安全启动证书更新的已知问题和解决方法

安全启动证书更新可能会记录Azure受信任的启动虚拟机上的事件 ID 1795

症状

在某些Azure受信任的启动 (Gen2) 虚拟机上，尝试更新密钥交换密钥 (KEK) 时，安全启动证书更新可能无法完成。

在这些情况下，可能会观察到以下情况：

• 事件 ID 1795 记录在系统事件日志中。

• 错误消息，指示系统固件在尝试更新安全启动变量时返回错误。

• KEK 更新仍在进行中或未完成。

原因
此问题会影响某些长时间运行的Azure虚拟机，其中安全启动变量由平台固件维护。

在这些环境中，安全启动变量（如 KEK）的更新取决于来宾操作系统与Azure主机平台之间的协调。 在特定条件下，这种协调可能会阻止 KEK 更新成功完成。

地位
目前，客户无需执行任何操作。 将在未来的更新中提供解决此问题的解决方案。

Microsoft Intune Windows 专业版上的错误代码 65000 

症状

通过 Microsoft Intune Mobile 设备管理 (MDM) 部署的安全启动配置设置当前在 pro 版本的 Windows 10 和 Windows 11 上被阻止。

• 尝试应用这些策略会导致Microsoft Intune错误代码 65000。 

• 事件日志可能会记录POLICYMANAGER_E_AREAPOLICY_NOTAPPLICABLEINEDITION，指示此功能在此版本中不可用。

解决方案

Microsoft Intune许可服务已于 2026 年 1 月 27 日更新，允许在 Windows 10 和 Windows 11 专业版上部署安全启动配置设置。

在此日期之前收到Microsoft Intune许可证的设备将需要续订许可证才能解决此问题。  许可证每月自动续订，因此此问题将在 2026 年 2 月 27 日 (和安装最新 Windows 更新的 Windows 11 版本 23H2 设备（如上面) 所述）解决。 若要在设备上手动续订许可证，请在用户的上下文) 下代表用户 (运行以下命令：

• ClipDLS.exe removesubscription

• ClipRenew.exe

返回页首 

Hyper-V 虚拟机上的安全启动证书更新可能会失败，并显示事件 ID 1795

症状

在某些 Hyper-V 虚拟机上，更新密钥交换密钥 (KEK) 时，安全启动证书更新可能会失败。 在这些情况下，更新不会完成， (事件 ID 1795) ，可能会记录诸如“系统固件返回错误：介质受写入保护”之类的错误。 

解决方案

此问题在 2026 年 3 月 10 日和之后发布的 Windows 更新中得到解决，Windows Server 2025 除外，2026 年 4 月 14 日和之后发布的 Windows 更新中解决了此问题。

返回页首  

更改日志

返回页首