使用Microsoft Intune修正监视安全启动证书状态

本文内容：

• 简介

• 先决条件

• 检测脚本

• 在 Intune 中创建修正

• 查看和导出结果

• 常见问题

• 资源

简介

Microsoft安全启动证书 (2011 CA) 从 2026 年 6 月开始过期。 所有启用了安全启动的 Windows 设备必须在过期前更新为 2023 证书，以确保继续支持安全更新。 

本指南提供了一种仅监视方法，使用Microsoft Intune修正 (主动修正) 。 检测脚本从每个设备收集安全启动和证书状态，并将其报告回Intune门户 - 不会对设备执行任何修正作。 这为管理员提供了一个集中的、可导出的视图，查看其Intune注册的 Windows 设备的证书更新进度。 

为何使用此方法？

有关证书更新的完整背景信息，请参阅安全启动证书更新：面向 IT 专业人员和组织的指导。 

先决条件

在部署检测脚本之前，请确保环境满足必要的要求。 

此解决方案利用Microsoft Intune中的修正。 有关先决条件的完整列表，请参阅使用修正来检测和修复支持问题 - Microsoft Intune。

检测脚本

检测脚本是一个 PowerShell 脚本，它从每个设备收集全面的安全启动清单数据，并将其输出为 JSON 字符串。 该脚本从以下源读取： 

注册表 — 安全启动证书更新状态、服务密钥、设备属性以及来自 HKLM：\SYSTEM\CurrentControlSet\Control\SecureBoot 及其子项的选择加入/选择退出设置 

WMI/CIM - OS 版本、上次启动时间和基板硬件信息 

事件日志 — 事件 ID 1801 和 1808 的系统事件日志条目 (安全启动更新事件)  

JSON 输出显示在Intune门户中的“修正 > 监视 > 设备状态”>“修正前检测输出”下，可以导出到 CSV 进行分析。 

重要说明： 这是一个仅限检测的脚本。 不会对设备进行更改。 不需要修正脚本。 

在 Intune 中创建修正 

按照以下步骤将检测脚本部署为 Microsoft Intune 中的修正 (脚本包) 。 

步骤 1：创建脚本包 

• 登录到 Microsoft Intune 管理中心

• 导航到“设备 > 修正”

• 单击“+ 创建脚本包”

步骤 2：基本信息 

• 在“基本信息”选项卡上配置以下设置：

• 单击“ 下一步”

步骤 3：设置 

• 在“设置”选项卡上配置以下设置：

• 单击“ 下一步”

步骤 4：作用域标记 

• 添加组织所需的任何范围标记，或保留为默认值

• 单击“下一步”

步骤 5：分配 

注意：修正按设备的配置计划运行。 首次运行可能需要分配后最多 24 小时，具体取决于设备的检查周期。 

单击“ 下一步”

步骤 6：查看 + 创建 

• 查看所有设置

• 单击“创建”

查看和导出结果 

在门户中查看结果 

• 导航到“设备 > 修正”

• 单击安全启动证书状态监视器 (或所选名称)

• 选择“监视”选项卡

• 单击“设备状态”

• 单击“ 列 ”并添加 修正前检测输出

你将看到一个包含以下列的表： 

导出到 CSV 

• 在“设备状态”页上，单击表顶部的“导出”按钮

• CSV 文件将下载所有列，包括每个设备的完整 JSON 检测输出

• 在 Excel 中打开，按任何字段筛选、排序和分析

提示：在 Excel 中，可以使用 TEXTJOIN 或 JSON 函数将检测输出 JSON 分析为单独的列，以便于分析。 

“概述”选项卡

“修正”上的“概述”选项卡提供了摘要仪表板： 

常见问题

资源 

安全启动证书更新 Playbook

安全启动证书汇报：面向 IT 专业人员的指南

用于安全启动的注册表项汇报

安全启动 DB 和 DBX 变量更新事件

Microsoft Intune中的修正 

修正的先决条件