Microsoft Intune düzeltmeleriyle Güvenli Önyükleme sertifika durumunu izleme

Bu makalede:

Giriş
Ön Koşullar
Algılama Betiği
Intune'de Düzeltme oluşturma
Sonuçları Görüntüleme ve Dışarı Aktarma
Sık Sorulan Sorular
Kaynaklar

Giriş

Microsoft Güvenli Önyükleme sertifikalarının (2011 CA'ları) süresi Haziran 2026'dan itibaren sona eriyor. Güvenli Önyükleme etkin olan tüm Windows cihazları, sürekli güvenlik güncelleştirmesi desteği sağlamak için süre dolmadan önce 2023 sertifikalarına güncelleştirilmelidir.

Bu kılavuz, Microsoft Intune Düzeltmeleri (Proaktif Düzeltmeler) kullanarak yalnızca izleme yaklaşımı sağlar. Algılama betiği, her cihazdan Güvenli Önyükleme ve sertifika durumunu toplar ve Intune portalına geri bildirir; cihazlarda düzeltme işlemi yapılmaz. Bu, yöneticilere Intune kayıtlı Windows cihazlarında sertifika güncelleştirmesinin ilerleme durumunun merkezi ve dışarı aktarılabilir bir görünümünü sağlar.

Neden bu yaklaşımı kullanmalısınız?

Yarar	Açıklama
Cihaz genelinde görünürlük	Kayıtlı her Intune Windows cihazının sertifika durumunu tek bir yerde görün
Dışarı aktarılabilir	Sonuçları doğrudan Intune portalından CSV'ye aktarma
Ham kayıt defteri değerleri	Yalnızca başarılı/başarısız değil gerçek kayıt defteri verilerini görme
Cihaz bağlamı	Üretici, model, BIOS sürümü ve üretici yazılımı türünü içerir
Olay günlüğü telemetrisi	Güvenli Önyükleme olay kimliklerini (1801/1808), demet kimliklerini ve güvenilirlik düzeylerini yakalar
Sıfır dokunma	SYSTEM olarak sessizce çalışır; kullanıcı etkileşimi gerekmez

Sertifika güncelleştirmeleri hakkında tam arka plan bilgileri için bkz. Güvenli Önyükleme sertifika güncelleştirmeleri: BT uzmanları ve kuruluşları için yönergeler.

Ön Koşullar

Algılama betiğini dağıtmadan önce ortamınızın gerekli gereksinimleri karşıladığından emin olun.

Bu çözüm, Microsoft Intune düzeltmelerinden yararlanıyor. Önkoşulların tam listesi için bkz. Destek sorunlarını algılamak ve düzeltmek için Düzeltmeleri Kullanma - Microsoft Intune.

Algılama betikleri

Algılama betiği, her cihazdan kapsamlı Güvenli Önyükleme envanteri verileri toplayan ve JSON dizesi olarak çıkışını veren bir PowerShell betiğidir. Betik aşağıdaki kaynaklardan okunur:

Kayıt Defteri — HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot ve alt anahtarlarından Güvenli Önyükleme sertifikası güncelleştirme durumu, hizmet anahtarları, cihaz öznitelikleri ve kabul/geri çevirme ayarları

WMI/CIM — İşletim sistemi sürümü, son önyükleme zamanı ve temel kart donanım bilgileri

Olay günlükleri — Olay Kimlikleri 1801 ve 1808 için sistem olay günlüğü girişleri (Güvenli Önyükleme güncelleştirme olayları)

JSON çıkışı Intune portalında Düzeltmeler > İzleyici > Cihaz durumu > "Ön düzeltme algılama çıktısı" altında görünür ve analiz için CSV'ye aktarılabilir.

Önemli: Bu yalnızca algılama betiğidir. Cihazda değişiklik yapılmaz. Düzeltme betiği gerekmez.

Betik Dosyasını Oluşturma

Örnek Güvenli Önyükleme envanteri veri toplama betiğine (KB5072718) gidin
Sayfadan tam betik içeriğini kopyalama
Bir metin düzenleyicisi açın (örneğin, Not Defteri, VS Code) ve betiği yapıştırın
Dosyayı Detect-SecureBootCertUpdateStatus.ps1 olarak kaydetme

Intune'de Düzeltme oluşturma

Algılama betiğini Microsoft Intune'de düzeltme (betik paketi) olarak dağıtmak için bu adımları izleyin.

1. Adım: Betik Paketini Oluşturma

Microsoft Intune yönetim merkezinde oturum açın
Cihazlar > Düzeltmeler'e gidin
+ Betik paketi oluştur'a tıklayın

2. Adım: Temel Bilgiler

Temel Bilgiler sekmesinde aşağıdaki ayarları yapılandırın:

Ayar	Değer
Ad	Güvenli Önyükleme Sertifikası Durum İzleyicisi
Açıklama	Filo genelinde Güvenli Önyükleme sertifikası güncelleştirme durumunu izler. Yalnızca algılama — düzeltme eylemi yapılmaz.
Publisher	(kuruluşunuzun adı)

İleri'ye tıklayın

3. Adım: Ayarlar

Ayarlar sekmesinde aşağıdaki ayarları yapılandırın:

Ayar	Değer	Notlar
Algılama betiği dosyası	Karşıya yükleme Detect-SecureBootCertificateStatus.ps1	Önceki bölümdeki betik
Düzeltme betiği dosyası	(boş bırakın)	Düzeltme gerekmez; bu yalnızca izlemedir
Oturum açmış kimlik bilgilerini kullanarak bu betiği çalıştırın	Hayır	Confirm-SecureBootUEFI ve kayıt defterine erişimi sağlamak için SYSTEM olarak çalışır
Betik imza denetimini zorunlu kılma	Hayır	Kuruluşunuz imzalı betikler gerektiriyorsa Evet olarak ayarlayın
Betiği 64 bit PowerShell'de çalıştırma	Evet	Confirm-SecureBootUEFI cmdlet'i ve doğru kayıt defteri okumaları için gereklidir

İleri'ye tıklayın

4. Adım: Kapsam Etiketleri

Kuruluşunuz için gereken kapsam etiketlerini ekleyin veya varsayılan olarak bırakın
İleri'ye tıklayın

5. Adım: Ödevler

Ayar	Değer	Notlar
Atamalar	İzlenecek cihaz gruplarını seçin	Filo genelinde izleme için Tüm cihazları veya hedeflenen izleme için belirli grupları kullanma
Plan	İzleme gereksinimlerinize göre yapılandırma	Önerilen: Etkin dağıtım izleme için her gün bir kez veya sürekli izleme için her hafta bir kez

Not: Düzeltmeler cihazın yapılandırılmış zamanlamasına göre çalışır. İlk çalıştırma, cihazın giriş döngüsüne bağlı olarak atamadan sonra 24 saat kadar sürebilir.

İleri'ye tıklayın

6. Adım: Gözden Geçirme + Oluşturma

Tüm ayarları gözden geçirin
Oluştur'a tıklayın

Sonuçları Görüntüleme ve Dışarı Aktarma

Portalda sonuçları görüntüleme

Cihazlar > Düzeltmeler'e gidin
Güvenli Önyükleme Sertifikası Durum İzleyicisi'ne (veya seçtiğiniz ada) tıklayın
İzleyici sekmesini seçin
Cihaz durumu'nu tıklatın
Sütunlar'a tıklayın ve Düzeltme öncesi algılama çıktısı ekleyin

Durum izleyicisi

Aşağıdaki sütunları içeren bir tablo görürsünüz:

Sütun	Açıklama
Cihaz adı	Cihazın adı
Username	Cihazın birincil kullanıcısı
Algılama durumu	Sorun olmadan (sertifikalar güncelleştirildi) veya sorunla (sertifikalar güncelleştirilmedi)
Ön düzeltme algılama çıkışı	Betikten tam JSON çıkışı
Son değiştirme	Betik cihazda en son ne zaman çalıştırıldığında

CSV’ye Aktar

Cihaz durumu sayfasında, tablonun üst kısmındaki Dışarı Aktar düğmesine tıklayın
CSV dosyası, her cihaz için tam JSON algılama çıkışı da dahil olmak üzere tüm sütunları indirir
Herhangi bir alana göre filtrelemek, sıralamak ve çözümlemek için Excel'de açın

İpucu: Excel'de, daha kolay analiz için algılama çıktısı JSON'unu ayrı sütunlar halinde ayrıştırmak için METİnBİRLEŞTİr veya JSON işlevlerini kullanabilirsiniz.

Genel Bakış sekmesi

Intune Genel Bakış

Düzeltme'nin Genel Bakış sekmesi bir özet panosu sağlar:

Metrik	Anlamı
Sorunları olan cihazlar	Sertifikaların henüz güncelleştirilmediği cihazlar
Sorunsuz cihazlar	Sertifikaların güncel olduğu cihazlar
Algılaması başarısız olan cihazlar	Betiğin hatayla karşılaştığı cihazlar

Sık Sorulan Sorular

Bu işlem cihazlarımdaki herhangi bir şeyi değiştirir mi?

Hayır. Bu yalnızca algılama betiğidir. Hiçbir kayıt defteri değeri değiştirilmez, hiçbir güncelleştirme tetiklenmez ve düzeltme eylemi yapılmaz. Betik yalnızca değerleri okur ve raporlar.

"Sorun var" ne anlama gelir?

"Sorun var" ifadesi, cihazın henüz 2023 Güvenli Önyükleme sertifikalarının uygulanmadığı ve 2023 imzalı önyükleme yöneticisinin yerinde olmadığı anlamına gelir. Bunun nedeni şu olabilir: - Sertifika güncelleştirmesi başlatılmadı - Güncelleştirme devam ediyor ve tamamlanması için yeniden başlatma gerektirebilir - Cihazda Güvenli Önyükleme etkinleştirilmemiş - Cihaz UEFI tabanlı değil veya önyükleme yöneticisini uygulamak için yeniden başlatma bekliyor.

"Sorun olmadan" ne anlama gelir?

"Sorun olmadan", cihazın Güvenli Önyükleme'nin etkinleştirildiği ve UEFICA2023Status kayıt defteri değerinin Güncelleştirilmiş olduğu ve 2023 sertifikalarının başarıyla uygulandığı anlamına gelir.

Betik ne sıklıkta çalışır?

Betik, atamada yapılandırdığınız zamanlamaya göre çalışır. Dağıtım sırasında etkin izleme için günlük olarak önerilir. Sürekli izleme için haftalık olarak yeterlidir.

Bakım kayıt defteri anahtarı yoksa ne olur?

Bir cihazda HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing anahtarı yoksa, UEFICA2023Status alanında NoValue gösterilir. Bu genellikle sertifika güncelleştirmelerinin cihazda başlatılmadığı anlamına gelir.

Hangi lisanslar gereklidir?

Düzeltmeler için Windows 10/11 Kurumsal E3/E5, Eğitim A3/A5 veya F3 lisansları gerekir. Cihazlarınızda yalnızca İş Ekstra veya Pro lisansları varsa Düzeltmeler kullanılamaz. Bkz. Düzeltmeler için Önkoşullar.