การอัปเดตใบรับรองการบูตแบบปลอดภัยสําหรับ Azure Virtual Desktop

ในบทความนี้:

• บทนำ

• สินค้าคงคลังและการตรวจสอบ

• การปรับใช้

• ข้อควรพิจารณาเกี่ยวกับภาพสีทอง

• ปัญหาที่ทราบแล้ว

• ทรัพยากร

บทนำ

การบูตแบบปลอดภัยเป็นฟีเจอร์ความปลอดภัยของเฟิร์มแวร์ UEFI ที่ช่วยรับรองว่าซอฟต์แวร์ที่เซ็นชื่อแบบดิจิทัลจะทํางานในระหว่างลําดับการบูตอุปกรณ์เท่านั้น ใบรับรองการบูตแบบปลอดภัยของ Microsoft ที่ออกในปี 2011 จะเริ่มหมดอายุในเดือนมิถุนายน 2026 หากไม่มีใบรับรอง 2023 ที่อัปเดต อุปกรณ์จะไม่ได้รับการป้องกันหรือการลดระดับการบูตแบบปลอดภัยใหม่อีกต่อไป

การบูตแบบปลอดภัยทั้งหมดที่เปิดใช้งาน VM ที่ลงทะเบียนในบริการ Azure Virtual Desktop และอิมเมจแบบกําหนดเองที่ใช้เพื่อเตรียมใช้งาน จะต้องอัปเดตเป็นใบรับรอง 2023 ก่อนที่จะหมดอายุเพื่อให้ยังคงได้รับการป้องกัน ดู เมื่อใบรับรองการบูตแบบปลอดภัยหมดอายุบนอุปกรณ์ Windows

สิ่งนี้ใช้กับสภาพแวดล้อมเดสก์ท็อปเสมือน Azure ของฉันหรือไม่

สถานการณ์	การบูตแบบปลอดภัยทํางานอยู่หรือไม่	ต้องดําเนินการ
โฮสต์เซสชัน
เปิดใช้งาน VM ที่เชื่อถือได้ด้วยการเปิดใช้งานการบูตแบบปลอดภัย	ใช่	อัปเดตใบรับรองบนโฮสต์เซสชัน
Trusted Launch VM with Secure Boot disabled	ไม่	ไม่จําเป็นต้องดําเนินการใดๆ
VM ชนิดความปลอดภัย Standard	ไม่	ไม่จําเป็นต้องดําเนินการใดๆ
รุ่นที่ 1 VM	ไม่สนับสนุน	ไม่จําเป็นต้องดําเนินการใดๆ
รูปภาพสีทอง
อิมเมจ Azure Compute Gallery ที่เปิดใช้งานการบูตแบบปลอดภัย	ใช่	อัปเดตใบรับรองในรูปต้นฉบับ
รูปแกลเลอรีการคํานวณ Azure โดยไม่ต้องเปิดใช้ที่เชื่อถือได้	ไม่	นําการอัปเดตไปใช้ในโฮสต์เซสชันหลังจากการปรับใช้
รูปภาพที่มีการจัดการ (ไม่สนับสนุน Trusted Launch)	ไม่	นําการอัปเดตไปใช้ในโฮสต์เซสชันหลังจากการปรับใช้

สําหรับข้อมูลพื้นหลังที่สมบูรณ์ โปรดดู การอัปเดตใบรับรองการบูตแบบปลอดภัย: คําแนะนําสําหรับผู้เชี่ยวชาญด้าน IT และองค์กร

สินค้าคงคลังและการตรวจสอบ

ก่อนที่จะดําเนินการ ให้ทํารายการสภาพแวดล้อมของคุณเพื่อระบุอุปกรณ์ที่ต้องการการอัปเดต การตรวจสอบเป็นสิ่งจําเป็นเพื่อยืนยันว่ามีการนําใบรับรองไปใช้ก่อนวันครบกําหนดของเดือนมิถุนายน 2026 แม้ว่าคุณจะใช้วิธีการปรับใช้อัตโนมัติก็ตาม  ด้านล่างนี้เป็นตัวเลือกในการระบุว่าจําเป็นต้องดําเนินการหรือไม่

ตัวเลือกที่ 1: การแก้ไข Microsoft Intune

สําหรับโฮสต์เซสชันที่ลงทะเบียนใน Microsoft Intune คุณสามารถปรับใช้สคริปต์การตรวจหาโดยใช้ Intune การแก้ไข (การแก้ไขเชิงรุก) เพื่อรวบรวมสถานะใบรับรองการบูตแบบปลอดภัยในกองข้อความของคุณโดยอัตโนมัติ สคริปต์จะทํางานโดยไม่แจ้งในแต่ละอุปกรณ์ และรายงานสถานะการบูตแบบปลอดภัย ความคืบหน้าของการอัปเดตใบรับรอง และรายละเอียดอุปกรณ์กลับไปยังพอร์ทัล Intune — จะไม่มีการเปลี่ยนแปลงใดๆ กับอุปกรณ์ คุณสามารถดูและส่งออกผลลัพธ์เป็น CSV ได้โดยตรงจากศูนย์การจัดการ Intune สําหรับการวิเคราะห์ทั่วทั้งกลุ่ม

สําหรับคําแนะนําทีละขั้นตอนเกี่ยวกับการปรับใช้สคริปต์การตรวจหา ให้ดู การตรวจสอบสถานะใบรับรองการบูตแบบปลอดภัยด้วยการแก้ไข Microsoft Intune

ตัวเลือกที่ 2: รายงานสถานะการบูตแบบปลอดภัยของ Windows Autopatch

สําหรับโฮสต์เซสชันถาวรส่วนบุคคลที่ลงทะเบียนด้วย Windows Autopatch ให้ไปที่ ศูนย์>การจัดการ Intuneรายงาน>การอัปเดต>คุณภาพWindows อัตโนมัติ>ของ Windows รายงานสถานะการบูตแบบปลอดภัย บนแท็บ > การบูตแบบปลอดภัย ดูรายงานสถานะการบูตแบบปลอดภัยใน Windows Autopatch

ตัวเลือกที่ 3: รีจิสทรีคีย์สําหรับการตรวจสอบกองเรือ

ใช้เครื่องมือการจัดการอุปกรณ์ที่มีอยู่ของคุณเพื่อสอบถามค่ารีจิสทรีเหล่านี้ระหว่างกลุ่มของคุณ

เส้นทางรีจิสทรี	คีย์	วัตถุประสงค์
HKEY_LOCAL_MACHINE:\SYSTEM\CurrentControlSet \Control\SecureBoot\Servicing	UEFICA2023Status	สถานะการปรับใช้ปัจจุบัน
HKEY_LOCAL_MACHINE:\SYSTEM\CurrentControlSet \Control\SecureBoot\Servicing	UEFICA2023Error	ระบุข้อผิดพลาด (ไม่ควรมีอยู่)
HKEY_LOCAL_MACHINE:\SYSTEM\CurrentControlSet \Control\SecureBoot\Servicing	UEFICA2023ErrorEvent	ระบุ ID เหตุการณ์ (ไม่ควรมีอยู่)
HKEY_LOCAL_MACHINE:\SYSTEM\CurrentControlSet \Control\SecureBoot	AvailableUpdates	บิตการอัปเดตที่ค้างอยู่

สําหรับรายละเอียดรีจิสทรีคีย์ทั้งหมด โปรดดู การอัปเดตรีจิสทรีคีย์สําหรับการบูตแบบปลอดภัย: อุปกรณ์ Windows ที่มีการอัปเดตที่จัดการโดย IT

ตัวเลือกที่ 4: การตรวจสอบบันทึกเหตุการณ์

ใช้เครื่องมือการจัดการอุปกรณ์ที่มีอยู่ของคุณเพื่อรวบรวมและตรวจสอบรหัสเหตุการณ์เหล่านี้จากบันทึกเหตุการณ์ของระบบข้ามกลุ่มของคุณ

ID เหตุการณ์	ตำแหน่งที่ตั้ง	ความหมาย
1808	ระบบ	นําใบรับรองไปใช้เรียบร้อยแล้ว
1801	ระบบ	อัปเดตสถานะหรือรายละเอียดข้อผิดพลาด

สําหรับรายการทั้งหมดของรายละเอียดกิจกรรม โปรดดู เหตุการณ์การอัปเดตตัวแปร DB และ DBX ของ Secure Boot

ตัวเลือกที่ 5: สคริปต์สินค้าคงคลังของ PowerShell

เรียกใช้ ตัวอย่างสคริปต์การเก็บรวบรวมข้อมูลสําหรับบูตแบบปลอดภัย ของ Microsoft เพื่อตรวจสอบสถานะการอัปเดตใบรับรองการบูตแบบปลอดภัย สคริปต์จะรวบรวมจุดข้อมูลหลายจุดรวมถึงสถานะการบูตแบบปลอดภัย สถานะการอัปเดต UEFI CA 2023 เวอร์ชันเฟิร์มแวร์ และกิจกรรมบันทึกเหตุการณ์

การปรับใช้

ตัวเลือกที่ 1: Updates อัตโนมัติจาก Windows Update (อุปกรณ์ที่มีความเชื่อมั่นสูง)

Microsoft จะอัปเดตอุปกรณ์โดยอัตโนมัติผ่านการอัปเดตรายเดือนของ Windows เมื่อการวัดและส่งข้อมูลทางไกลที่เพียงพอยืนยันว่าการปรับใช้การกําหนดค่าฮาร์ดแวร์ที่คล้ายกันเสร็จสมบูรณ์

• สถานะ: เปิดใช้งานตามค่าเริ่มต้นสําหรับอุปกรณ์ที่มีความเชื่อมั่นสูง

• ไม่ต้องดําเนินการใดๆ เว้นแต่ว่าคุณต้องการปฏิเสธเข้าร่วม

รีจิสทรี	HKEY_LOCAL_MACHINE:\SYSTEM\CurrentControlSet\Control\SecureBoot
คีย์	HighConfidenceOptOut = 1 เพื่อปฏิเสธการเข้าร่วม
นโยบายกลุ่ม	การกําหนดค่า>คอมพิวเตอร์เทมเพลต>การดูแลระบบคอมโพเนนต์ของ> Windowsการบูต>แบบปลอดภัยการปรับใช้ใบรับรองโดยอัตโนมัติผ่าน Updates> ตั้งค่าเป็น ปิดใช้งาน เพื่อปฏิเสธการเข้าร่วม

สําหรับข้อมูลเพิ่มเติม ให้ดู ตัวช่วยการปรับใช้อัตโนมัติ

ตัวเลือกที่ 2: การปรับใช้ IT-Initiated

ทริกเกอร์การอัปเดตใบรับรองด้วยตนเองสําหรับการเผยแพร่ทันทีหรือที่ควบคุม

วิธีการ	คู่มือ
Microsoft Intune	วิธี Microsoft Intune
นโยบายกลุ่ม	เมธอด นโยบายกลุ่ม Objects (GPO)
รีจิสทรีคีย์	วิธีการของรีจิสทรีคีย์
WinCS CLI	Api ของ WinCS

ข้อควรพิจารณาเกี่ยวกับภาพสีทอง

สําหรับสภาพแวดล้อมเดสก์ท็อปเสมือน Azure โดยใช้อิมเมจ Azure Compute Gallery ที่เปิดใช้งาน Secure Boot ให้ใช้การอัปเดตใบรับรอง Secure Boot 2023 กับภาพสีทองก่อนที่จะจับภาพ ใช้วิธีการใดวิธีการหนึ่งที่อธิบายไว้ข้างต้นเพื่อใช้การอัปเดต จากนั้นตรวจสอบว่าใบรับรองได้รับการอัปเดตก่อนที่จะกําหนดให้เป็นแบบทั่วไป:

รูปภาพที่ไม่มีการเปิดใช้งาน Trusted Launch ไม่สามารถรับการอัปเดตใบรับรองการบูตแบบปลอดภัยผ่านทางรูปได้ ซึ่งรวมถึงรูปภาพที่มีการจัดการ ซึ่งไม่สนับสนุน Trusted Launch และ Azure อิมเมจแกลเลอรีการคํานวณที่เปิดใช้งานที่เชื่อถือได้ สําหรับอุปกรณ์ที่เตรียมใช้งานจากรูปภาพเหล่านี้ ให้ใช้การอัปเดตในระบบปฏิบัติการ Guest โดยใช้หนึ่งในวิธีการข้างต้น

ปัญหาที่ทราบแล้ว

ไม่มีรีจิสทรีคีย์การให้บริการ

อาการ	HKEY_LOCAL_MACHINE:\SYSTEM\CurrentControlSet\Control\SecureBoot\ไม่มีเส้นทางการให้บริการอยู่
สาเหตุ	ไม่ได้เริ่มต้นการอัปเดตใบรับรองบนอุปกรณ์
การแก้ปัญหา	รอการปรับใช้อัตโนมัติผ่าน Windows Update หรือเริ่มด้วยตนเองโดยใช้หนึ่งในวิธีการปรับใช้ที่เริ่มต้นโดย IT ด้านบน

สถานะแสดง "InProgress" สําหรับรอบระยะเวลาที่ขยาย

อาการ	สถิติ UEFICA2023 ยังคงเป็น "InProgress" หลังจากหลายวัน
สาเหตุ	อุปกรณ์อาจจําเป็นต้องเริ่มระบบใหม่เพื่อให้กระบวนการอัปเดตเสร็จสมบูรณ์
การแก้ปัญหา	รีสตาร์ตโฮสต์เซสชันและตรวจสอบสถานะอีกครั้งหลังจาก 15 นาที หากปัญหายังคงอยู่ ดูที่ เหตุการณ์การอัปเดตตัวแปร DB และ DBX ของ Secure Boot สําหรับคําแนะนําในการแก้ไขปัญหา

มีรีจิสทรีคีย์ UEFICA2023Error อยู่

อาการ	มีรีจิสทรีคีย์ UEFICA2023Error
สาเหตุ	เกิดข้อผิดพลาดระหว่างการปรับใช้ใบรับรอง
การแก้ปัญหา	ตรวจสอบบันทึกเหตุการณ์ของระบบเพื่อดูรายละเอียด ดู เหตุการณ์การอัปเดตตัวแปร DB และ DBX สําหรับ การแก้ไขปัญหา

ทรัพยากร

• หนังสือเล่นการอัปเดตใบรับรองการบูตแบบปลอดภัย

• Updates ใบรับรองการบูตแบบปลอดภัย: คําแนะนําสําหรับผู้เชี่ยวชาญด้าน IT

• รายงานสถานะการบูตแบบปลอดภัยของ Windows Autopatch
• ลงทะเบียนอุปกรณ์ด้วยการจัดส่งอัตโนมัติของ Windows