Cập nhật chứng chỉ Khởi động an toàn cho Windows 365

Trong bài viết này:

• Giới thiệu

• Kiểm kê và Giám sát

• Tùy chọn triển khai

• Những điều cần cân nhắc về Hình ảnh Tùy chỉnh

• Sự cố Đã biết

• Tài nguyên

Giới thiệu

Khởi động an toàn là một tính năng bảo mật của vi chương trình UEFI giúp đảm bảo chỉ phần mềm được ký điện tử đáng tin cậy mới chạy trong trình tự khởi động thiết bị. Chứng chỉ Khởi động an toàn của Microsoft được cấp vào năm 2011 sẽ bắt đầu hết hạn vào tháng 6 năm 2026. Nếu không có chứng chỉ năm 2023 mới cập nhật, các thiết bị sẽ không còn nhận được các biện pháp bảo vệ hoặc giảm thiểu mới cho Trình quản lý khởi động an toàn và Trình quản lý khởi động cho các lỗ hổng ở cấp độ khởi động mới được phát hiện.

Tất cả các PC Đám mây hỗ trợ Khởi động An toàn được cung cấp trong dịch vụ Windows 365 và các hình ảnh tùy chỉnh được sử dụng để cung cấp chúng đều phải được cập nhật lên chứng chỉ năm 2023 trước khi hết hạn để vẫn được bảo vệ. Xem Khi nào chứng chỉ Khởi động an toàn hết hạn trên thiết bị Windows.

Điều này có áp dụng cho môi trường Windows 365 của tôi không?

Tình huống	Khởi động an toàn đang hoạt động?	Cần hành động
PC Đám mây
PC trên đám mây có bật tính năng Khởi động an toàn	Có	Cập nhật chứng chỉ trên PC trên đám mây
PC trên đám mây với tính năng Khởi động an toàn bị vô hiệu hóa	Không	Không cần phải làm gì cả
Hình ảnh
Hình ảnh Azure Compute Gallery với tính năng Khởi động an toàn được bật	Có	Cập nhật chứng chỉ trong ảnh nguồn trước khi khái quát
Hình ảnh Bộ sưu tập Điện toán Azure không có Bản Khởi động Tin cậy	Không	Áp dụng các bản cập nhật trong PC trên đám mây sau khi cung cấp
Hình ảnh được quản lý (không hỗ trợ Khởi chạy được Tin cậy)	Không	Áp dụng các bản cập nhật trong PC trên đám mây sau khi cung cấp

Để biết thông tin cơ bản đầy đủ, hãy xem các bản cập nhật chứng chỉ Khởi động an toàn: Hướng dẫn dành cho các tổ chức và chuyên gia CNTT.

Kiểm kê và Giám sát

Trước khi thực hiện hành động, hãy kiểm kê môi trường của bạn để xác định các thiết bị cần cập nhật. Việc giám sát là điều cần thiết để xác nhận các chứng chỉ được áp dụng trước hạn chót vào tháng 6 năm 2026—ngay cả khi bạn dựa vào các phương pháp triển khai tự động. Dưới đây là các tùy chọn để xác định xem liệu có cần thực hiện hành động hay không.

Tùy chọn 1: Các biện pháp khắc phục sự cố của Microsoft Intune

Đối với PC đám mây đã đăng ký trong Microsoft Intune, bạn có thể triển khai tập lệnh phát hiện bằng cách sử dụng Intune Remediations (Khắc phục sự cố chủ động) để tự động thu thập trạng thái chứng chỉ Khởi động an toàn trong nhóm của bạn. Tập lệnh chạy tự động trên từng thiết bị và báo cáo trạng thái Khởi động an toàn, tiến trình cập nhật chứng chỉ và chi tiết thiết bị trở lại cổng thông tin Intune — không có thay đổi nào được thực hiện cho thiết bị. Kết quả có thể được xem và xuất sang CSV trực tiếp từ trung tâm quản trị Intune để phân tích trên toàn nhóm.

Để biết hướng dẫn từng bước về cách triển khai tập lệnh phát hiện, hãy xem Giám sát Trạng thái Chứng chỉ Khởi động An toàn bằng các Khắc phục sự cố của Microsoft Intune.

Tùy chọn 2: Báo cáo trạng thái khởi động an toàn của Windows Autopatch

Đối với PC Đám mây đã đăng ký với Windows Autopatch, hãy đi đến trung tâm> quản trị IntuneBáo cáo Windows>Autopatch>Bản cập nhật chất> lượng WindowsTab> Báo cáoTrạng thái Khởi động an toàn. Xem báo cáo trạng thái Khởi động an toàn trong Windows Autopatch.

Lưu ý: Để sử dụng Windows Autopatch với Windows 365, PC trên đám mây phải được đăng ký với dịch vụ Windows Autopatch. Xem Windows Autopatch trên khối lượng công việc Windows 365 Enterprise.

Tùy chọn 3: Khóa đăng ký để giám sát đội xe

Sử dụng các công cụ quản lý thiết bị hiện có của bạn để truy vấn các giá trị sổ đăng ký này trên nhóm của bạn.

Đường dẫn đăng ký	Phím	Mục đích
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet \Control\SecureBoot\Servicing	UEFICA2023Trạng thái	Trạng thái triển khai hiện tại
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet \Control\SecureBoot\Servicing	Lỗi UEFICA2023	Chỉ ra lỗi (không nên tồn tại)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet \Control\SecureBoot\Servicing	UEFICA2023ErrorSự kiện	Chỉ ra ID sự kiện (không nên tồn tại)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet \Control\SecureBoot	Bản cập nhật có sẵn	Các bit cập nhật đang chờ xử lý

Để biết chi tiết đầy đủ về khóa đăng ký, hãy xem Cập nhật khóa đăng ký cho tính năng Khởi động an toàn.

Tùy chọn 4: Giám sát Nhật ký Sự kiện

Sử dụng các công cụ quản lý thiết bị hiện có của bạn để thu thập và giám sát các ID sự kiện này từ nhật ký sự kiện Hệ thống trên toàn nhóm của bạn.

ID Sự kiện	Vị trí	Ý nghĩa
1808	Hệ thống	Các chứng chỉ được áp dụng thành công
1801	Hệ thống	Chi tiết trạng thái cập nhật hoặc lỗi

Để biết danh sách đầy đủ các chi tiết về sự kiện, hãy xem các sự kiện cập nhật biến số DB và DBX khởi động an toàn.

Tùy chọn 5: Tập lệnh kiểm kê PowerShell

Chạy tập lệnh Thu thập dữ liệu kiểm kê khởi động an toàn mẫu của Microsoft để kiểm tra trạng thái cập nhật chứng chỉ Khởi động an toàn. Tập lệnh thu thập một số điểm dữ liệu bao gồm trạng thái Khởi động an toàn, trạng thái cập nhật UEFI CA 2023, phiên bản vi chương trình và hoạt động nhật ký sự kiện.

Triển khai

Tùy chọn 1: Cập nhật tự động từ Windows Update (Thiết bị có Độ tin cậy cao)

Microsoft tự động cập nhật thiết bị thông qua các bản cập nhật hàng tháng của Windows khi có đủ phép đo từ xa xác nhận việc triển khai thành công trên các cấu hình phần cứng tương tự.

• Trạng thái: Được bật theo mặc định cho các thiết bị có độ tin cậy cao
• Không cần thực hiện thêm hành động trừ khi bạn muốn chọn không tham gia

Sổ đăng ký	HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot
Phím	HighConfidenceOptOut = 1 để chọn không tham gia
chính sách nhóm	Cấu hình> Máy tínhMẫu Quản> trịCấu phần> WindowsKhởi động> an toànTriển khai chứng chỉ tự động thông qua các bản Cập nhật> Đặt thành Tắt để chọn không tham gia

Để biết thêm thông tin, hãy xem Hỗ trợ triển khai tự động.

Tùy chọn 2: Triển khai IT-Initiated

Kích hoạt cập nhật chứng chỉ theo cách thủ công để triển khai ngay lập tức hoặc có kiểm soát.

Phương pháp	Tài liệu
Microsoft Intune	Phương pháp Microsoft Intune
Chính sách Nhóm	Phương pháp GPO
Khóa đăng ký	Phương pháp khóa đăng ký
WinCS CLI	API WinCS

Những điều cần cân nhắc về Hình ảnh Tùy chỉnh

Hình ảnh tùy chỉnh được quản lý hoàn toàn bởi tổ chức của bạn. Bạn có trách nhiệm áp dụng các bản cập nhật chứng chỉ Khởi động an toàn cho hình ảnh tùy chỉnh và tải lại hình ảnh đó lên trước khi sử dụng nó để cung cấp.

Việc áp dụng các bản cập nhật chứng chỉ Khởi động An toàn cho hình ảnh nguồn chỉ được hỗ trợ với hình ảnh Azure Compute Gallery (bản xem trước), hỗ trợ Khởi chạy tin cậy và Khởi động an toàn. Hình ảnh được quản lý không hỗ trợ tính năng Khởi động An toàn, do đó không thể áp dụng các bản cập nhật chứng chỉ ở cấp hình ảnh. Đối với PC trên đám mây được cung cấp từ hình ảnh được quản lý, hãy áp dụng các bản cập nhật trực tiếp trên PC trên đám mây bằng cách sử dụng một trong các phương pháp triển khai ở trên.

Trước khi khái quát hóa một hình ảnh tùy chỉnh mới, hãy xác nhận các chứng chỉ đã được cập nhật:

Sự cố Đã biết

Khóa đăng ký dịch vụ không tồn tại

Dấu hiệu	Đường dẫn HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing không tồn tại
Nguyên nhân	Các bản cập nhật chứng chỉ chưa được khởi tạo trên thiết bị
Giải pháp	Chờ triển khai tự động qua Windows Update hoặc khởi tạo theo cách thủ công bằng một trong các phương pháp triển khai do bộ phận CNTT khởi tạo ở trên

Trạng thái hiển thị "Đang xử lý" cho khoảng thời gian đã kéo dài

Dấu hiệu	UEFICA2023Trạng thái vẫn "Đang xử lý" sau nhiều ngày
Nguyên nhân	Thiết bị có thể cần khởi động lại để hoàn tất quá trình cập nhật
Giải pháp	Khởi động lại PC trên đám mây và kiểm tra lại trạng thái sau 15 phút. Nếu sự cố vẫn tiếp diễn, hãy xem các sự kiện cập nhật biến DB và DBX khởi động an toàn để biết hướng dẫn khắc phục sự cố

UEFICA2023Error registry key exists

Dấu hiệu	UEFICA2023Error Registry Key is present
Nguyên nhân	Đã xảy ra lỗi trong quá trình triển khai chứng chỉ
Giải pháp	Kiểm tra Nhật ký sự kiện hệ thống để biết chi tiết. Xem các sự kiện cập nhật biến DB và DBX khởi động an toàn để biết hướng dẫn khắc phục sự cố

Tài nguyên

• Cẩm nang cập nhật chứng chỉ Khởi động an toàn

• Cập nhật chứng chỉ Khởi động an toàn: Hướng dẫn dành cho chuyên gia CNTT

• Báo cáo trạng thái khởi động an toàn Windows Autopatch

• Hình ảnh thiết bị Windows 365

• Windows 365 khởi chạy đáng tin cậy

• Đăng ký thiết bị với Windows Autopatch