Áp dụng cài đặt cập nhật chứng chỉ Khởi động An toàn bằng cách sử dụng nhắm mục tiêu dựa trên mô hình trong Microsoft Intune

Áp dụng cho
Windows 10 ESU Windows 10 Enterprise LTSC 2021 Windows 11 Home and Pro, version 21H2 Windows 11 Enterprise Multi-Session, version 21H2 Windows 11 Enterprise and Education, version 21H2 Windows 11 IoT Enterprise, version 21H2 Windows 11 Home and Pro, version 22H2 Windows 11 Enterprise Multi-Session, version 22H2 Windows 11 Enterprise and Education, version 22H2 Windows 11 IoT Enterprise, version 22H2 Windows 11 SE, version 23H2 Windows 11 Home and Pro, version 23H2 Windows 11 Enterprise and Education, version 23H2 Windows 11 Enterprise Multi-Session, version 23H2 Windows 11 SE, version 24H2 Windows 11 Enterprise and Education, version 24H2 Windows 11 Enterprise Multi-Session, version 24H2 Windows 11 Home and Pro, version 24H2 Windows 11 IoT Enterprise, version 24H2 Windows 11 version 25H2, all editions

Lưu ý

  • Ngày xuất bản ban đầu: Ngày 10 tháng 3 năm 2026
  • ID KB: 5084490

Bài viết này có hướng dẫn về

  • Chuyên gia CNTT và người quản trị Intune quản lý các thiết bị Windows, triển khai các biện pháp kiểm soát cập nhật chứng chỉ Khởi động an toàn thông qua Cài đặt, chính sách danh mục và giám sát quy trình cập nhật.
  • Các nhóm cần nhắm mục tiêu triển khai đến các mô hình phần cứng cụ thể bằng cách sử dụng các bộ lọc bài tập.

Trong bài viết này:

Giới thiệu

Hướng dẫn này giúp người quản trị CNTT bật quy trình cập nhật chứng chỉ Khởi động An toàn bằng cách sử dụng chính sách danh mục Cài đặt Microsoft Intune. Tài liệu này phác thảo cách định cấu hình cài đặt Khởi động an toàn cho phép quá trình cập nhật chứng chỉ và cách triển khai cấu hình đó. Báo cáo cũng nêu bật cách sử dụng các bộ lọc gán dựa trên mô hình để hỗ trợ triển khai theo giai đoạn, có kiểm soát trên phần cứng đã được xác thực để xử lý cập nhật thành công.

Điều kiện tiên quyết

Tính đủ điều kiện cập nhật chứng chỉ Khởi động an toàn được xác định bởi CSP Chính sách khởi động an toàn và vi chương trình thiết bị. Phạm vi này không phải lúc nào cũng phù hợp với đường thời gian cung cấp dịch vụ (tức là các bản cập nhật) của Windows hoặc các yêu cầu đăng ký Intune.

Điều kiện tiên quyết của Intune và chính sách

  • Đăng nhập bằng tài khoản có quyền tạo bộ lọc và tạo/gán chính sách Danh mục Cài đặt.
  • Thiết bị phải được đăng ký trong Intune (bộ lọc nhiệm vụ chỉ áp dụng cho các thiết bị được quản lý).

Điều kiện tiên quyết về tính đủ điều kiện khởi động an toàn

Bước 1 - Đặt cấu hình cài đặt cập nhật chứng chỉ Khởi động An toàn trong Intune (Danh mục cài đặt)

Trong bước này, bạn tạo danh mục cài đặt Windows hồ sơ cấu hình thiết bị trong Microsoft Intune. Bạn cũng định cấu hình cài đặt Khởi động an toàn để kích hoạt quy trình cập nhật chứng chỉ Khởi động an toàn.

Những gì bạn sẽ tạo

Hồ sơ cấu hình thiết bị danh mục Cài đặt Windows cho phép Cập nhật chứng chỉ Khởi động An toàn:

Tạo hồ sơ danh mục Cài đặt

  1. Đăng nhập vào Trung tâm quản trị Microsoft Intune.

  2. Đi tới Thiết bị>Quản lý cấu hình thiết bị>.

  3. Chọn Tạo>chính sách mới.

  4. Trong Tạo hồ sơ:

  5. Nền tảng: Windows 10 trở lên

  6. Loại hồ sơ: Danh mục cài đặt

  7. Chọn Tạo.

  8. Đặt tên cho hồ sơ (ví dụ: Cập nhật Chứng chỉ Khởi động An toàn), thêm mô tả tùy chọn, rồi chọn Tiếp theo.

  9. Trên Cài đặt cấu hình, chọn Thêm cài đặt.

  10. Trong bộ chọn cài đặt, tìm kiếm Khởi động an toàn và chọn nó trong Duyệt theo danh mục.

  11. Thêm cài đặt Bật Cập nhật chứng chỉ Khởi động An toàn từ ba cài đặt được trình bày trong danh mục Khởi động an toàn vào hồ sơ.

    Lưu ý

    Bạn có thể định cấu hình các cài đặt Khởi động an toàn khác trong danh mục này theo cách tương tự nếu kịch bản triển khai của bạn yêu cầu.

  12. Đặt cấu hình giá trị cài đặt thành Đã bật.

  13. Chọn Tiếp theo để tiếp tục với các bài tập. (Bạn sẽ áp dụng bộ lọc ở Bước 3).

Bước 2 - Tạo bộ lọc nhiệm vụ để nhắm mục tiêu dựa trên mô hình

Tiếp theo, bạn tạo một bộ lọc gán Intune nhắm tới các kiểu thiết bị cụ thể. Nhắm mục tiêu dựa trên mô hình cho phép bạn xác định phạm vi cập nhật chứng chỉ Khởi động an toàn cho các mô hình phần cứng được chọn. Việc triển khai theo kiểm soát và theo giai đoạn này không yêu cầu thêm các nhóm Microsoft Entra ID.

Tại sao nên nhắm mục tiêu dựa trên mô hình để triển khai chứng chỉ Khởi động an toàn

  • Khả năng biến đổi vi chương trình - OEM triển khai Khởi động an toàn theo cách khác nhau, vì vậy việc xác định phạm vi cấp mô hình sẽ giảm hành vi không mong muốn.
  • Xác thực trước - Bạn có thể xác thực các bản cập nhật chứng chỉ trên bộ phần cứng tốt đã biết trước khi triển khai rộng rãi.

Những gì bạn sẽ tạo

Bộ lọc gán thiết bị được quản lý nhắm mục tiêu (hoặc loại trừ) các kiểu thiết bị cụ thể.

Tạo bộ lọc bài tập

  1. Đăng nhập vào Trung tâm quản trị Microsoft Intune.

  2. Đi tới Quản trị đối> tượng thuêTạo: Bộ lọc> nhiệm vụ.

  3. Chọn Thiết bị được quản lý.

  4. Trong Thông tin cơ bản, hãy đặt:

    • Tên bộ lọc (mô tả).
    • Mô tả (tùy chọn, nhưng được đề xuất).
    • Nền tảng: Windows 10 trở lên.

  5. Chọn Tiếp theo.

  6. Trong Quy tắc, chọn một phương thức:

    • Bộ dựng quy tắc (được đề xuất cho hầu hết người quản trị)
    • Cú pháp quy tắc (sửa biểu thức thủ công)

Xây dựng quy tắc dựa trên mô hình (bộ dựng quy tắc)

  1. Trong Bộ dựng quy tắc, chọn thuộc tính mô hình .
  2. Chọn một toán tử.
  3. Nhập (các) chuỗi mẫu mà bạn muốn khớp.
  4. Chọn Thêm biểu thức để thêm biểu thức vào quy tắc.
  5. Nếu cần, hãy dùng And/Or để mở rộng quy tắc cho các kiểu bổ sung hoặc để thêm tiêu chí bổ sung dựa trên các thuộc tính có thể lọc khác.

Mẹo

Sử dụng thiết bị Xem trước để xác thực rằng bộ lọc khớp với bộ dự kiến. Danh sách xem trước hỗ trợ tìm kiếm theo tên thiết bị, phiên bản HĐH, kiểu thiết bị và nhà sản xuất thiết bị.

Xem trước và tạo bộ lọc

  1. Chọn Xem trước thiết bị để xác nhận thiết bị đã đăng ký phù hợp.
  2. Chọn Tiếp theo.
  3. (Tùy chọn) Gán thẻ Phạm vi nếu bạn sử dụng chúng.
  4. Chọn Tiếp theo.
  5. Trong Đánh giá + tạo, chọn Tạo.

Bước 3 - Gán chính sách bằng cách dùng bộ lọc gán

Cuối cùng, bạn gán hồ sơ danh mục Cài đặt cho một thiết bị hoặc nhóm người dùng và áp dụng bộ lọc nhiệm vụ. Điều này xác định thiết bị đã đăng ký nhận và xử lý cài đặt cập nhật chứng chỉ Khởi động an toàn trong quá trình đánh giá chính sách.

Những việc bạn sẽ thực hiện

Bạn sẽ gán hồ sơ danh mục Cài đặt Khởi động an toàn từ Bước 1 cho một nhóm, sau đó áp dụng bộ lọc từ Bước 2 trong chế độ Bao gồm hoặc Loại trừ .

Áp dụng bộ lọc bài tập

  1. Trong trung tâm quản trị Microsoft Intune, dẫn hướng đến Thiết bị>Quản lý cấu hình thiết bị>.

  2. Chọn hồ sơ danh mục Cài đặt bạn đã tạo ở Bước 1 ở trên.

  3. Mở Thuộc tính>,Chỉnh sửanhiệm vụ>.

  4. Gán hồ sơ cho nhóm người dùng hoặc nhóm thiết bị thích hợp.

    Mẹo

    Nếu bạn không có bất kỳ tiêu chí nào khác để giới hạn việc nhắm mục tiêu, hãy gán chính sách này cho nhóm ảo Tất cả thiết bị . Sử dụng bộ lọc gán mô hình thiết bị từ Bước 2 để xác định phạm vi gán. Sự kết hợp này là đủ cho hầu hết các triển khai. Nhóm ảo Tất cả thiết bị được dựng sẵn, không yêu cầu bảo trì nhóm và được tối ưu hóa để mở rộng. Sau đó, bộ lọc nhiệm vụ sẽ thu hẹp khả năng áp dụng khi đăng ký thiết bị dựa trên thuộc tính thiết bị mà không yêu cầu các nhóm Microsoft Entra bổ sung.

  5. Chọn Chỉnh sửa bộ lọc.

  6. Chọn một trong các tùy chọn:

    • Bao gồm các thiết bị đã lọc trong nhiệm vụ: chỉ các thiết bị khớp với bộ lọc mới nhận được chính sách.
    • Loại trừ các thiết bị được lọc trong nhiệm vụ: các thiết bị khớp với bộ lọc không nhận được chính sách.

  7. Chọn bộ lọc bài tập hiện có của bạn từ Bước 2 và chọn Chọn.

  8. Chọn Xem lại + lưu>Lưu.

Hiểu hành vi của thiết bị

  • Intune sẽ đánh giá bộ lọc khi thiết bị đăng ký, mỗi lần thiết bị đăng nhập và bất cứ khi nào chính sách được gán được đánh giá lại.
  • Việc bật thiết đặt Khởi động An toàn không đảm bảo áp dụng chứng chỉ ngay lập tức. Đối với cài đặt Khởi động an toàn kích hoạt quá trình cập nhật, tác vụ Khởi động an toàn của Windows sẽ chạy 12 giờ một lần. Một số bản cập nhật có thể yêu cầu khởi động lại.

Câu hỏi Thường Gặp

Các thiết bị xử lý cài đặt "Bật Cập nhật chứng chỉ khởi động an toàn" bao lâu một lần?

Tác vụ Khởi động an toàn của Windows xử lý cài đặt chạy 12 giờ một lần.

Tôi có nên khởi động lại không?

Việc khởi tạo cập nhật thông qua Intune không gây ra khởi động lại, mặc dù có thể cần phải khởi động lại để hoàn tất quá trình cập nhật.

Tôi có thể quay lui hoặc loại bỏ các chứng chỉ mới sau khi áp dụng không?

Sau khi các chứng chỉ được áp dụng cho vi chương trình, Windows không thể xóa chúng. Việc xóa chứng chỉ phải được thực hiện thông qua giao diện vi chương trình.

Tại sao tôi nên làm điều này trước tháng 6 năm 2026?

Các chứng chỉ cũ hơn bắt đầu hết hạn vào tháng 6 năm 2026. Các thiết bị chưa nhận được chứng chỉ 2023 mới hơn sẽ mất khả năng nhận được các biện pháp bảo vệ bảo mật khởi động sớm mới (ví dụ: cơ sở dữ liệu Khởi động an toàn và các bản cập nhật thu hồi).

Tài nguyên