注意
- 原始发布日期： 2026 年 2 月 19 日
- KB ID： 5080914
注意
本文包含以下方面的指导：
管理云电脑的 Windows 365 管理员。
使用已启用安全启动的云电脑进行 Windows 365 部署的组织。
使用 Windows 365 部署自定义映像的组织。
在本文中：
简介
安全启动是一项 UEFI 固件安全功能，有助于确保在设备启动序列中仅运行受信任的数字签名软件。 2011 年颁发的 Microsoft 安全启动证书将于 2026 年 6 月开始过期。 如果没有更新的 2023 证书，设备将不再接收新的安全启动和启动管理器保护或针对新发现的启动级漏洞的缓解措施。
Windows 365 服务中预配的所有启用安全启动的云电脑以及用于预配它们的自定义映像必须在过期前更新到 2023 证书，以保持受保护状态。 请参阅安全 启动证书在 Windows 设备上何时过期。
这是否适用于我的 Windows 365 环境？
| 方案 | 安全启动是否处于活动状态？ | 所需操作 |
|---|---|---|
| 云电脑 | ||
| 启用了安全启动的云电脑 | 是 | 在云电脑上更新证书 |
| 禁用了安全启动的云电脑 | 否 | 无需执行任何操作 |
| 图像 | ||
| 启用了安全启动的 Azure 计算库映像 | 是 | 在通用之前更新源映像中的证书 |
| 没有受信任启动的 Azure 计算库映像 | 否 | 预配后在云电脑中应用更新 |
| 托管映像 (不支持受信任的启动) | 否 | 预配后在云电脑中应用更新 |
有关完整的背景信息，请参阅 安全启动证书更新：面向 IT 专业人员和组织的指南。
清单和监视
在采取措施之前，请清点你的环境以识别需要更新的设备。 即使依赖自动部署方法，监控对于确认在 2026 年 6 月截止日期之前应用证书至关重要。 下面是确定是否需要采取措施的选项。
选项 1：Microsoft Intune 修正
对于已注册 Microsoft Intune 的云电脑，可以使用Intune修正 (主动修正) 部署检测脚本，以在整个队列中自动收集安全启动证书状态。 该脚本在每台设备上静默运行，并将安全启动状态、证书更新进度和设备详细信息报告回 Intune 门户 — 不会对设备进行任何更改。 可以直接从 Intune 管理中心查看结果并将其导出到 CSV，以进行队列范围的分析。
有关部署检测脚本的分步说明，请参阅使用 Microsoft Intune 修正监视安全启动证书状态。
选项 2：Windows 自动更新安全启动状态报告
对于注册了 Windows 自动更新的云电脑，请转到 Intune 管理中心>报告>Windows 自动更新>Windows 质量更新>“报告”选项卡>安全启动状态。 请参阅 Windows 自动更新中的安全启动状态报告。
注意：若要将 Windows 自动更新与 Windows 365 配合使用，必须向 Windows 自动更新服务注册云电脑。 请参阅 Windows 365 企业版工作负载上的 Windows 自动更新。
选项 3：用于队列监视的注册表项
使用现有的设备管理工具查询队列中的这些注册表值。
| 注册表路径 | 键 | 用途 |
|---|---|---|
| HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet \Control\SecureBoot\Servicing |
UEFICA2023Status | 当前部署状态 |
| HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet \Control\SecureBoot\Servicing |
UEFICA2023Error | 指示不应存在 (错误) |
| HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet \Control\SecureBoot\Servicing |
UEFICA2023ErrorEvent | 指示事件 ID (不应存在) |
| HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet \Control\SecureBoot |
AvailableUpdates | 挂起的更新位 |
有关完整的注册表项详细信息，请参阅 安全启动的注册表项更新。
选项 4：事件日志监视
使用现有的设备管理工具从队列的系统事件日志中收集和监控这些事件 ID。
| 事件 ID | 位置 | 含义 |
|---|---|---|
| 1808 | 机制 | 已成功应用证书 |
| 1801 | 机制 | 更新状态或错误详细信息 |
有关事件详细信息的完整列表，请参阅 安全启动数据库和 DBX 变量更新事件。
选项 5：PowerShell 清单脚本
运行 Microsoft 示例安全启动清单数据收集脚本以检查安全启动证书更新状态。 该脚本收集多个数据点，包括安全启动状态、UEFI CA 2023 更新状态、固件版本和事件日志活动。
部署
重要
无论选择哪种部署选项，我们都建议监控设备队列，以确保证书在 2026 年 6 月截止日期之前成功应用。 有关自定义映像，请参阅 自定义映像注意事项。
选项 1：从Windows 更新 (高置信度设备自动汇报)
当足够的遥测确认在类似硬件配置上成功部署时，Microsoft 会通过 Windows 每月更新自动更新设备。
- 状态：默认情况下为高置信度设备启用
- 除非想要选择退出，否则无需执行任何操作
| 注册表 | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot |
|---|---|
| 键 | HighConfidenceOptOut = 1 可选择退出 |
| 组策略 | 计算机配置>管理模板>Windows 组件>安全启动>通过汇报>自动部署证书设置为“已禁用”可选择退出 |
注意
建议： 即使启用了自动更新，也要监视云电脑来验证是否应用了证书。 并非所有设备都有资格进行高置信度自动部署。
有关详细信息，请参阅 自动部署助手。
选项 2：IT-Initiated 部署
手动触发证书更新以实现即时或受控推出。
| 方法 | 文档 |
|---|---|
| Microsoft Intune | Microsoft Intune 方法 |
| 组策略 | GPO 方法 |
| 注册表项 | 注册表项方法 |
| WinCS CLI | WinCS API |
注意
- 请勿在同一台设备上混合 IT 启动的部署方法 (例如，Intune 和 GPO) - 它们控制相同的注册表项，并且可能发生冲突。
- 请等待大约 48 小时和一次或多次重启，以便证书完全应用。
自定义映像注意事项
自定义映像完全由组织管理。 你负责将安全启动证书更新应用于自定义映像，并在使用它进行预配之前重新上传它。
仅支持Azure Compute Gallery 映像 (预览版) 支持将安全启动证书更新应用于源映像，这些映像支持受信任启动和安全启动。 托管映像不支持安全启动，因此无法在映像级别应用证书更新。 对于从托管映像预配的云电脑，请使用上述部署方法之一直接在云电脑上应用更新。
在通用化新的自定义映像之前，请验证证书是否已更新：
注意
Get-ItemProperty "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing" | Select-Object UEFICA2023Status
已知问题
服务注册表项不存在
| 问题 | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing 路径不存在 |
|---|---|
| 原因 | 尚未在设备上启动证书更新 |
| 解决方案 | 等待通过 Windows 更新自动部署，或使用上述 IT 启动的部署方法之一手动启动 |
状态长时间显示为“正在进行”
| 问题 | UEFICA2023Status 在多天后仍保持为“InProgress” |
|---|---|
| 原因 | 设备可能需要重启才能完成更新过程 |
| 解决方案 | 重启云电脑，并在 15 分钟后再次检查状态。 如果问题仍然存在，请参阅 安全启动数据库和 DBX 变量更新事件 以获取故障排除指南 |
UEFICA2023Error 注册表项存在
| 问题 | UEFICA2023Error 注册表项存在 |
|---|---|
| 原因 | 证书部署期间发生错误 |
| 解决方案 | 查看系统事件日志了解详细信息。 有关故障排除指南，请参阅安全启动数据库和 DBX 变量更新事件 |