Exempel på guide för säker start E2E-automatisering

Den här artikeln innehåller följande avsnitt

• Översikt
• Viktiga funktioner
• Referens för inställningar för uppdateringar av certifikat
• Arkitektur
• Fas 1: Detektering och statusövervakning på företagsnivå
• Fas 2: Orkestreringsskript för certifikatuppdatering för säker start
• E2E-distributionssteg (snabbreferensguide)
• Felsökning
• Ändringslogg

Översikt

I den här guiden beskrivs det automatiserade distributionssystemet för Windows Secure Boot DB-certifikatuppdateringar med grupprincip och progressiva distributionsvågor.

Automatisering av certifikatdistribution för säker start är ett PowerShell-baserat system som distribuerar Windows Secure Boot DB-certifikatuppdateringar till domänanslutna datorer på ett kontrollerat, graderat sätt.

tillbaka till toppen

Viktiga funktioner

Funktion	Beskrivning
Graderad distribution	> 1 2 > 4 > 8... enheter per hink
Automatisk blockering	Buckets med enheter som inte kan nås utesluts
Automatiserad GPO-distribution	En enda orkestreringsskript hanterar allt
Körning av en schemalagd aktivitet	Inga interaktiva uppmaningar krävs
Övervakning i realtid	Statusvisningsprogram med förloppsindikator

tillbaka till toppen

Referens för inställningar för uppdateringar av certifikat

I det här avsnittet

• Grupprincipen AvailableUpdatesPolicy
• WinCSFlags – Systemflaggor för Windows-konfiguration

Grupprincipen AvailableUpdatesPolicy

Registerplats	HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot
Namn	AvailableUpdatesPolicy
Värde	0x5944 (DWORD)

Det här är den GPO/ADMX-styrda nyckeln som:

• Finns kvar efter omstarter
• Anges av Grupprincip / MDM
• Orsakar inte återförsöksloopar (rensas via ClearRolloutFlags)
• Är rätt nyckel för principdriven distribution

Referens: grupprincip objects (GPO)-metod för säker start för Windows-enheter med IT-hanterade uppdateringar

tillbaka till "Referens för uppdateringar för certifikat"

WinCSFlags – Systemflaggor för Windows-konfiguration

Domänadministratörer kan också använda Windows Configuration System (WinCS) som släpptes med Windows OS-uppdateringar för att distribuera uppdateringar för säker start över domänanslutna Windows-klienter och -servrar. Den består av ett kommandoradsgränssnittsverktyg (CLI) för att fråga och tillämpa konfigurationer för säker start lokalt på en dator.

Funktionsnamn	WinCS-nyckel	Beskrivning
Feature_AllKeysAndBootMgrByWinCS	F33E0C8E002	Om du aktiverar den här nyckeln kan du installera följande nya certifikat för säker start som tillhandahålls av Microsoft på enheten. Microsoft Corporation KEK 2K CA 2023 Windows UEFI CA 2023 Microsoft UEFI CA 2023 Microsoft Option UEFI ROM CA 2023

Referens: WinCS-API:er (Windows Configuration System) för säker start

tillbaka till "Referens för uppdateringar för certifikat"

tillbaka till toppen

Arkitektur

tillbaka till toppen

Fas 1: Detektering och statusövervakning på företagsnivå

I det här avsnittet

• Skript som behövs för fas 1
• Lokal testning
• Konfiguration av nätverksresurs
• Distribution av grupprincipobjekt
• Sammanfattning av GPO-inställningar
• Verifiering

Skript som behövs för fas 1

Exempel på skript för datainsamling för inventering av säker start

Exempel på skriptnamn	Syfte	Körs på
Exempel på Detect-SecureBootCertUpdateStatus.ps1 skript	Samlar in enhetsstatusdata	Varje slutpunkt (via GPO)
Exempel på Aggregate-SecureBootData.ps1 skript	Genererar rapporter och instrumentpaneler	Admin workstation
Exempel på Deploy-GPO-SecureBootCollection.ps1 skript	Automatiserar skapandet av grupprincipobjekt för datainsamling	Domänkontrollant

Exempel på utdata från ovanstående fas 1-skript

tillbaka till "Fas 1: Detektering och statusövervakning på företagsnivå"

Lokal testning

Innan du distribuerar via GPO testar du samlingsskriptet på en enskild dator för att verifiera funktionen.

• Kör samlingsskript lokalt

  Öppna en upphöjd PowerShell-kommandotolk och kör:

  & .\Detect-SecureBootCertUpdateStatus.ps1 -OutputPath "C:\Temp\SecureBootTest"
  

• Verifiera JSON-utdata

  # View the collected data
  Get-Content "C:\Temp\SecureBootTest\*_latest.json" | ConvertFrom-Json | Format-List
  

  Viktiga fält att verifiera  
  • SecureBootEnabled – ska vara True or False
  • OverallStatus – Complete, ReadyForUpdate, NeedsData eller Error
  • BucketHash – enhetsbucket för matchning av konfidensdata
  • SecureBootTaskEnabled – visar status för uppdateringsaktivitet för säker start.

• Testa aggregeringsskript

  # Generate reports from collected data
  & ".\Aggregate-SecureBootData.ps1" `
      -InputPath "C:\Temp\SecureBootTest" `
      -OutputPath "C:\Temp\SecureBootReports"
  
  # Open the HTML dashboard
  Start-Process "C:\Temp\SecureBootReports\SecureBoot_Dashboard_*.html"
  

tillbaka till "Fas 1: Detektering och statusövervakning på företagsnivå"

Konfiguration av nätverksresurs

• Skapa en nätverksresurs

  Skapa en dedikerad resurs för insamlingsdata på filservern:

  # Run on file server as Administrator
  $SharePath = "D:\SecureBootCollection"
  $ShareName = "SecureBootData$"
  
  # Create folder
  New-Item -ItemType Directory -Path $SharePath -Force
  
  # Create hidden share ($ suffix hides from browse list)
  New-SmbShare -Name $ShareName -Path $SharePath `
      -Description "Secure Boot Certificate Status Collection" `
      -FullAccess "Domain Admins" `
      -ChangeAccess "Domain Computers"
  

• Konfigurera NTFS-behörigheter

  # Get current ACL
  $Acl = Get-Acl $SharePath
  
  # Allow Authenticated Users to write files
  $WriteRule = New-Object System.Security.AccessControl.FileSystemAccessRule(
      "Domain Computers",
      "Modify",
      "ContainerInherit,ObjectInherit",
      "None",
      "Allow"
  )
  $Acl.AddAccessRule($WriteRule)
  
  # Allow Domain Admins full control (for aggregation)
  $AdminRule = New-Object System.Security.AccessControl.FileSystemAccessRule(
      "Domain Admins",
      "FullControl",
      "ContainerInherit,ObjectInherit",
      "None",
      "Allow"
  )
  $Acl.AddAccessRule($AdminRule)
  
  # Apply permissions
  Set-Acl -Path $SharePath -AclObject $Acl
  

• Verifiera delningsåtkomst

  # Test from a domain-joined workstation
  Test-Path "\\fileserver\SecureBootData$"
  # Should return: True
  

tillbaka till "Fas 1: Detektering och statusövervakning på företagsnivå"

Distribution av grupprincipobjekt

Använd automationsskriptet från en domänkontrollant:

# Run on Domain Controller as Domain Admin for interactive OU Section – Recommended
# Replace the “Contoso.com”, “Contoso” with the name of the domain
# Replace FILESERVER with the file server name.  Script shows list of OUs to deploy GPO on
.\Deploy-GPO-SecureBootCollection.ps1 `
    -DomainName "contoso.com" `
    -AutoDetectOU `
    -CollectionSharePath "\\FILESERVER\SecureBootData$" `
    -ScriptSourcePath ".\Detect-SecureBootCertUpdateStatus.ps1" `
    -Schedule "Daily" `
    -ScheduleTime "14:00" `
    -RandomDelayHours 4

Skriptet utför följande:

• Skapar ett nytt GPO med angivet namn
• Kopierar samlingsskript till SYSVOL för hög tillgänglighet
• Konfigurerar datorns startskript
• Länkar GPO till OU
• Skapar också en schemalagd aktivitet för periodisk insamling

Följande tabell ger vägledning i hur lång förseningen kommer att vara baserat på vagnparkens storlek.

Flottans storlek	Fördröjningsintervall
1–10 000 enheter	4 timmar
10K-50K enheter	8 timmar
50K+ enheter	12-24 timmar

tillbaka till "Fas 1: Detektering och statusövervakning på företagsnivå"

Sammanfattning av GPO-inställningar

Inställning	Plats	Värde
Startskript	Datorkonfiguration → skript	Detect-SecureBootCertUpdateStatus.ps1
Skriptparametrar	(samma)	-OutputPath "\\server\share$"
Körningsprincip	Datorkonfiguration → Admin mallar → PowerShell	Tillåt lokalt och fjärrsignerat
Schemalagd aktivitet	Datorkonfiguration → Inställningar → schemalagda aktiviteter	Samling varje dag/vecka

tillbaka till "Fas 1: Detektering och statusövervakning på företagsnivå"

Verifiering

• Tvinga fram GPO-uppdatering vid test av maskin

  # On a test workstation
  gpupdate /force
  
  # Reboot the client machines to startup script or it will trigger on next schedule.
  Restart-Computer -Force
  

• Verifiera datainsamling

  # Check if data was collected (on file server or from any machine)
  Get-ChildItem "\\fileserver\SecureBootData$" |
      Sort-Object LastWriteTime -Descending |
      Select-Object -First 10
  
  # Verify JSON content
  Get-Content "\\fileserver\SecureBootData$\TESTPC_latest.json" | ConvertFrom-Json
  

• Kontrollera GPO-program

  # Verify GPO is applied to the computer
  gpresult /r | Select-String "SecureBoot"
  # The script also saves a local copy for redundancy.
  Get-ChildItem "C:\ProgramData\SecureBootCollection\"
  

tillbaka till "Fas 1: Detektering och statusövervakning på företagsnivå"

tillbaka till toppen

Fas 2: Orkestreringsskript för certifikatuppdatering för säker start

I det här avsnittet

• Skript som behövs för fas 2
• Start-SecureBootRolloutOrchestrator.ps1
• Deploy-OrchestratorTask.ps1
• Get-SecureBootRolloutStatus.ps1

Skript som behövs för fas 2

Exempel på skript för datainsamling för inventering av säker start

Exempel på skriptnamn	Syfte	Körs på:
Exempel på Detect-SecureBootCertUpdateStatus.ps1 skript	Samlar in enhetsstatusdata	Varje slutpunkt (via GPO)
Exempel på Aggregate-SecureBootData.ps1 skript	Genererar rapporter och instrumentpaneler	Admin workstation
Exempel på Deploy-GPO-SecureBootCollection.ps1 skript	Automatiserar skapandet av grupprincipobjekt för datainsamling	Domänkontrollant
Exempel på Start-SecureBootRolloutOrchestrator.ps1 skript	Helautomatisk, kontinuerlig orkestrering med automatiserad GPO-distribution för certifikatinstallation	Admin workstation
Exempel på Deploy-OrchestratorTask.ps1 skript	Orkestreringsskript distribueras som en schemalagd aktivitet för automatiserad distribution	Domänkontrollant
Exempel på Get-SecureBootRolloutStatus.ps1 skript	Visa status för certifikatdistribution för säker start från valfri arbetsstation	Admin Workstation
Exempel på Enable-SecureBootUpdateTask.ps1 skript	Aktiverar uppdateringsuppgift för säker start	Vid slutpunkter där aktiviteten är inaktiverad (kör bara en gång för att aktivera aktiviteten om den är inaktiverad)

tillbaka till "Fas 2: Orkestreringsskript för certifikatuppdatering för säker start"

Start-SecureBootRolloutOrchestrator.ps1

• Syfte: Helautomatisk, kontinuerlig orkestrering med automatiserad GPO-distribution.

• Vad den gör

  • Samtal Aggregate-SecureBootData.ps1 för enhetsstatus

  • Genererar utrullningsvågor med progressiv dubblering

  • Skapar ett grupprincipobjekt för certifikatdistribution med någon av följande metoder

    • Grupprincip för säker start AvailableUpdatesPolicy = 0x5944 (standard)
    • WinCS-metod (parameter –UseWinCS)

  • Skapar AD-säkerhetsgrupper för mål

  • Lägger till datorkonton i säkerhetsgrupper

  • Konfigurerar GPO-säkerhetsfiltrering

  • Länkar GPO till OU

  • Övervakare för blockerade buckets (enheter som inte kan nås)

  • Avblockera automatiskt när enheter återställs

• Användning

  # Interactive (testing)
  .\Start-SecureBootRolloutOrchestrator.ps1 `
      -AggregationInputPath "\\fileserver\SecureBootData$" `
      -ReportBasePath "C:\SecureBootReports" `
      -PollIntervalMinutes 30
  

  # Interactive (testing), leveraging WinCS method
  .\Start-SecureBootRolloutOrchestrator.ps1 `
      -AggregationInputPath "\\fileserver\SecureBootData$" `
      -ReportBasePath "C:\SecureBootReports" `
      -PollIntervalMinutes 30 `
      -UseWinCS
  

• Admin kommandon

  # List blocked buckets
  .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -ListBlockedBuckets
  

  # Unblock specific bucket
  .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -UnblockBucket "Dell|Latitude5520|BIOS1.2"
  

  # Unblock all
  .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -UnblockAll
  

• Parametrar

  Parameter	Standard	Beskrivning
  AggregationInputPath	Krävs	UNC-sökväg till slutpunkts-JSON-filer
  ReportBasePath (på engelska)	Krävs	Lokal sökväg för rapporter och tillstånd
  TargetOU	Domänrot	Organisationsenhet för att länka grupprincipobjekt
  WavePrefix	SecureBoot-Rollout	Namngivningsprefix för grupprincipobjekt eller gruppnamn
  MaxWaitHours	72	Timmar innan du kontrollerar enhetens nåbarhet
  PollIntervalMinutes (PollIntervalMinutes)	1440	Minuter mellan statuskontroller
  DryRun (på engelska)	Falskt	Visa vad som skulle hända utan ändringar

  Obs

  Anmärkning om PollIntervalMinutes: När du kör orkestreringsdatorn direkt är standardvärdet 1 440 minuter (24 timmar). Vid distribution via Deploy-OrchestratorTask.ps1 är standardvärdet 30 minuter. Distributionsskriptet skickar sin egen standard till orkestreringsatorn. Använd 30 minuter för aktiv distribution, 1440 för underhållsövervakning.

  Valfria parametrar

  Parameter	Standard	Beskrivning
  UseWinCS (på engelska)	Falskt	Använd WinCS-metoden i stället för AvailableUpdatesPolicy GPO
  WinCSKey	F33E0C8E002	WinCS-nyckel för konfiguration av säker start
  AllowListPath (på engelska)	(inget)	Sökväg till fil med värdnamn för att TILLÅTA riktad distribution/pilotdistribution. Stöder .txt eller .csv.
  AllowADGroup (på engelska)	(inget)	AD-säkerhetsgrupp av datorkonton till TILLÅT. Exempel: "SecureBoot-Pilot-Computers"
  ExclusionListPath	(inget)	Sökväg till fil med värdnamn som ska undantas från distribution (VIP-/exekutiva enheter)
  ExcludeADGroup	(inget)	AD-säkerhetsgrupp med datorkonton som ska undantas. Exempel: "VIP-datorer"
  ListBlockedBuckets	Falskt	Visa för närvarande blockerade enhetsbuckets
  UnblockBucket	(inget)	Avblockera en specifik bucket. Format: "Tillverkare|Modell|BIOS"
  Avblockera alla	Falskt	Avblockera alla blockerade enhetsbuckets

tillbaka till "Fas 2: Orkestreringsskript för certifikatuppdatering för säker start"

Deploy-OrchestratorTask.ps1

• Syfte: Distribuerar orkestreringsdatorn som en schemalagd Windows-aktivitet.

• Fördelar

  • Inga PowerShell-säkerhetsfrågor (ExecutionPolicy Bypass)
  • Körs kontinuerligt i bakgrunden
  • Ingen användarinteraktion krävs
  • Överlever omstarter

• Användning

  • Distribuera med domäntjänstkonto (rekommenderas)

    • Använd AvailableUpdates grupprincip (standardmetod)

      .\Deploy-OrchestratorTask.ps1 `
          -AggregationInputPath "\\server\SecureBootData$" `
          -ReportBasePath "C:\SecureBootReports" `
          -ServiceAccount "DOMAIN\svc_secureboot"
      

    • Använd WinCS-metoden

      .\Deploy-OrchestratorTask.ps1 `
          -AggregationInputPath "\\server\SecureBootData$" `
          -ReportBasePath "C:\SecureBootReports" `
          -ServiceAccount "DOMAIN\svc_secureboot" -UseWinCS
      

  • Distribuera med SYSTEM-konto

    • Använd AvailableUpdates grupprincip (standardmetod)

      .\Deploy-OrchestratorTask.ps1 `
          -AggregationInputPath "\\server\SecureBootData$" `
          -ReportBasePath "C:\SecureBootReports"
      

    • Använd WinCS-metoden

      .\Deploy-OrchestratorTask.ps1 `
          -AggregationInputPath "\\server\SecureBootData$" `
          -ReportBasePath "C:\SecureBootReports"  -UseWinCS
      

    • Kontokrav för tjänsten

      • Domain Admin (for New-GPO, New-ADGroup, Add-ADGroupMember)
      • Läsbehörighet till JSON-filresurs
      • Skrivbehörighet till ReportBasePath

tillbaka till "Fas 2: Orkestreringsskript för certifikatuppdatering för säker start"

Get-SecureBootRolloutStatus.ps1

• Syfte: Visa utrullningsstatus från valfri arbetsstation.

• Vad som visas

  • Tillstånd för schemalagd aktivitet (körs/klar/stoppades)
  • Aktuellt vågnummer
  • Enheter som är mål jämfört med uppdaterade
  • Visuell förloppsindikator
  • Sammanfattning av blockerade bucketar
  • Länk till den senaste HTML-instrumentpanelen

• Användning

  # Quick status check
  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports"
  

  # Continuous monitoring (refreshes every 30 seconds)
  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -Watch 30
  

  # View blocked buckets
  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -ShowBlocked
  

  # View wave history
  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -ShowWaves
  

  # View recent log
  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -ShowLog
  

  # Open dashboard in browser
  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -OpenDashboard
  

• Parametrar

  Parameter	Obligatoriskt?	Standard	Beskrivning
  ReportBasePath (på engelska)	Obligatoriskt	—	Lokal sökväg till rapporter och tillståndsfiler
  ShowLog	Tillval	Falskt	Visa de senaste orkestreringsloggposterna
  ShowBlocked	Tillval	Falskt	Visa information om blockerade hinkar
  ShowWaves	Tillval	Falskt	Visa våghistorik
  Titta	Tillval	0 (inaktiverat)	Automatisk uppdatering i sekunder. Exempel: -Titta på 30 uppdateringar var 30:e sekund.
  OpenDashboard	Tillval	Falskt	Öppna den senaste HTML-instrumentpanelen i standardwebbläsaren

• Exempel på utdata

  Obs

  • ==============================================================
       DISTRIBUTIONSSTATUS FÖR SÄKER START
       2026-02-17 19:30:00
    ======================================================
  • Scheduled Task: Running
  • ROLLOUT PROGRESS

  ---

  Status: Pågående
  Aktuell våg: 5
  Totalt mål: 1250
  Totalt uppdaterat: 847

  • Progress: [█████████████████████░░░░░░░░░░░░░░░░░░░] 67.8%
  • BLOCKED BUCKETS: 2 buckets need attention
      Kör med -ShowBlocked för mer information
  • LATEST DASHBOARD
    C:\SecureBootReports\Aggregation_20260217_193000\SecureBoot_Dashboard.html
    __________________________________________________________________________________________

tillbaka till "Fas 2: Orkestreringsskript för certifikatuppdatering för säker start"

tillbaka till toppen

E2E-distributionssteg (snabbreferensguide)

I det här avsnittet

• Fas 1: Infrastruktur för identifiering
• Fas 2: Orkestrerad distribution
• Tillstånd Files

Fas 1: Infrastruktur för identifiering

• Steg 1: Skapa samlingsresurs

  # On file server
  $sharePath = "D:\SecureBootData"
  New-Item -ItemType Directory -Path $sharePath -Force
  New-SmbShare -Name "SecureBootData$" -Path $sharePath -FullAccess "Domain Admins" -ChangeAccess "Domain Computers"
  

  # Set NTFS permissions
  $acl = Get-Acl $sharePath
  $rule = New-Object System.Security.AccessControl.FileSystemAccessRule("Domain Computers","Modify","Allow")
  $acl.AddAccessRule($rule)
  Set-Acl $sharePath $acl
  

• Steg 2: Distribuera identifierings-GPO

  .\Deploy-GPO-SecureBootCollection.ps1 `
      -DomainName "contoso.com" `
      -OUPath "OU=Workstations,DC=contoso,DC=com" `
      -CollectionSharePath "\\server\SecureBootData$"
  

• Steg 3: Vänta tills slutpunkterna rapporterar (24–48 timmar)

  # Check collection progress
  (Get-ChildItem "\\server\SecureBootData$" -Filter "*.json").Count
  

tillbaka till "E2E-distributionssteg (snabbreferensguide)"

Fas 2: Orkestrerad distribution

• Steg 4: Kontroll av förutsättningar

  • Distribuerad GPO för identifiering (steg 2)
  • Minst 50+ slutpunkter som rapporterar JSON
  • Tjänstkonto med domän Admin rättigheter
  • Hanteringsserver med PowerShell 5.1+

• Steg 5: Distribuera orkestrering som schemalagd aktivitet

  .\Deploy-OrchestratorTask.ps1 `
      -AggregationInputPath "\\server\SecureBootData$" `
      -ReportBasePath "C:\SecureBootReports" `
      -ServiceAccount "DOMAIN\svc_secureboot"
  

• Steg 6: Övervaka förloppet

  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports"
  

• Steg 7: Visa instrumentpanelen

  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -OpenDashboard
  

• Steg 8: Hantera blockerade buckets

  # List blocked
  .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -ListBlockedBuckets
  

  # Investigate and unblock
  .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -UnblockBucket "Manufacturer|Model|BIOS"
  

• Steg 9: Kontrollera slutförande

  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports"
  # Status should show "Completed"
  

tillbaka till "E2E-distributionssteg (snabbreferensguide)"

Tillstånd Files

Orkestreringsdatorn behåller tillståndet i ReportBasePath\RolloutState\:

Arkiv	Beskrivning
RolloutState.json	Våghistorik, riktade enheter, status
BlockedBuckets.json	Buckets som behöver undersökas
DeviceHistory.json	Enhetsspårning efter värdnamn
Orchestrator_YYYYMMDD.log	Dagliga aktivitetsloggar

tillbaka till "E2E-distributionssteg (snabbreferensguide)"

tillbaka till toppen

Felsökning

I det här avsnittet

• Orkestreringsdatorn fungerar inte
• Blockerade buckets
• GPO används inte

Orkestreringsdatorn fungerar inte

1. Kontrollera schemalagd aktivitet

   Get-ScheduledTask -TaskName "SecureBoot-Rollout-Orchestrator"
   

2. Kontrollera loggar

   Get-Content "C:\SecureBootReports\RolloutState\Orchestrator_*.log" -Tail 50
   

3. Verifiera JSON-datas aktualitet

   (Get-ChildItem "\server\SecureBootData$" -Filter "*.json" | Where-Object { $_.LastWriteTime -gt (Get-Date).AddDays(-1) }).Count
   

tillbaka till "Felsökning"

Blockerade buckets

1. Listan är blockerad.

   .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -ListBlockedBuckets
   

2. Undersök enhetens nåbarhet.

3. Kontrollera om det finns problem med den inbyggda programvaran.

4. Ta bort blockeringen efter undersökning.

tillbaka till "Felsökning"

GPO används inte

1. Kontrollera att GPO finns.

   Get-GPO -Name "SecureBoot-Rollout-Wave*"
   

2. Kontrollera säkerhetsfiltrering.

   Get-GPPermission -Name "GPO-Name" -All
   

3. Kontrollera att datorn ingår i säkerhetsgruppen.

4. Tillämpa grupprincipobjektet på målet.

   gpupdate /force
   

tillbaka till "Felsökning"

tillbaka till toppen

Ändringslogg

Ändra datum	Beskrivning av ändring
Den 12 maj 2026	Tidigare publicerades varje exempelskriptfil som enskilda artiklar som du kopierade och klistrade in skriptet från. Från och med Windows-uppdateringarna som släpptes den 12 maj 2026 finns exempelskripten i mappen %systemroot%\SecureBoot\ExampleRolloutScripts på din enhet.