หมายเหตุ
- วันที่เผยแพร่ต้นฉบับ: วันที่ 10 มีนาคม 2569
- KB ID: 5084490
บทความนี้มีคําแนะนําสําหรับ
- ผู้เชี่ยวชาญด้าน IT และผู้ดูแลระบบ Intune ที่จัดการอุปกรณ์ Windows ปรับใช้การควบคุมการอัปเดตใบรับรองการบูตแบบปลอดภัยผ่านนโยบายแค็ตตาล็อกการตั้งค่า และดูแลเวิร์กโฟลว์การอัปเดต
- ทีมที่ต้องกําหนดเป้าหมายการปรับใช้ไปยังโมเดลฮาร์ดแวร์เฉพาะโดยใช้ตัวกรองงานที่มอบหมาย
ในบทความนี้:
- บทนำ
- ข้อกำหนดเบื้องต้น
- ขั้นตอนที่ 1 - กําหนดค่าการตั้งค่าการปรับปรุงใบรับรองการบูตแบบปลอดภัยใน Intune (แค็ตตาล็อกการตั้งค่า)
- ขั้นตอนที่ 2 - สร้างตัวกรองงานที่มอบหมายสําหรับการกําหนดเป้าหมายตามแบบจําลอง
- ขั้นตอนที่ 3 - กําหนดนโยบายโดยใช้ตัวกรองงานที่มอบหมาย
- คำถามที่ถามบ่อย
- ทรัพยากร
บทนำ
คําแนะนํานี้ช่วยให้ผู้ดูแลระบบ IT เปิดใช้งานกระบวนการอัปเดตใบรับรองการบูตแบบปลอดภัยโดยใช้นโยบายแค็ตตาล็อกการตั้งค่า Microsoft Intune โดยระบุวิธีการกําหนดค่าการตั้งค่า Secure Boot ที่เปิดใช้งานกระบวนการอัปเดตใบรับรองและวิธีการปรับใช้การกําหนดค่าดังกล่าว นอกจากนี้ยังเน้นวิธีการใช้ ตัวกรองงานที่มอบหมายตามโมเดล เพื่อสนับสนุนการเปิดตัวแบบกําหนดลําดับขั้นที่ควบคุมบนฮาร์ดแวร์ที่ได้รับการตรวจสอบความถูกต้องแล้วเพื่อจัดการการอัปเดตสําเร็จ
ข้อกำหนดเบื้องต้น
สิทธิ์ในการอัปเดตใบรับรองการบูตแบบปลอดภัยจะกําหนดโดยCSP นโยบายการ บูตแบบปลอดภัยและเฟิร์มแวร์ของอุปกรณ์ ขอบเขตนี้ไม่สอดคล้องกับไทม์ไลน์ของบริการ Windows (เช่น การอัปเดต) หรือข้อกําหนดการลงทะเบียน Intune เสมอไป
Intune และข้อกําหนดเบื้องต้นของนโยบาย
- ลงชื่อเข้าใช้ด้วยบัญชีที่มีสิทธิ์ในการสร้างตัวกรอง และสร้าง/กําหนดนโยบายแค็ตตาล็อกการตั้งค่า
- ต้องลงทะเบียนอุปกรณ์ใน Intune (ใช้ตัวกรองงานที่มอบหมายกับอุปกรณ์ที่มีการจัดการเท่านั้น)
ข้อกําหนดเบื้องต้นสําหรับสิทธิ์ในการบูตแบบปลอดภัย
- รายการเวอร์ชันของ Windows ที่รองรับจะพร้อมใช้งานในวิธีการ Microsoft Intune การบูตแบบปลอดภัยสําหรับอุปกรณ์ Windows ที่มีการอัปเดตที่จัดการโดยฝ่าย IT
- อุปกรณ์ต้องเปิดใช้งานการบูตแบบปลอดภัยและควรอยู่ในการอัปเดตการให้บริการปัจจุบัน
ขั้นตอนที่ 1 - กําหนดค่าการตั้งค่าการปรับปรุงใบรับรองการบูตแบบปลอดภัยใน Intune (แค็ตตาล็อกการตั้งค่า)
ในขั้นตอนนี้ คุณสร้างโพรไฟล์การกําหนดค่าอุปกรณ์แค็ตตาล็อกการตั้งค่า Windows ใน Microsoft Intune นอกจากนี้ คุณยังกําหนดการตั้งค่าการบูตแบบปลอดภัยที่เปิดใช้งานกระบวนการอัปเดตใบรับรองการบูตแบบปลอดภัยด้วย
สิ่งที่คุณจะสร้าง
โปรไฟล์การกําหนดค่าอุปกรณ์แค็ตตาล็อกการตั้งค่า Windows ที่เปิดใช้งาน Updates เปิดใช้งานใบรับรองการบูตแบบปลอดภัย:
สร้างโปรไฟล์แค็ตตาล็อกการตั้งค่า
ลงชื่อเข้าใช้ศูนย์การจัดการ Microsoft Intune
ไปที่ อุปกรณ์> จัดการการกําหนดค่าอุปกรณ์>
เลือก สร้าง>นโยบายใหม่
ใน สร้างโปรไฟล์:
แพลตฟอร์ม: Windows 10 และใหม่กว่า
ชนิดโปรไฟล์: แค็ตตาล็อกการตั้งค่า
เลือก สร้าง
ตั้งชื่อโพรไฟล์ (เช่น การอัปเดตใบรับรองการบูตแบบปลอดภัย) เพิ่มคําอธิบายเพิ่มเติม แล้วเลือก ถัดไป
ในการตั้งค่าการกําหนดค่า เลือก เพิ่มการตั้งค่า
ในตัวเลือกการตั้งค่า ค้นหา การบูตแบบปลอดภัย และเลือกภายใต้ เรียกดูตามประเภท
เพิ่มการตั้งค่า Updates เปิดใช้งานใบรับรองการบูตแบบปลอดภัย จากสามประเภทที่แสดงในประเภท การบูตแบบปลอดภัย ไปยังโพรไฟล์
หมายเหตุ
คุณสามารถกําหนดค่าการตั้งค่าการบูตแบบปลอดภัยอื่นๆ ในประเภทนี้ได้ในลักษณะเดียวกันหากสถานการณ์การปรับใช้ของคุณจําเป็นต้องใช้
กําหนดค่าการตั้งค่าเป็น เปิดใช้งาน
เลือก ถัดไป เพื่อทํางานที่มอบหมายต่อ (คุณจะนําตัวกรองไปใช้ในขั้นตอนที่ 3)
ขั้นตอนที่ 2 - สร้างตัวกรองงานที่มอบหมายสําหรับการกําหนดเป้าหมายตามแบบจําลอง
จากนั้น คุณจะสร้างตัวกรองงานที่มอบหมาย Intune ที่กําหนดเป้าหมายไปยังรุ่นของอุปกรณ์เฉพาะ การกําหนดเป้าหมายตามรุ่นช่วยให้คุณสามารถกําหนดขอบเขตการอัปเดตใบรับรองการบูตแบบปลอดภัยไปยังรุ่นฮาร์ดแวร์ที่เลือกได้ การปรับใช้แบบควบคุมและแบบกําหนดลําดับขั้นนี้ไม่จําเป็นต้องมีกลุ่ม Microsoft Entra ID เพิ่มเติม
เหตุใดจึงขอแนะนําให้กําหนดเป้าหมายตามรุ่นสําหรับการปรับใช้ใบรับรองการบูตแบบปลอดภัย
- ความแปรปรวนของเฟิร์มแวร์ - OEM ใช้การบูตแบบปลอดภัยแตกต่างกัน ดังนั้นการกําหนดขอบเขตระดับโมเดลจึงลดการทํางานที่ไม่คาดคิด
- การตรวจสอบความถูกต้องก่อนหน้านี้ - คุณสามารถตรวจสอบความถูกต้องของการอัปเดตใบรับรองบนชุดฮาร์ดแวร์ที่ดีที่รู้จักก่อนที่จะเผยแพร่ในวงกว้าง
สิ่งที่คุณจะสร้าง
ตัวกรองการกําหนด อุปกรณ์ที่มีการจัดการ ที่กําหนดเป้าหมาย (หรือไม่รวม) รุ่นอุปกรณ์เฉพาะ
สร้างตัวกรองงานที่มอบหมาย
ลงชื่อเข้าใช้ศูนย์การจัดการ Microsoft Intune
ไปที่ตัวกรอง>การกําหนดการดูแล>ผู้เช่าสร้าง
เลือก อุปกรณ์ที่มีการจัดการ
ใน พื้นฐาน ให้ตั้งค่า:
- ชื่อตัวกรอง (อธิบาย)
- คําอธิบาย (ไม่บังคับ แต่แนะนํา)
- แพลตฟอร์ม: Windows 10 และใหม่กว่า
เลือก ถัดไป
ใน กฎ ให้เลือกวิธีหนึ่งดังนี้
- ตัวสร้างกฎ (แนะนําสําหรับผู้ดูแลระบบส่วนใหญ่)
- ไวยากรณ์ของกฎ (การแก้ไขนิพจน์ด้วยตนเอง)
สร้างกฎที่ยึดตามแบบจําลอง (ตัวสร้างกฎ)
- ในตัวสร้างกฎ ให้เลือกคุณสมบัติของตัวแบบ
- เลือกตัวดําเนินการ
- ใส่สตริงแบบจําลองที่คุณต้องการจับคู่
- เลือก เพิ่มนิพจน์ เพื่อเพิ่มลงในกฎ
- ถ้าจําเป็น ให้ใช้ And/Or เพื่อขยายกฎไปยังโมเดลเพิ่มเติม หรือเพิ่มเกณฑ์เพิ่มเติมโดยยึดตามคุณสมบัติที่สามารถกรองได้อื่นๆ
เคล็ดลับ
ใช้ อุปกรณ์ Preview เพื่อตรวจสอบว่าตัวกรองตรงกับชุดที่ต้องการหรือไม่ รายการตัวอย่างรองรับการค้นหาตามชื่ออุปกรณ์ เวอร์ชันของระบบปฏิบัติการ รุ่นของอุปกรณ์ และผู้ผลิตอุปกรณ์
แสดงตัวอย่างและสร้างตัวกรอง
- เลือก แสดงตัวอย่างอุปกรณ์ เพื่อยืนยันว่าอุปกรณ์ที่ลงทะเบียนใดตรงกัน
- เลือก ถัดไป
- (ไม่บังคับ) กําหนด แท็กขอบเขต ถ้าคุณใช้
- เลือก ถัดไป
- ใน รีวิว + สร้าง ให้เลือก สร้าง
ขั้นตอนที่ 3 - กําหนดนโยบายโดยใช้ตัวกรองงานที่มอบหมาย
สุดท้าย คุณจะกําหนดโปรไฟล์แค็ตตาล็อกการตั้งค่าให้กับอุปกรณ์หรือกลุ่มผู้ใช้ และใช้ตัวกรองงานที่มอบหมาย การดําเนินการนี้จะกําหนดว่าอุปกรณ์ที่ลงทะเบียนใดที่ได้รับและประมวลผลการตั้งค่าการอัปเดตใบรับรองการบูตแบบปลอดภัยระหว่างการประเมินนโยบาย
คุณจะทําอะไร
คุณจะกําหนดโปรไฟล์แค็ตตาล็อกการตั้งค่าการบูตแบบปลอดภัยจากขั้นตอนที่ 1 ไปยังกลุ่ม จากนั้นใช้ตัวกรองจากขั้นตอนที่ 2 ในโหมด รวม หรือ แยก ออก
ใช้ตัวกรองงานที่มอบหมาย
ในศูนย์การจัดการ Microsoft Intune ให้นําทางไปยัง อุปกรณ์> จัดการการกําหนดค่าอุปกรณ์>
เลือกโปรไฟล์แค็ตตาล็อกการตั้งค่าที่คุณสร้างในขั้นตอนที่ 1 ด้านบน
>เปิดการแก้ไขงานที่มอบหมายคุณสมบัติ>
กําหนดโพรไฟล์ให้กับ กลุ่มผู้ใช้ หรือ กลุ่มอุปกรณ์ที่เหมาะสม
เคล็ดลับ
หากคุณไม่มีเกณฑ์อื่นใดที่จะจํากัดการกําหนดเป้าหมาย ให้กําหนดนโยบายนี้ให้กับกลุ่มเสมือนของอุปกรณ์ทั้งหมด ใช้ตัวกรองการกําหนดรุ่นอุปกรณ์จากขั้นตอนที่ 2 เพื่อกําหนดขอบเขตงานที่มอบหมาย ชุดค่าผสมนี้เพียงพอสําหรับการปรับใช้ส่วนใหญ่แล้ว กลุ่มเสมือน ของอุปกรณ์ทั้งหมด มีอยู่แล้วภายใน ไม่ต้องบํารุงรักษาเป็นกลุ่ม และปรับให้เหมาะกับมาตราส่วน จากนั้น ตัวกรองงานที่มอบหมายจะจํากัดความสามารถในการนําไปใช้ได้ที่การเช็คอินอุปกรณ์โดยยึดตามคุณสมบัติอุปกรณ์ โดยไม่จําเป็นต้องมีกลุ่ม Microsoft Entra เพิ่มเติม
เลือก แก้ไขตัวกรอง
เลือกหนึ่งรายการ:
- รวมอุปกรณ์ที่กรองแล้วในงานที่มอบหมาย: เฉพาะอุปกรณ์ที่ตรงกับตัวกรองที่ได้รับนโยบายเท่านั้น
- ไม่รวมอุปกรณ์ที่กรองในงานที่มอบหมาย: อุปกรณ์ที่ตรงกับตัวกรองจะไม่ได้รับนโยบาย
เลือกตัวกรองงานที่มอบหมายที่มีอยู่ของคุณจากขั้นตอนที่ 2 แล้วเลือก เลือก
เลือก รีวิว + บันทึก>
ทําความเข้าใจลักษณะการทํางานของอุปกรณ์
- Intune จะประเมินตัวกรองเมื่ออุปกรณ์ลงทะเบียน ทุกครั้งที่อุปกรณ์เช็คอิน และเมื่อใดก็ตามที่นโยบายที่กําหนดถูกประเมินใหม่
- การเปิดใช้งานการตั้งค่าการบูตแบบปลอดภัยไม่รับประกันว่าแอปพลิเคชันใบรับรองจะมีผลบังคับในทันที สําหรับการตั้งค่าการบูตแบบปลอดภัยที่ทริกเกอร์กระบวนการอัปเดต งานการบูตแบบปลอดภัยของ Windows จะทํางานทุก 12 ชั่วโมง การอัปเดตบางอย่างอาจจําเป็นต้องเริ่มระบบใหม่
คำถามที่ถามบ่อย
อุปกรณ์ประมวลผลการตั้งค่า "เปิดใช้งานใบรับรองการบูตแบบปลอดภัย Updates" บ่อยเพียงใด
งานการบูตแบบปลอดภัยของ Windows ที่ประมวลผลการตั้งค่าจะทํางานทุกๆ 12 ชั่วโมง
ฉันควรคาดหวังว่าจะเริ่มระบบใหม่หรือไม่
การเริ่มต้นการอัปเดตผ่านทาง Intune ไม่ทําให้เกิดการเริ่มระบบใหม่ แต่อาจจําเป็นต้องเริ่มระบบใหม่เพื่อทําให้การอัปเดตเสร็จสมบูรณ์
ฉันสามารถย้อนกลับหรือนําใบรับรองใหม่ออกหลังจากนําไปใช้ได้หรือไม่
หลังจากนําใบรับรองไปใช้กับเฟิร์มแวร์แล้ว Windows จะไม่สามารถลบออกได้ การล้างใบรับรองจะต้องทําผ่านส่วนติดต่อเฟิร์มแวร์
ทําไมฉันจึงควรทําสิ่งนี้ก่อนเดือนมิถุนายน 2026
ใบรับรองเก่าจะหมดอายุในเดือนมิถุนายน 2026 อุปกรณ์ที่ไม่ได้รับใบรับรอง 2023 ที่ใหม่กว่าจะสูญเสียความสามารถในการรับการป้องกันความปลอดภัยในการเริ่มต้นระบบก่อนกําหนดใหม่ (เช่น ฐานข้อมูลการบูตแบบปลอดภัยและการอัปเดตการยกเลิก)
ทรัพยากร
- ข้อกําหนดการตั้งค่าและค่าที่อนุญาต: SecureBoot Policy CSP
- การตั้งค่าลําดับแค็ตตาล็อกและลักษณะการทํางานของการตั้งค่า: Microsoft Intune วิธีการบูตแบบปลอดภัยสําหรับอุปกรณ์ Windows ด้วยการอัปเดตที่ IT จัดการ
- พื้นหลังและไทม์ไลน์: ใบรับรองการบูตแบบปลอดภัยของ Windows จะหมดอายุและการอัปเดต CA
- สร้าง แสดงตัวอย่าง และใช้ตัวกรอง: สร้างตัวกรองงานที่มอบหมายใน Microsoft Intune
- คุณสมบัติ ตัวดําเนินการ และไวยากรณ์ที่สนับสนุน: คุณสมบัติตัวกรองงานที่มอบหมายและการอ้างอิงตัวดําเนินการ
- การวางแผนการเปิดตัวโดยรวมและ Intune เรียกว่าเป็นตัวเลือกที่แนะนํา: หนังสือเล่นการบูตแบบปลอดภัยสําหรับใบรับรองที่หมดอายุในปี 2026
- วิธีการตรวจสอบเท่านั้นและการรายงาน Intune): การตรวจสอบสถานะใบรับรองการบูตแบบปลอดภัยด้วยการแก้ไข Microsoft Intune