Mẫu Hướng dẫn tự động hóa khởi động an toàn E2E

Chính sách Nhóm Chính sách AvailableUpdatesPolicy

Đây là phím GPO/ADMX được kiểm soát:

• Duy trì qua các lần khởi động lại

• Được thiết lập bởi chính sách nhóm / MDM

• Không gây ra vòng lặp lại (xóa thông qua ClearRolloutFlags)

• Là chìa khóa chính xác cho việc triển khai theo chính sách

Tham khảo: Chính sách nhóm Đối tượng An toàn (GPO) của Khởi động An toàn cho các thiết bị Windows có bản cập nhật do bộ CNTT quản lý

quay lại "Certificate Cập nhật Settings Reference" 

WinCSFlags - Cờ Hệ thống Cấu hình Windows

Người quản trị miền có thể sử dụng Hệ thống Cấu hình Windows (WinCS) được phát hành cùng với các bản cập nhật HĐH Windows để triển khai các bản cập nhật Khởi động An toàn trên các máy khách và máy chủ Windows đã tham gia miền. Nó bao gồm một tiện ích giao diện dòng lệnh (CLI) để truy vấn và áp dụng cấu hình Khởi động An toàn cục bộ cho một máy tính.

Tham khảo: API Hệ thống Cấu hình Windows (WinCS) để khởi động an toàn

quay lại "Certificate Cập nhật Settings Reference"

quay lại đầu trang

Tập lệnh cần thiết cho Giai đoạn 1

Mẫu mã lệnh Thu thập Dữ liệu Kiểm kê Khởi động An toàn

quay lại "Giai đoạn 1: Phát hiện và Giám sát Trạng thái ở cấp doanh nghiệp"

Kiểm tra Cục bộ

Trước khi triển khai thông qua GPO, hãy kiểm tra tập lệnh tuyển tập trên một máy duy nhất để xác minh chức năng. 

• Chạy Tập lệnh Bộ sưu tập cục bộ
  
  Mở lời nhắc PowerShell mức cao và thực thi:

  & .\Detect-SecureBootCertUpdateStatus.ps1 -OutputPath "C:\Temp\SecureBootTest" 

• Xác minh Đầu ra JSON

  
  # View the collected data  Get-Content "C:\Temp\SecureBootTest\*_latest.json" | ConvertFrom-Json | Format-List

  Các trường Chính cần Xác minh  
  • SecureBootEnabled – Nên là True hoặc False
  • OverallStatus – Hoàn tất, ReadyForUpdate, NeedsData hoặc Lỗi
  • BucketHash – Bộ chứa thiết bị để khớp dữ liệu tự tin
  • SecureBootTaskEnabled - Hiển thị trạng thái của Tác vụ Cập nhật Khởi động An toàn.

• Kiểm tra Tập lệnh Tổng hợp

  
  # Generate reports from collected data  & .\Aggregate-SecureBootCertStatus.ps1" '
      -InputPath "C:\Temp\SecureBootTest" '
      -OutputPath "C:\Temp\SecureBootReports"
  
  # Mở bảng điều khiển HTML   

  Start-Process "C:\Temp\SecureBootReports\SecureBoot_Dashboard_*.html"

quay lại "Giai đoạn 1: Phát hiện và Giám sát Trạng thái ở cấp doanh nghiệp" 

Thiết lập Chia sẻ Mạng

• Tạo Chia sẻ Mạng
  
  Trên máy chủ tệp của bạn, tạo một chia sẻ chuyên dụng cho dữ liệu thu thập:

  
  # Run on file server as Administrator  $SharePath = "D:\SecureBootCollection"
  $ShareName = "SecureBootData$"
  
  # Tạo thư mục
  New-Item -ItemType Directory -Path $SharePath -Force
  
  # Tạo chia sẻ ẩn (hậu tố$ ẩn khỏi danh sách duyệt)
  New-SmbShare -Name $ShareName -Path $SharePath '
      -Mô tả "Secure Boot Certificate Status Collection" '
      -FullAccess "Quản trị viên miền" '
      -ChangeAccess "Người dùng đã Xác thực"    

• Đặt cấu hình Quyền NTFS

  
  # Get current ACL  $Acl = Get-Acl $SharePath
  
  # Cho phép Người dùng Đã xác thực viết tệp
  $WriteRule = New-Object System.Security.AccessControl.FileSystemAccessRule(
      "Người dùng được Xác thực",
      "CreateFiles,AppendData,WriteAttributes,WriteExtendedAttributes",
      "ContainerInherit,ObjectInherit",
      "Không có",
      "Cho phép"
  )
  $Acl.AddAccessRule($WriteRule)
  
  # Cho phép Người quản trị Miền toàn quyền kiểm soát (để tổng hợp)
  $AdminRule = New-Object System.Security.AccessControl.FileSystemAccessRule(
      "Quản trị viên Miền",
      "FullControl",
      "ContainerInherit,ObjectInherit",
      "Không có",
      "Cho phép"
  )
  $Acl.AddAccessRule($AdminRule)
  
  # Áp dụng quyền
  Set-Acl -Path $SharePath -AclObject $Acl       

• Xác minh Quyền truy nhập Chia sẻ

  
  # Test from a domain-joined workstation  Test-Path "\\fileserver\SecureBootData$"
  # Nên trả về: True

quay lại "Giai đoạn 1: Phát hiện và Giám sát Trạng thái ở cấp doanh nghiệp" 

Triển khai GPO

Sử dụng tập lệnh tự động được cung cấp từ bộ điều khiển miền:

Tập lệnh này sẽ thực hiện các thao tác sau:

• Tạo GPO mới với tên đã xác định

• Sao chép tập lệnh tuyển tập sang SYSVOL để có độ khả dụng cao

• Cấu hình Tập lệnh Khởi động Máy tính

• Nối kết GPO để nhắm mục tiêu OU

• Tùy chọn tạo tác vụ đã lên lịch cho tuyển tập định kỳ

Bảng sau đây cung cấp hướng dẫn về khoảng thời gian trì hoãn sẽ dựa trên quy mô đội tàu của bạn.

quay lại "Giai đoạn 1: Phát hiện và Giám sát Trạng thái ở cấp doanh nghiệp" 

Tóm tắt Thiết đặt GPO

quay lại "Giai đoạn 1: Phát hiện và Giám sát Trạng thái ở cấp doanh nghiệp" 

Xác minh

• Bắt buộc GPO Update trên Kiểm tra Machine

  
  ## On a test workstation  gpupdate /force
  
  # Khởi động lại máy khách để khởi động script nếu không sẽ kích hoạt theo lịch trình tiếp theo.  
  Restart-Computer -Force

• Xác minh Thu thập Dữ liệu

  # Kiểm tra xem dữ liệu đã được thu thập (trên máy chủ tệp hoặc từ bất kỳ máy nào)
  Get-ChildItem "\\fileserver\SecureBootData$" |  
      Sort-Object-LastWriteTime -Giảm dần |  
      Select-Object -10 đầu tiên
   
  # Xác minh nội dung JSON
  Get-Content "\\fileserver\SecureBootData$\TESTPC_latest.json" | ConvertFrom-Json 

• Kiểm tra Ứng dụng GPO

  # Xác minh GPO được áp dụng cho máy tính
  gpresult /r /scope:computer | Select-String "SecureBoot"
  S
  Kịch bản cũng lưu một bản sao cục bộ cho dư thừa:
  Get-ChildItem "C:\ProgramData\SecureBootCollection\" 

quay lại "Giai đoạn 1: Phát hiện và Giám sát Trạng thái ở cấp doanh nghiệp"

quay lại đầu trang 

Tập lệnh cần thiết cho Giai đoạn 2

Mẫu mã lệnh Thu thập Dữ liệu Kiểm kê Khởi động An toàn

quay lại "Giai đoạn 2: Bảo mật Khởi động Chứng chỉ Cập nhật Tập lệnh Dàn nhạc" 

Start-SecureBootRolloutOrchestrator.ps1

• Mục đích: Dàn nhạc tự động hoàn toàn liên tục với triển khai GPO tự động.

• Tác dụng

  • Nhận cuộc Aggregate-SecureBootData.ps1 trạng thái thiết bị

  • Tạo sóng triển khai bằng cách sử dụng tăng gấp hai số lũy tiến

  • Tạo GPO cho triển khai chứng chỉ bằng cách sử dụng một trong các phương pháp sau đây

    • Chính sách Nhóm khởi động an toàn AvailableUpdatesPolicy = 0x5944 (Mặc định)

    • Phương pháp WinCS (Tham số –UseWinCS)

  • Tạo nhóm bảo mật AD để nhắm mục tiêu

  • Thêm tài khoản máy tính vào nhóm bảo mật

  • Cấu hình lọc bảo mật GPO

  • Nối kết GPO để nhắm mục tiêu OU

  • Màn hình cho bộ chứa bị chặn (thiết bị không thể truy cập)

  • Tự động bỏ chặn khi thiết bị khôi phục

• Cách sử dụng

  
  # Interactive (testing) .\Start-SecureBootRolloutOrchestrator.ps1 '
      -AggregationInputPath "\\fileserver\SecureBootData$" '
      -ReportBasePath "C:\SecureBootReports" '
      -PollIntervalMinutes 30

  
  # Interactive (testing), leveraging WinCS method .\Start-SecureBootRolloutOrchestrator.ps1 '
      -AggregationInputPath "\\fileserver\SecureBootData$" '
      -ReportBasePath "C:\SecureBootReports" '
      -PollIntervalMinutes 1440 -UseWinCS

• Quản trị lệnh

  
  # List blocked buckets .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -ListBlockedBuckets

  
  # Unblock specific bucket .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -UnblockBucket "Dell|Vĩ độ5520|BIOS1.2"

  
  # Unblock all .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -UnblockAll

• Tham số

  Tham số	Mặc định	Mô tả
  Tổng hợpInputPath	Yêu cầu	Đường dẫn UNC đến tệp JSON điểm cuối
  ReportBasePath	Yêu cầu	Đường dẫn cục bộ cho báo cáo và tiểu bang
  TargetOU	Tên miền gốc	OU để liên kết GPO
  WavePrefix	SecureBoot-Rollout	Tiền tố đặt tên GPO/nhóm
  MaxWaitHours	72	Giờ trước khi kiểm tra khả năng tiếp cận thiết bị
  PollIntervalMinutes	1440	Phút giữa các lần kiểm tra trạng thái
  DryRun	False	Hiển thị những gì sẽ xảy ra mà không có thay đổi

quay lại "Giai đoạn 2: Bảo mật Khởi động Chứng chỉ Cập nhật Tập lệnh Dàn nhạc"  

Deploy-OrchestratorTask.ps1

• Mục đích: Triển khai dàn nhạc như một Tác vụ đã lên lịch của Windows.

• Lợi ích

  • Không có lời nhắc bảo mật PowerShell (ExecutionPolicy Bypass)

  • Chạy trong nền liên tục

  • Không yêu cầu tương tác của người dùng

  • Tồn tại khởi động lại

• Cách sử dụng

  • Triển khai với tài khoản dịch vụ miền (được đề xuất)

    • Dùng AvailableUpdates chính sách nhóm (Phương pháp Mặc định)

      .\Deploy-OrchestratorTask.ps1 '
          -AggregationInputPath "\\server\SecureBootData$" '
          -ReportBasePath "C:\SecureBootReports" '
          -ServiceAccount "DOMAIN\svc_secureboot"

    • Sử dụng phương pháp WinCS

      .\Deploy-OrchestratorTask.ps1 '
          -AggregationInputPath "\\server\SecureBootData$" '
          -ReportBasePath "C:\SecureBootReports" '
          -ServiceAccount "DOMAIN\svc_secureboot" -UseWinCS

  • Triển khai bằng tài khoản HỆ THỐNG

    • Dùng AvailableUpdates chính sách nhóm (Phương pháp Mặc định)

      .\Deploy-OrchestratorTask.ps1 '
          -AggregationInputPath "\\server\SecureBootData$" '
          -ReportBasePath "C:\SecureBootReports"

    • Sử dụng ứng dụng WinCS method.\Deploy-OrchestratorTask.ps1

          -AggregationInputPath "\\server\SecureBootData$" '
          -ReportBasePath "C:\SecureBootReports" -UseWinCS

    • Yêu cầu về Tài khoản Dịch vụ

      • Tên Quản trị (đối với New-GPO, New-ADGroup, Add-ADGroupMember)

      • Đọc quyền truy nhập vào chia sẻ tệp JSON

      • Ghi quyền truy nhập vào ReportBasePath

quay lại "Giai đoạn 2: Bảo mật Khởi động Chứng chỉ Cập nhật Tập lệnh Dàn nhạc"  

Get-SecureBootRolloutStatus.ps1

• Mục đích: Xem tiến độ triển khai từ bất kỳ máy trạm nào.

• Nội dung hiển thị

  • Trạng thái tác vụ đã lên lịch (Đang chạy/Sẵn sàng/Đã dừng)

  • Số sóng hiện tại

  • Thiết bị được nhắm mục tiêu so với cập nhật

  • Thanh tiến trình trực quan

  • Tóm tắt bộ chứa bị chặn

  • Nối kết đến bảng điều khiển HTML mới nhất

• Cách sử dụng

  
  # Quick status check .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports"

  
  # Continuous monitoring (refreshes every 30 seconds) .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -Watch 30

  
  # View blocked buckets .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -ShowBlocked

  
  # View wave history .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -ShowWaves

  
  # View recent log .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -ShowLog

  
  # Open dashboard in browser .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -OpenDashboard

• Đầu ra mẫu

  
  ==============================================================    TRẠNG THÁI TRIỂN KHAI KHỞI ĐỘNG AN TOÀN
     2026-02-17 19:30:00
  ======================================================

  Scheduled Task: Running

  
  ROLLOUT PROGRESS
  ---------------------------------------- Trạng thái: InProgress
  Sóng hiện tại: 5
  Tổng mục tiêu: 1250
  Tổng số Cập nhật: 847

  Progress: [█████████████████████░░░░░░░░░░░░░░░░░░░] 67.8%

  
  BLOCKED BUCKETS: 2 buckets need attention   Chạy với -ShowBlocked để biết chi tiết

  
  LATEST DASHBOARD
  C:\SecureBootReports\Aggregation_20260217_193000\SecureBoot_Dashboard.html __________________________________________________________________________________________

quay lại "Giai đoạn 2: Bảo mật Khởi động Chứng chỉ Cập nhật Tập lệnh Dàn nhạc"

quay lại đầu trang 

Giai đoạn 1: Cơ sở hạ tầng Phát hiện

• Bước 1: Tạo Chia sẻ Bộ sưu tập

  
  # On file server $sharePath = "D:\SecureBootData"
  New-Item -ItemType Directory -Path $sharePath -Force
  New-SmbShare -Name "SecureBootData$" -Path $sharePath -FullAccess "Domain Admins" -ChangeAccess "Domain Computers"

  
  # Set NTFS permissions $acl = Get-Acl $sharePath
  $rule = New-Object System.Security.AccessControl.FileSystemAccessRule("Máy tính Miền","Sửa đổi","Cho phép")
  $acl. AddAccessRule($rule)
  Set-Acl $sharePath $acl

• Bước 2: Triển khai GPO Phát hiện

  
  .\Deploy-GPO-SecureBootCollection.ps1 `     -DomainName "contoso.com" '
      -OUPath "OU=Workstations,DC=contoso,DC=com" '
      -CollectionSharePath "\\server\SecureBootData$"

• Bước 3: Chờ Điểm cuối Báo cáo (24-48 giờ)

  # Kiểm tra tiến độ thu thập
  (Get-ChildItem "\\server\SecureBootData$" -Filter "*.json"). Đếm

quay lại "Các bước Triển khai E2E (Hướng dẫn Tham khảo Nhanh)" 

Giai đoạn 2: Triển khai dàn nhạc

• Bước 4: Điều kiện tiên quyết Kiểm tra

  • Phát hiện GPO đã triển khai (Bước 2)

  • Báo cáo điểm cuối JSON tối thiểu 50 điểm cuối

  • Tài khoản dịch vụ có quyền Quản trị Miền

  • Máy chủ quản lý với PowerShell 5.1+

• Bước 5: Triển khai Orchestrator dưới dạng Tác vụ đã lên lịch

  
  .\Deploy-OrchestratorTask.ps1 `     -AggregationInputPath "\\server\SecureBootData$" '
      -ReportBasePath "C:\SecureBootReports" '
      -ServiceAccount "DOMAIN\svc_secureboot"

• Bước 6: Theo dõi Tiến độ

  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports"

• Bước 7: Xem Bảng điều khiển

  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -OpenDashboard

• Bước 8: Quản lý Bộ chứa bị Chặn

  
  # List blocked .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -ListBlockedBuckets

  
  # Investigate and unblock .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -UnblockBucket "Manufacturer|Mô hình|BIOS"

• Bước 9: Xác minh hoàn thành

  
  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" # Trạng thái sẽ hiển thị "Đã hoàn thành"

quay lại "Các bước Triển khai E2E (Hướng dẫn Tham khảo Nhanh)"  

Tiểu bang Files

Orchestrator duy trì trạng thái trong ReportBasePath\RolloutState\:

quay lại "Các bước Triển khai E2E (Hướng dẫn Tham khảo Nhanh)" 

quay lại đầu trang 

Orchestrator Not Progressing

1. Kiểm tra tác vụ đã lên lịch

   Get-ScheduledTask -TaskName "SecureBoot-Rollout-Orchestrator"

2. Kiểm tra nhật ký

   Get-Content "C:\SecureBootReports\RolloutState\Orchestrator_*.log" -Tail 50

3. Xác minh tính năng làm mới dữ liệu JSON

   (Get-ChildItem "\\server\SecureBootData$" -Filter "*.json" | Where-Object { $_.LastWriteTime -gt (Get-Date).AddDays(-1) }).Count

quay lại "Khắc phục sự cố" 

Bộ chứa Bị chặn

1. Danh sách bị chặn.

   .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -ListBlockedBuckets

2. Điều tra khả năng tiếp cận thiết bị.

3. Kiểm tra sự cố vi chương trình.

4. Bỏ chặn sau khi điều tra.

quay lại "Khắc phục sự cố"  

GPO Không Áp dụng

1. Xác minh GPO tồn tại.

   Get-GPO -Name "SecureBoot-Rollout-Wave*"

2. Kiểm tra bộ lọc bảo mật.

   Get-GPPermission -Name "GPO-Name" -All

3. Xác minh máy tính nằm trong nhóm bảo mật.

4. Áp dụng GPO cho mục tiêu.

   gpupdate /force

quay lại "Khắc phục sự cố"

quay lại đầu trang