Застосування параметрів оновлення сертифіката безпечного завантаження за допомогою цільового значення на основі моделі в Microsoft Intune

У цій статті:

• Вступ

• Обов’язкові вимоги

• Крок 1. Настроювання параметрів оновлення сертифіката безпечного завантаження в Intune (каталог настройок)

• Крок 2. Створення фільтра призначення для цільового призначення на основі моделі

• Крок 3. Призначення політики за допомогою фільтра призначення

• Запитання й відповіді

• Ресурси

Вступ

Ці вказівки допоможуть ІТ-адміністраторам увімкнути процес оновлення сертифіката безпечного завантаження за допомогою політик каталогу параметрів Microsoft Intune. У ній описано, як настроїти параметр безпечного завантаження, який дає змогу оновлювати сертифікат і розгортати цю конфігурацію. У ньому також наголошується, як використовувати фільтри призначень на основімоделі для підтримки керованих поетапних розгортань на обладнанні, яке вже перевірено для успішної обробки оновлення.

Обов’язкові вимоги

Право на оновлення сертифіката безпечного завантаження визначаєтьсяCSP політики безпечного  завантаження та мікропрограмою пристрою. Ця область не завжди узгоджується з термінами обслуговування Windows (тобто оновленнями) або Intune вимогами до реєстрації.

Intune та обов'язкові умови політики

• Увійдіть за допомогою облікового запису з дозволами на створення фільтрів і створення та призначення політик каталогу настройок.

• Пристрої мають бути зареєстровані в Intune (фільтри призначень застосовуються лише до керованих пристроїв).

Обов'язкові вимоги щодо безпечного завантаження

• Список підтримуваних версій Windows доступний Microsoft Intune методі безпечного завантаження для пристроїв Windows з оновленнями, керованими ІТ.

• На пристроях має бути ввімкнуто безпечне завантаження, і воно має бути в поточному оновленні обслуговування.

Крок 1. Настроювання параметрів оновлення сертифіката безпечного завантаження в Intune (каталог настройок)

На цьому кроці потрібно створити профіль конфігурації пристрою з каталогу Настройок Windows у Microsoft Intune. Ви також налаштовуєте параметри безпечного завантаження, які активуєте процес оновлення сертифіката безпечного завантаження.

Що ви створите

Профіль конфігурації пристрою каталогу Настройок Windows, який дає змогу Оновлення Увімкнути сертифікат безпечного завантаження:

Створення профілю каталогу настройок

1. Увійдіть у Центр адміністрування Microsoft Intune.

2. Перейдіть до розділу Пристрої > Керування пристроями > Конфігурація.

3. Натисніть кнопку Створити > Нову політику.

4. У розділі Створення профілю:

5. Платформа: Windows 10 та пізніші версії

6. Тип профілю: каталог настройок

7. Натисніть кнопку Створити.

8. Назвіть профіль (наприклад, оновлення сертифіката безпечного завантаження), додайте необов'язковий опис і натисніть кнопку Далі.

9. У настройках конфігурації натисніть кнопку Додати настройки.

10. У засобі вибору настройок знайдіть параметр Безпечне завантаження та виберіть його в розділі Огляд за категорією.

11. Додайте параметр Увімкнути сертифікат безпечного завантаження Оновлення з трьох, представлених у категорії безпечного завантаження, до профілю.

    Примітка.: Ви можете налаштувати інші параметри безпечного завантаження в цій категорії так само, якщо для цього потрібен сценарій розгортання.

12. Установіть для параметра значення Увімкнуто.

13. Натисніть кнопку Далі , щоб продовжити призначення. (Фільтр буде застосовано на кроці 3).

Крок 2. Створення фільтра призначення для цільового призначення на основі моделі

Потім ви створите фільтр призначення Intune, який відповідає певним моделям пристроїв. Цільове завдання на основі моделі дає змогу обмежити оновлення сертифіката безпечного завантаження для вибраних моделей обладнання. Це кероване та поетапне розгортання не потребує додаткових Microsoft Entra ID груп.

Чому для розгортання сертифіката безпечного завантаження рекомендовано цільове значення на основі моделі

• Мінливість мікропрограм – виробники оригінального обладнання впроваджують безпечне завантаження по-різному, тому визначення області на рівні моделі зменшує неочікувану поведінку.

• Попередня перевірка . Перед широким розгортанням можна перевірити оновлення сертифікатів на відомому хорошому наборі обладнання.

Що ви створите

Фільтр призначення керованих пристроїв , який вибирає (або виключає) певні моделі пристроїв.

Створення фільтра призначення

1. Увійдіть у Центр адміністрування Microsoft Intune.

2. Перейдіть до розділу Фільтри призначення > адміністрування компонентів > Створити.

3. Виберіть Керовані пристрої.

4. У розділі Основні відомості виконайте наведені нижче дії.

   • Ім'я фільтра (описове).

   • Опис (необов'язково, але рекомендовано).

   • Платформа: Windows 10 та пізніші версії.

5. Натисніть кнопку Далі.

6. У розділі Правила виберіть один спосіб:

   • Побудовник правил (рекомендовано для більшості адміністраторів)

   • Синтаксис правила (редагування виразів вручну)

Створення правила на основі моделі (побудовник правил)

1. У побудовнику правил виберіть властивість моделі .

2. Виберіть оператор.

3. Введіть рядки моделі, які потрібно зіставити.

4. Виберіть Додати вираз , щоб додати його до правила.

5. За потреби скористайтеся оператором And/Or , щоб розширити правило на додаткові моделі або додати додаткові умови на основі інших можливих властивостей, які можна фільтрувати.

Попередній перегляд і створення фільтра

1. Виберіть Попередній перегляд пристроїв , щоб підтвердити відповідність зареєстрованих пристроїв.

2. Натисніть кнопку Далі.

3. (Необов'язково) Призначте позначки області , якщо використовуєте їх.

4. Натисніть кнопку Далі.

5. У вікні Рецензування + створення натисніть кнопку Створити.

Крок 3. Призначення політики за допомогою фільтра призначення

Нарешті, ви призначаєте профіль каталогу "Настройки" пристрою або групі користувачів і застосовуєте фільтр призначення. Це визначає, які зареєстровані пристрої отримують і обробляють параметри оновлення сертифіката безпечного завантаження під час оцінки політики.

Що ви будете робити

Ви призначите групі профіль каталогу параметрів безпечного завантаження з кроку 1, а потім застосуєте фільтр із кроку 2 в режимі включення або виключення .

Застосування фільтра призначення

1. У Центрі адміністрування Microsoft Intune перейдіть до розділу Пристрої > Керування пристроями > Конфігурація.

2. Виберіть профіль каталогу настройок, створений на кроці 1 вище.

3. Відкрити властивості > призначення > редагування.

4. Призначте профіль відповідній групі користувачів або групі пристроїв.

   Порада.: Якщо у вас немає інших умов для обмеження цільового значення, призначте цю політику віртуальній групі "Усі пристрої ". Використовуйте фільтр призначення моделі пристрою з кроку 2, щоб обмежити призначення. Цієї комбінації достатньо для більшості розгортань. Вбудована віртуальна група "Усі пристрої ", не потребує обслуговування групи та оптимізована для масштабування. Після цього фільтр призначення звужує застосовність під час реєстрації пристрою на основі властивостей пристрою, не вимагаючи додаткових груп Microsoft Entra.

5. Виберіть Редагувати фільтр.

6. Виберіть один із варіантів:

   • Включити до призначення відфільтровані пристрої: політика отримує лише пристрої, які відповідають фільтру.

   • Виключення відфільтрованих пристроїв у призначенні: пристрої, які відповідають фільтру, не отримують політики.

7. Виберіть наявний фільтр призначення на кроці 2 та натисніть кнопку Вибрати.

8. Виберіть Рецензування + збереження > Зберегти.

Загальні відомості про поведінку пристрою

• Intune обчислює фільтр під час реєстрації пристрою, щоразу під час його перевірки та під час повторної оцінки призначеної політики.

• Увімкнення параметра безпечного завантаження не гарантує негайного застосування сертифіката. Для параметра безпечного завантаження, який запускає процес оновлення, завдання безпечного завантаження Windows виконується кожні 12 годин. Для деяких оновлень може знадобитися перезавантаження.

Запитання й відповіді

Ресурси

• Визначення настройок і дозволені значення: CSP політики SecureBoot

• Параметри потоку каталогу та налаштування поведінки: Microsoft Intune метод безпечного завантаження для пристроїв Windows з оновленнями, керованими ІТ-

• Тло та часові шкали: термін дії сертифіката безпечного завантаження Windows і оновлення центру сертифікації Windows

• Створення, попередній перегляд і застосування фільтрів. Створення фільтрів призначення в Microsoft Intune

• Підтримувані властивості, оператори та синтаксис: посилання на властивості фільтра призначення та посилання на оператори

• Загальне планування розгортання та Intune, що називається рекомендованим варіантом: план відтворення безпечного завантаження для сертифікатів, термін дії яких завершується у 2026 р.

• Підхід лише для моніторингу та звітування про Intune): моніторинг стану сертифіката безпечного завантаження з виправленнями Microsoft Intune