Lưu ý
- Ngày xuất bản ban đầu: Ngày 18 tháng 2 năm 2026
- ID KB: 5080921
Bài viết này có hướng dẫn về:
- Người quản trị CNTT cần xem trạng thái cập nhật chứng chỉ Khởi động an toàn từ thiết bị Windows đã đăng ký Intune của họ
- Các tổ chức chuẩn bị cho hạn chót hết hạn chứng chỉ Khởi động an toàn tháng 6 năm 2026
- Các nhóm muốn theo dõi tiến trình triển khai chứng chỉ trên các thiết bị Windows đã đăng ký Intune của họ
Trong bài viết này:
- Giới thiệu
- Điều kiện tiên quyết
- Tập lệnh Phát hiện
- Tạo Khắc phục trong Intune
- Xem và xuất kết quả
- Câu hỏi Thường Gặp
- Tài nguyên
Giới thiệu
Chứng chỉ Khởi động an toàn của Microsoft (CA 2011) sẽ hết hạn bắt đầu từ tháng 6 năm 2026. Tất cả các thiết bị Windows có bật tính năng Khởi động an toàn phải được cập nhật lên chứng chỉ 2023 trước khi hết hạn để đảm bảo tiếp tục được hỗ trợ cập nhật bảo mật.
Hướng dẫn này cung cấp phương pháp tiếp cận chỉ giám sát bằng cách sử dụng các Khắc phục sự cố của Microsoft Intune (Các biện pháp khắc phục chủ động). Tập lệnh phát hiện sẽ thu thập trạng thái chứng chỉ và Khởi động an toàn từ mỗi thiết bị và báo cáo lại cho cổng thông tin Intune — không có hành động khắc phục nào được thực hiện trên thiết bị. Điều này cung cấp cho người quản trị chế độ xem tập trung, có thể xuất khẩu tiến độ cập nhật chứng chỉ trên các thiết bị Windows đã đăng ký Intune của họ.
Tại sao sử dụng phương pháp này?
| Lợi ích | Mô tả |
|---|---|
| Khả năng hiển thị trên toàn thiết bị | Xem trạng thái chứng chỉ của mọi thiết bị Windows đã đăng ký Intune ở một nơi |
| Tháo ra | Xuất kết quả sang CSV trực tiếp từ cổng thông tin Intune |
| Giá trị sổ đăng ký thô | Xem dữ liệu đăng ký thực tế, không chỉ đạt/không đạt |
| Ngữ cảnh thiết bị | Bao gồm nhà sản xuất, kiểu máy, phiên bản BIOS và loại vi chương trình |
| Phép đo từ xa nhật ký sự kiện | Ghi lại ID sự kiện Khởi động an toàn (1801/1808), ID bộ chứa và mức độ tin cậy |
| Không chạm | Chạy tự động dưới dạng HỆ THỐNG — không cần tương tác người dùng |
Để biết thông tin cơ bản đầy đủ về các bản cập nhật chứng chỉ, hãy xem các bản cập nhật chứng chỉ Khởi động an toàn: Hướng dẫn dành cho các tổ chức và chuyên gia CNTT.
Điều kiện tiên quyết
Trước khi triển khai tập lệnh phát hiện, hãy đảm bảo môi trường của bạn đáp ứng các yêu cầu cần thiết.
Giải pháp này tận dụng các biện pháp khắc phục trong Microsoft Intune. Để biết danh sách đầy đủ các điều kiện tiên quyết, hãy xem mục Sử dụng các biện pháp khắc phục để phát hiện và khắc phục sự cố hỗ trợ - Microsoft Intune.
Tập lệnh phát hiện
Tập lệnh phát hiện là tập lệnh PowerShell thu thập dữ liệu thư mục Khởi động an toàn toàn diện từ từng thiết bị và xuất dữ liệu đó dưới dạng chuỗi JSON. Kịch bản đọc từ các nguồn sau đây:
Sổ đăng ký — Trạng thái cập nhật chứng chỉ Khởi động an toàn, khóa dịch vụ, thuộc tính thiết bị và cài đặt chọn tham gia/chọn không tham gia từ HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot và khóa con của nó
WMI/CIM — Phiên bản HĐH, thời gian khởi động gần nhất và thông tin phần cứng bảng cơ sở
Nhật ký sự kiện — Mục nhật ký sự kiện hệ thống cho ID sự kiện 1801 và 1808 (Sự kiện cập nhật Khởi động an toàn)
Đầu ra JSON xuất hiện trong cổng thông tin Intune dưới Giám sát Khắc > phục sự cố > Trạng thái thiết > bị "Đầu ra phát hiện trước khi khắc phục" và có thể được xuất sang CSV để phân tích.
Quan trọng: Đây là tập lệnh chỉ phát hiện. Không có thay đổi nào được thực hiện cho thiết bị. Không cần tập lệnh khắc phục.
Tạo tệp Script
Lưu ý
QUAN TRỌNG Bài viết sau đây chứa tập lệnh mẫu đã bị loại bỏ. Nếu bạn đã cài đặt bản cập nhật Windows được phát hành vào hoặc sau ngày 12 tháng 5 năm 2026, bạn có thể tìm thấy tập lệnh mẫu trong thư mục %systemroot%\SecureBoot\ExampleRolloutScripts trên thiết bị của bạn.
- Dẫn hướng đến tập lệnh thu thập dữ liệu thư mục Khởi động an toàn mẫu (KB5072718)
- Sao chép toàn bộ nội dung kịch bản từ trang
- Mở trình soạn thảo văn bản (ví dụ: Notepad, VS Code) và dán script
- Lưu tệp dưới dạng Detect-SecureBootCertUpdateStatus.ps1
Tạo Khắc phục trong Intune
Làm theo các bước sau để triển khai tập lệnh phát hiện dưới dạng Khắc phục (gói tập lệnh) trong Microsoft Intune.
Bước 1: Tạo gói script
- Đăng nhập vào Trung tâm quản trị Microsoft Intune
- Điều hướng đến Thiết bị > Khắc phục
- Bấm + Tạo gói script
Bước 2: Cơ bản
- Cấu hình các thiết đặt sau đây trên tab Cơ bản :
| Thiết đặt | Value |
|---|---|
| Tên | Giám sát Trạng thái Chứng chỉ Khởi động An toàn |
| Mô tả | Giám sát trạng thái cập nhật chứng chỉ Khởi động an toàn trên toàn nhóm. Chỉ phát hiện — không có hành động khắc phục nào được thực hiện. |
| Publisher | (tên tổ chức của bạn) |
- Bấm vào Tiếp theo
Bước 3: Cài đặt
- Cấu hình các thiết đặt sau đây trên tab Thiết đặt :
| Thiết đặt | Value | Ghi chú |
|---|---|---|
| Tệp tập lệnh phát hiện | Tải lên Detect-SecureBootCertificateStatus.ps1 | Kịch bản từ mục trước |
| Tệp tập lệnh khắc phục | (để trống) | Không cần khắc phục — đây chỉ là giám sát |
| Chạy tập lệnh này bằng thông tin xác thực đã đăng nhập | Không | Chạy dưới dạng HỆ THỐNG để đảm bảo quyền truy cập vào Confirm-SecureBootUEFI và sổ đăng ký |
| Bắt buộc kiểm tra chữ ký tập lệnh | Không | Đặt là Có nếu tổ chức của bạn yêu cầu script được ký |
| Chạy tập lệnh trong PowerShell 64-bit | Có | Cần thiết cho lệnh ghép ngắn Confirm-SecureBootUEFI và đọc sổ đăng ký chính xác |
- Bấm vào Tiếp theo
Bước 4: Thẻ Phạm vi
- Thêm bất kỳ thẻ phạm vi nào theo yêu cầu của tổ chức của bạn hoặc để nguyên như mặc định
- Bấm vào Tiếp theo
Bước 5: Bài tập
| Thiết đặt | Value | Ghi chú |
|---|---|---|
| Nhiệm vụ | Chọn nhóm thiết bị cần giám sát | Sử dụng Tất cả các thiết bị để giám sát trên toàn đội hoặc các nhóm cụ thể để giám sát có mục tiêu |
| Lịch biểu | Đặt cấu hình cho nhu cầu giám sát của bạn | Đề xuất: Mỗi ngày một lần để theo dõi triển khai tích cực hoặc một lần mỗi tuần để theo dõi liên tục |
Lưu ý: Các quá trình khắc phục sẽ chạy theo lịch trình được đặt cấu hình của thiết bị. Lần chạy đầu tiên có thể mất đến 24 giờ sau khi phân công, tùy thuộc vào chu kỳ đăng ký của thiết bị.
Bấm vào Tiếp theo
Bước 6: Xem lại + Tạo
- Xem lại tất cả cài đặt
- Bấm Tạo
Xem và xuất kết quả
Xem kết quả trong cổng thông tin
- Điều hướng đến Thiết bị > Khắc phục
- Bấm vào Giám sát Trạng thái Chứng chỉ Khởi động An toàn (hoặc tên bạn đã chọn)
- Chọn tab Màn hình
- Bấm vào Trạng thái thiết bị
- Bấm vào Cột và thêm đầu ra phát hiện trước khi khắc phục
Bạn sẽ thấy một bảng với những cột sau:
| Cột | Mô tả |
|---|---|
| Tên thiết bị | Tên của thiết bị |
| Tên người dùng | Người dùng chính của thiết bị |
| Trạng thái phát hiện | Không có vấn đề (chứng chỉ được cập nhật) hoặc có vấn đề (chứng chỉ không được cập nhật) |
| Đầu ra phát hiện trước khắc phục | Đầu ra JSON đầy đủ từ tập lệnh |
| Sửa đổi lần cuối | Khi tập lệnh chạy lần cuối trên thiết bị |
Xuất sang CSV
- Trên trang Trạng thái thiết bị, bấm vào nút Xuất ở đầu bảng
- Tệp CSV sẽ tải xuống tất cả các cột, bao gồm đầu ra phát hiện JSON đầy đủ cho mọi thiết bị
- Mở trong Excel để lọc, sắp xếp và phân tích theo trường bất kỳ
Mẹo: Trong Excel, bạn có thể sử dụng hàm TEXTJOIN hoặc JSON để phân tích cú pháp JSON đầu ra phát hiện thành các cột riêng biệt để phân tích dễ dàng hơn.
Tab Tổng quan
Tab Tổng quan trên mục Khắc phục cung cấp một bảng điều khiển tóm tắt:
| Số đo | Ý nghĩa |
|---|---|
| Thiết bị gặp sự cố | Thiết bị chưa cập nhật chứng chỉ |
| Thiết bị không có sự cố | Thiết bị có chứng chỉ được cập nhật |
| Thiết bị không phát hiện được | Các thiết bị mà tập lệnh gặp lỗi |
Câu hỏi Thường Gặp
Điều này có thay đổi điều gì trên thiết bị của tôi không?
Không. Đây là tập lệnh chỉ phát hiện. Không có giá trị sổ đăng ký nào được sửa đổi, không có bản cập nhật nào được kích hoạt và không có hành động khắc phục nào được thực hiện. Tập lệnh chỉ đọc các giá trị và báo cáo các giá trị đó.
"Có vấn đề" có nghĩa là gì?
"Có sự cố" có nghĩa là thiết bị chưa được áp dụng chứng chỉ Khởi động an toàn năm 2023 và trình quản lý khởi động đã ký năm 2023. Nguyên nhân có thể là: - Chưa khởi tạo quá trình cập nhật chứng chỉ - Quá trình cập nhật đang diễn ra và có thể cần khởi động lại để hoàn tất - Khởi động an toàn chưa được bật trên thiết bị - Thiết bị không dựa trên UEFI hoặc đang chờ khởi động lại để áp dụng trình quản lý khởi động.
"Không có vấn đề" có nghĩa là gì?
"Không có sự cố" có nghĩa là thiết bị đã bật tính năng Khởi động an toàn và giá trị sổ đăng ký UEFICA2023Status được Cập nhật, cho biết chứng chỉ năm 2023 đã được áp dụng thành công.
Kịch bản chạy bao lâu một lần?
Tập lệnh chạy theo lịch biểu bạn đặt cấu hình trong bài tập. Để giám sát chủ động trong quá trình triển khai, bạn nên sử dụng hàng ngày. Để theo dõi liên tục, hàng tuần là đủ.
Điều gì sẽ xảy ra nếu khóa sổ đăng ký Dịch vụ không tồn tại?
Nếu khóa HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing không tồn tại trên thiết bị, trường UEFICA2023Status sẽ hiển thị NoValue. Điều này thường có nghĩa là các bản cập nhật chứng chỉ chưa được khởi tạo trên thiết bị.
Giấy phép nào được yêu cầu?
Việc khắc phục yêu cầu giấy phép Windows 10/11 Enterprise E3/E5, Education A3/A5 hoặc F3. Nếu thiết bị của bạn chỉ có giấy phép Business Premium hoặc Pro, các biện pháp khắc phục sẽ không khả dụng. Xem Điều kiện tiên quyết cho việc khắc phục.
Tài nguyên
Cẩm nang cập nhật chứng chỉ Khởi động an toàn
Cập nhật chứng chỉ Khởi động an toàn: Hướng dẫn dành cho chuyên gia CNTT
Cập nhật khóa đăng ký cho Khởi động an toàn
Sự kiện cập nhật biến số DB và DBX Khởi động an toàn