tid innan uppdateringarna är slutförda. Beräkna 48 timmar och en eller flera omstarter för certifikaten att gälla.

Vanliga frågor (FAQ)

Vanliga frågor och svar finns i artikeln Vanliga frågor och svar om säker start.

Felsökning

Mer information finns i felsökningsdokumentet .

Ytterligare resurser

• Landningssidan för distribution av certifikat för säker start
• Vanliga frågor och svar om säker start
• Windows-enheter för företag och organisationer med IT-hanterade uppdateringar
• Windows-enheter för hemanvändare, företag och skolor med Microsoft-hanterade uppdateringar
• Windows 11 och säker start
• Händelser för säker start av DB- och DBX-variabla uppdateringar
• Vägledning för skapande och hantering av nycklar för säker start
• Säker start
• Uppdatera nycklar för Säker start
• Vägledning för företagsdistribution för CVE-2023-24932
• Så här hanterar du avkall på Windows Boot Manager för säker start-ändringar som är associerade med CVE-2023-24932