Tillämpa uppdateringsinställningar för certifikat för säker start med modellbaserad målanpassning i Microsoft Intune

Gäller för
Windows 10 ESU Windows 10 Enterprise LTSC 2021 Windows 11 Home and Pro, version 21H2 Windows 11 Enterprise Multi-Session, version 21H2 Windows 11 Enterprise and Education, version 21H2 Windows 11 IoT Enterprise, version 21H2 Windows 11 Home and Pro, version 22H2 Windows 11 Enterprise Multi-Session, version 22H2 Windows 11 Enterprise and Education, version 22H2 Windows 11 IoT Enterprise, version 22H2 Windows 11 SE, version 23H2 Windows 11 Home and Pro, version 23H2 Windows 11 Enterprise and Education, version 23H2 Windows 11 Enterprise Multi-Session, version 23H2 Windows 11 SE, version 24H2 Windows 11 Enterprise and Education, version 24H2 Windows 11 Enterprise Multi-Session, version 24H2 Windows 11 Home and Pro, version 24H2 Windows 11 IoT Enterprise, version 24H2 Windows 11 version 25H2, all editions

Obs

  • Ursprungligt publiceringsdatum: Senast uppdaterad: 10 mars 2026
  • KB-ID: 5084490

Den här artikeln innehåller vägledning för

  • IT-proffs och Intune-administratörer som hanterar Windows-enheter, distribuerar uppdateringskontroller för certifikat för säker start via principer för inställningskatalog och övervakar uppdateringsarbetsflöden.
  • Team som behöver rikta distributioner till specifika maskinvarumodeller med hjälp av tilldelningsfilter.

I den här artikeln:

Introduktion

Den här vägledningen hjälper IT-administratörer att aktivera uppdateringsprocessen för certifikat för säker start med hjälp av katalogprinciper för inställningar i Microsoft Intune. Den beskriver hur du konfigurerar inställningen för säker start som aktiverar certifikatuppdateringsprocessen och hur du distribuerar konfigurationen. Dessutom beskrivs hur du använder modellbaserade tilldelningsfilter för att stödja kontrollerade, stegvisa distributioner på maskinvara som redan har verifierats för att hantera uppdateringen.

Förutsättningar

Uppdateringsbehörigheten för certifikat för säker start bestäms avCSP:n  för principen för säker start och enhetens inbyggda programvara. Det här omfånget överensstämmer inte alltid med tidslinjer för Windows-underhåll (t.ex. uppdateringar) eller registreringskrav för Intune.

Intune och principkrav

  • Logga in med ett konto som har behörighet att skapa, filtrera och skapa/tilldela principer för inställningskatalogen.
  • Enheter måste registreras i Intune (tilldelningsfilter gäller endast för hanterade enheter).

Kvalificering för säker start – förutsättningar

Steg 1 – Konfigurera uppdateringsinställningar för certifikat för säker start i Intune (inställningskatalog)

I det här steget skapar du en enhetskonfigurationsprofil för Windows inställningskatalog i Microsoft Intune. Du konfigurerar också inställningarna för säker start som aktiverar uppdateringsprocessen för certifikatet för säker start.

Vad du ska skapa

En enhetskonfigurationsprofil för Windows-inställningskatalog som aktiverar uppdateringar för att aktivera certifikat för säker start:

Skapa profilen för inställningskatalogen

  1. Logga in på Microsoft Intune administrationscenter.

  2. Gå till Enheter>, hantera enheter>,konfiguration.

  3. Välj Skapa>ny princip.

  4. I Skapa en profil:

  5. Plattform: Windows 10 och senare

  6. Profiltyp: Inställningskatalog

  7. Välj Skapa.

  8. Namnge profilen (t.ex. Certifikatuppdatering för säker start), lägg till en valfri beskrivning och välj Nästa.

  9. I konfigurationsinställningar väljer du Lägg till inställningar.

  10. I inställningsväljaren söker du efter Säker start och väljer det under Bläddra efter kategori.

  11. Lägg till inställningen Aktivera uppdateringar för certifikat för säker start från de tre som visas i kategorin Säker start i profilen.

    Obs

    Du kan konfigurera de andra inställningarna för säker start i den här kategorin på samma sätt om ditt distributionsscenario kräver dem.

  12. Konfigurera inställningsvärdet till Aktiverad.

  13. Välj Nästa för att fortsätta till uppgifterna. (Du kommer att använda ett filter i steg 3).

Steg 2 – Skapa ett tilldelningsfilter för modellbaserad målinriktning

Därefter skapar du ett Intune tilldelningsfilter som riktar sig mot specifika enhetsmodeller. Med modellbaserad målanpassning kan du begränsa certifikatuppdateringar för säker start till valda maskinvarumodeller. Den här kontrollerade och mellanlagrade distributionen kräver inga ytterligare Microsoft Entra ID grupper.

Varför modellbaserad målanpassning rekommenderas för distribution av certifikat för säker start

  • Avvikelse i inbyggd programvara – OEM-tillverkare implementerar säker start på olika sätt, så omfång på modellnivå minskar oväntat beteende.
  • Tidigare validering – Du kan verifiera certifikatuppdateringar på en känd bra maskinvaruuppsättning före en bred distribution.

Vad du ska skapa

Ett tilldelningsfilter för hanterade enheter som riktar in sig på (eller exkluderar) specifika enhetsmodeller.

Skapa uppgiftsfiltret

  1. Logga in på Microsoft Intune administrationscenter.

  2. Gå till Administration av klientorganisation>Tilldelningsfilter>Skapa.

  3. Välj Hanterade enheter.

  4. I Grundläggande anger du:

    • Filternamn (beskrivande).
    • Beskrivning (valfritt, men rekommenderas).
    • Plattform: Windows 10 och senare.

  5. Välj Nästa.

  6. Välj en metod i Regler:

    • Regelverktyget (rekommenderas för de flesta administratörer)
    • Regelsyntax (manuell uttrycksredigering)

Skapa en modellbaserad regel (regelverktyget)

  1. Välj modellegenskapen i Regelverktyget.
  2. Välj en operatör.
  3. Ange den eller de modellsträngar du vill matcha.
  4. Välj Lägg till uttryck för att lägga till det i regeln.
  5. Om det behövs kan du använda och/eller för att utöka regeln till ytterligare modeller eller för att lägga till ytterligare villkor baserat på andra möjliga filtrerbara egenskaper.

Tips

Använd förhandsversionsenheter för att verifiera att filtret matchar den avsedda uppsättningen. Förhandsgranskningslistan stöder sökning efter enhetsnamn, OS-version, enhetsmodell och enhetstillverkare.

Förhandsgranska och skapa filtret

  1. Välj Förhandsgranska enheter för att bekräfta vilka registrerade enheter som matchar.
  2. Välj Nästa.
  3. (Valfritt) Tilldela omfångstaggar om du använder sådana.
  4. Välj Nästa.
  5. I Granska + skapa väljer du Skapa.

Steg 3 – Tilldela principen med hjälp av tilldelningsfiltret

Slutligen tilldelar du inställningskatalogprofilen till en enhet eller användargrupp och tillämpar tilldelningsfiltret. Detta avgör vilka registrerade enheter som tar emot och bearbetar uppdateringsinställningarna för certifikatet för säker start under principutvärderingen.

Vad du ska göra

Du tilldelar katalogprofilen för inställningar för säker start från steg 1 till en grupp och använder sedan filtret från steg 2 i läget Inkludera eller Exkludera .

Använda tilldelningsfiltret

  1. I administrationscentret för Microsoft Intune går du till Enhetshantering>för enhetskonfiguration>.

  2. Välj profilen för inställningskatalogen som du skapade i steg 1 ovan.

  3. Öppna egenskaper>Redigera tilldelningar>.

  4. Tilldela profilen till lämplig användargrupp eller enhetsgrupp.

    Tips

    Om du inte har några andra kriterier för att begränsa målinställningen tilldelar du den här principen till den virtuella gruppen Alla enheter . Använd enhetsmodelltilldelningsfiltret från steg 2 för att begränsa tilldelningen. Den här kombinationen är tillräcklig för de flesta distributioner. Den virtuella gruppen Alla enheter är inbyggd, kräver inget gruppunderhåll och är optimerad för skalning. Tilldelningsfiltret begränsar sedan tillämpligheten vid enhetsincheckning baserat på enhetsegenskaperna, utan att ytterligare Microsoft Entra grupper krävs.

  5. Välj Redigera filter.

  6. Välj ett alternativ:

    • Inkludera filtrerade enheter i tilldelningen: endast enheter som matchar filtret får principen.
    • Exkludera filtrerade enheter i tilldelning: enheter som matchar filtret får inte principen.

  7. Välj ditt befintliga uppgiftsfilter från steg 2 och välj Välj.

  8. Välj Granska + spara>Spara.

Förstå enhetens beteende

  • Intune utvärderar filtret när enheten registreras, varje gång den checkar in och när den tilldelade principen utvärderas på nytt.
  • Aktivering av inställningen för säker start garanterar inte omedelbar certifikattillämpning. För inställningen Säker start som utlöser uppdateringsprocessen körs Windows Säker start-uppgiften var 12:e timme. Vissa uppdateringar kan kräva en omstart.

Vanliga frågor och svar

Hur ofta bearbetar enheter inställningen Aktivera uppdateringar för certifikat för säker start?

Windows Säker start-aktiviteten som bearbetar inställningen körs var 12:e timme.

Bör jag förvänta mig omstarter?

Att initiera uppdateringen via Intune orsakar inte en omstart, men en omstart kan krävas för att slutföra uppdateringen.

Kan jag återställa eller ta bort de nya certifikaten när de har tillämpats?

När certifikat har tillämpats på den inbyggda programvaran kan Windows inte ta bort dem. Rensning av certifikat måste göras via gränssnittet för den inbyggda programvaran.

Varför ska jag göra detta före juni 2026?

Äldre certifikat börjar gälla i juni 2026. Enheter som inte har fått de nyare certifikaten för 2023 förlorar möjligheten att ta emot nya säkerhetsskydd för tidig start (t.ex. säker startdatabas och återkallningsuppdateringar).

Resurser