Lưu ý
- Ngày xuất bản ban đầu: 30 tháng 10 năm 2025
- ID KB: 5068198
Bài viết này có hướng dẫn về:
|
|---|
Tính khả dụng của hỗ trợ này
|
Nhật ký Thay đổi
| Thay đổi Ngày | Thay đổi mô tả |
|---|---|
| Ngày 20 tháng 2 năm 2026 |
|
| Ngày 11 tháng 11 năm 2025 |
|
| Ngày 26 tháng 11 năm 2025 |
|
Trong bài viết này:
- Giới thiệu
- Phương pháp cấu hình Đối tượng chính sách nhóm (GPO)
- Cài đặt cấu hình sẵn dùng
- Tài nguyên
Giới thiệu
Tài liệu này mô tả hỗ trợ triển khai, quản lý và giám sát các bản cập nhật chứng chỉ Khởi động an toàn bằng cách sử dụng đối tượng chính sách nhóm Khởi động an toàn. Các thiết đặt này bao gồm:
- Khả năng kích hoạt triển khai trên thiết bị
- Cài đặt để chọn tham gia/chọn không tham gia bộ chứa độ tin cậy cao
- Cài đặt để chọn tham gia/chọn không tham gia quản lý bản cập nhật của Microsoft
Lưu ý: Mẫu quản trị (.admx) và chính sách nhóm sẽ cần được tải xuống từ trang web chính thức của Microsoft. Tham khảo: Tài nguyên.
Phương pháp cấu hình Đối tượng chính sách nhóm (GPO)
Phương pháp này cung cấp một cài đặt chính sách nhóm Khởi động an toàn đơn giản mà quản trị viên miền có thể đặt để triển khai các bản cập nhật Khởi động an toàn cho tất cả máy khách và máy chủ Windows đã tham gia miền. Ngoài ra, bạn có thể quản lý hai tùy chọn hỗ trợ Khởi động an toàn bằng cài đặt chọn tham gia/chọn không tham gia.
Để nhận các bản cập nhật bao gồm chính sách triển khai các bản cập nhật chứng chỉ Khởi động an toàn, hãy xem mục Tài nguyên bên dưới.
Bạn có thể tìm thấy chính sách này theo đường dẫn sau trong giao diện người dùng chính sách nhóm:
Cấu hình Máy tính-Mẫu> Quản trị-Cấu> phần Windows-Khởi> động an toàn
Quan trọng
Các bản cập nhật Khởi động an toàn phụ thuộc vào vi chương trình của thiết bị và một số thiết bị có thể gặp sự cố về khả năng tương thích. Để đảm bảo triển khai an toàn:
- Xác thực chính sách cập nhật trên ít nhất một thiết bị đại diện cho mỗi loại thiết bị trong tổ chức của bạn.
- Xác nhận rằng chứng chỉ Khởi động an toàn được áp dụng thành công cho UEFI DB và KEK. Để biết các bước chi tiết, hãy truy cập Cập nhật Chứng chỉ Khởi động an toàn: Hướng dẫn dành cho các tổ chức và chuyên gia CNTT.
- Sau khi xác thực, nhóm các thiết bị theo hàm băm bộ chứa và áp dụng chính sách cho các thiết bị đó để triển khai có kiểm soát.
Cài đặt cấu hình sẵn dùng
Ba thiết đặt có sẵn cho việc triển khai chứng chỉ Khởi động an toàn được mô tả ở đây. Các cài đặt này tương ứng với khóa đăng ký được mô tả trong Cập nhật khóa đăng ký cho tính năng Khởi động an toàn: Thiết bị Windows có bản cập nhật do bộ phận CNTT quản lý.
Cho phép Triển khai Chứng chỉ Khởi động An toàn
Tên thiết đặt chính sách nhóm: Bật Triển khai chứng chỉ Khởi động an toàn
Sự miêu tả:
Chính sách này kiểm soát việc Windows có khởi tạo quy trình triển khai chứng chỉ Khởi động An toàn trên thiết bị hay không.
- Đã bật: Windows tự động bắt đầu triển khai chứng chỉ Khởi động an toàn cập nhật sau khi tác vụ Khởi động an toàn chạy.
- Đã tắt: Windows không tự động triển khai chứng chỉ.
- Không được đặt cấu hình: Hành vi mặc định được áp dụng (không có triển khai tự động).
Lưu ý
- Tác vụ xử lý thiết đặt này chạy 12 giờ một lần. Một số bản cập nhật có thể yêu cầu khởi động lại để hoàn tất an toàn.
- Sau khi các chứng chỉ được áp dụng cho vi chương trình, chúng không thể bị xóa khỏi Windows. Việc xóa chứng chỉ phải được thực hiện thông qua giao diện vi chương trình.
- Cài đặt này được coi là một tùy chọn; nếu GPO bị loại bỏ, giá trị sổ đăng ký vẫn còn.
- Tương ứng với khóa đăng ký AvailableUpdates.
Triển khai chứng chỉ tự động thông qua các bản Cập nhật
Tên thiết lập chính sách nhóm: Triển khai chứng chỉ tự động thông qua Cập nhật
Sự miêu tả:
Chính sách này kiểm soát việc các bản cập nhật chứng chỉ Khởi động an toàn có được áp dụng tự động thông qua các bản cập nhật bảo mật và không liên quan đến bảo mật hàng tháng của Windows hay không. Các thiết bị mà Microsoft đã xác thực là có khả năng xử lý các bản cập nhật biến thể Khởi động an toàn sẽ nhận được các bản cập nhật này như một phần của dịch vụ tích lũy và tự động áp dụng chúng.
Lưu ý
Bật chính sách này sẽ vô hiệu hóa Triển khai Chứng chỉ Tự động thông qua Cập nhật. Điều này tương đương với việc đặt khóa đăng ký HighConfidenceOptOut thành 1.
Việc tắt chính sách này sẽ chọn tham gia vào Triển khai Chứng chỉ Tự động qua Cập nhật, tương đương với việc đặt HighConfidenceOptOut thành 0.
- Đã bật: Triển khai tự động bị chặn; Các bản cập nhật phải được quản lý theo cách thủ công.
- Đã tắt: Các thiết bị có kết quả cập nhật được xác thực sẽ tự động nhận được bản cập nhật chứng chỉ trong khi bảo dưỡng.
- Không được cấu hình: Việc triển khai tự động diễn ra theo mặc định.
Lưu ý
- Thiết bị dự định được xác nhận là sẽ xử lý bản cập nhật thành công.
- Đặt cấu hình chính sách này để chọn triển khai tự động.
- Tương ứng với khóa đăng ký HighConfidenceOptOut.
Triển khai Chứng chỉ thông qua Triển khai Tính năng có Kiểm soát
Tên thiết đặt chính sách nhóm: Triển khai Chứng chỉ thông qua Triển khai Tính năng có Kiểm soát
Sự miêu tả:
Chính sách này cho phép các doanh nghiệp tham gia triển khai Tính năng có kiểm soát của bản cập nhật chứng chỉ Khởi động an toàn do Microsoft quản lý.
- Đã bật: Microsoft hỗ trợ triển khai chứng chỉ cho các thiết bị đã đăng ký triển khai.
- Đã tắt hoặc Không được đặt cấu hình: Không tham gia vào triển khai có kiểm soát.
Yêu cầu:
- Thiết bị phải gửi dữ liệu chẩn đoán bắt buộc đến Microsoft. Để biết chi tiết, hãy xem Cấu hình dữ liệu chẩn đoán Windows trong tổ chức của bạn - Quyền riêng tư của Windows | Microsoft Learn.
- Tương ứng với khóa đăng ký MicrosoftUpdateManagedOptIn.
Tài nguyên
Xem thêm Cập nhật khóa đăng ký cho tính năng Khởi động an toàn: Thiết bị Windows có bản cập nhật do bộ phận CNTT quản lý để biết chi tiết về khóa đăng ký UEFICA2023Status và UEFICA2023Error để theo dõi kết quả thiết bị.
Xem các sự kiện cập nhật biến DB và DBX khởi động an toàn để biết các sự kiện hữu ích trong việc hiểu trạng thái của các thiết bị, thuộc tính thiết bị và ID bộ chứa thiết bị. Chú ý đặc biệt đến các sự kiện 1801 và 1808 được mô tả trên trang sự kiện.
Đối với MSI chính sách nhóm và Bảng tính Tham khảo Cài đặt GP, hãy sử dụng các liên kết bên dưới hoặc đảm bảo rằng các mẫu quản trị bạn sử dụng được phát hành vào hoặc sau những ngày được liệt kê trong bảng.
| Nền tảng | MSI đã phát hành | Bảng tính Tham chiếu Cài đặt GP đã xuất bản |
|---|---|---|
|
Máy khách Lưu ý: Mẫu Quản trị (.admx) không phụ thuộc vào HĐH và hoạt động trên TẤT CẢ các HĐH được hỗ trợ. |
Tải xuống Mẫu Quản trị (.admx) cho Bản cập nhật Windows 11 2025 (25H2) - V2.0 từ Trang web chính thức của Microsoft Đã phát hành: 27/10/2025 |
Tải xuống Bảng tính Tham khảo Cài đặt Chính sách nhóm cho Bản cập nhật Windows 11 2025 (25H2) - V2.0 từ Trang web chính thức của Microsoft Đã phát hành: 10/2/2025 |
|
Máy chủ Lưu ý: Mẫu Quản trị (.admx) không phụ thuộc vào HĐH và hoạt động trên TẤT CẢ các HĐH được hỗ trợ. |
Tải xuống Mẫu Quản trị (.admx) cho Windows Server 2025 (Bản phát hành 25 Tháng Mười) từ Trang web chính thức của Microsoft Đã phát hành: 27/10/2025 |
Tải xuống Bảng tính Tham khảo Cài đặt Chính sách nhóm cho Windows Server 2025 (Bản phát hành ngày 25 tháng 10) từ Trang web chính thức của Microsoft Đã phát hành: 27/10/2025 |