安全启动 E2E 自动化指南示例

AvailableUpdatesPolicy 组策略

这是 GPO/ADMX 控制的密钥，可：

• 在重新启动时保留

• 由 组策略/MDM 设置

• 不会导致重试循环 (通过 ClearRolloutFlags) 清除

• 策略驱动部署的正确密钥

参考：组策略 对象 (GPO) 具有 IT 托管更新的 Windows 设备安全启动方法

返回到“证书汇报设置参考” 

WinCSFlags - Windows 配置系统标志

域管理员可以使用随 Windows OS 更新一起发布的 Windows 配置系统 (WinCS) 跨已加入域的 Windows 客户端和服务器部署安全启动更新。 它包含命令行 接口 (CLI) 实用工具 ，用于在本地查询安全启动配置并将其应用于计算机。

参考： 用于安全启动的 Windows 配置系统 (WinCS) API

返回到“证书汇报设置参考”

返回页首

阶段 1 所需的脚本

安全启动清单数据收集脚本示例

返回到“阶段 1：企业级别的检测和状态监视”

本地测试

在通过 GPO 进行部署之前，请在单台计算机上测试收集脚本以验证功能。 

• 在本地
  
  运行集合脚本 打开提升的 PowerShell 提示符并执行：

  & .\Detect-SecureBootCertUpdateStatus.ps1 -OutputPath “C：\Temp\SecureBootTest” 

• 验证 JSON 输出

  
  # View the collected data  Get-Content“C：\Temp\SecureBootTest\*_latest.json” |ConvertFrom-Json |Format-List

  要验证  
  的键字段 • SecureBootEnabled - 应为 True 或 False
  • OverallStatus – Complete、ReadyForUpdate、NeedsData 或 Error
  • BucketHash - 用于置信度数据匹配
  的设备存储桶 • SecureBootTaskEnabled - 显示安全启动更新任务的状态。

• 测试聚合脚本

  
  # Generate reports from collected data  & .\Aggregate-SecureBootCertStatus.ps1”
      -InputPath “C：\Temp\SecureBootTest” '
      -OutputPath “C：\Temp\SecureBootReports”
  
  # 打开 HTML 仪表板   

  Start-Process "C:\Temp\SecureBootReports\SecureBoot_Dashboard_*.html"

返回到“阶段 1：企业级别的检测和状态监视” 

网络共享设置

• 创建网络共享
  
  在文件服务器上，为收集数据创建专用共享：

  
  # Run on file server as Administrator  $SharePath = “D：\SecureBootCollection”
  $ShareName = “SecureBootData$”
  
  # 创建文件夹
  New-Item -ItemType Directory -Path $SharePath -Force
  
  # 创建隐藏共享 ($ 后缀从浏览列表中隐藏)
  New-SmbShare -Name $ShareName -Path $SharePath '
      -Description “安全启动证书状态集合” '
      -FullAccess “域管理员”
      -ChangeAccess“经过身份验证的用户”    

• 配置 NTFS 权限

  
  # Get current ACL  $Acl = Get-Acl $SharePath
  
  # 允许经过身份验证的用户写入文件
  $WriteRule = New-Object System.Security.AccessControl.FileSystemAccessRule (
      “经过身份验证的用户”，
      “CreateFiles，AppendData，WriteAttributes，WriteExtendedAttributes”，
      “ContainerInherit，ObjectInherit”，
      “None”，
      “允许”
  
  ) $Acl.AddAccessRule ($WriteRule)
  
  # 允许域管理员完全控制聚合) (
  $AdminRule = New-Object System.Security.AccessControl.FileSystemAccessRule (
      “域管理员”，
      “FullControl”，
      “ContainerInherit，ObjectInherit”，
      “None”，
      “允许”
  
  ) $Acl.AddAccessRule ($AdminRule)
  
  # 应用权限
  Set-Acl -Path $SharePath -AclObject $Acl       

• 验证共享访问

  
  # Test from a domain-joined workstation  Test-Path“\\fileserver\SecureBootData$”
  # 应返回：True

返回到“阶段 1：企业级别的检测和状态监视” 

GPO 部署

使用从域控制器提供的自动化脚本：

此脚本将执行以下操作：

• 使用指定名称创建新的 GPO

• 将集合脚本复制到 SYSVOL 以实现高可用性

• 配置计算机启动脚本

• 将 GPO 链接到目标 OU

• （可选）为定期收集创建计划任务

下表提供了基于队列大小的延迟时长的指导。

返回到“阶段 1：企业级别的检测和状态监视” 

GPO 设置摘要

返回到“阶段 1：企业级别的检测和状态监视” 

验证

• 在测试加工 e 上强制更新 GPO

  
  ## On a test workstation  gpupdate /force
  
  # 重新启动客户端计算机以启动脚本，否则将在下一个计划触发。  
  Restart-Computer -Force

• 验证数据收集

  # 检查是否 (文件服务器或任何计算机)
  收集数据 Get-ChildItem“\\fileserver\SecureBootData$”| 
      Sort-Object LastWriteTime -Descending | 
      Select-Object -First 10
   
  # 验证 JSON 内容
  Get-Content“\\fileserver\SecureBootData$\TESTPC_latest.json”|ConvertFrom-Json 

• 检查 GPO 应用程序

  # 验证 GPO 是否已应用于计算机
  gpresult /r /scope：computer |Select-String“SecureBoot”
  s
  该脚本还会保存本地副本，以便实现冗余：
  Get-ChildItem“C：\ProgramData\SecureBootCollection\” 

返回到“阶段 1：企业级别的检测和状态监视”

返回页首 

阶段 2 所需的脚本

安全启动清单数据收集脚本示例

返回到“阶段 2：安全启动证书更新业务流程脚本” 

Start-SecureBootRolloutOrchestrator.ps1

• 目的： 使用自动 GPO 部署实现完全自动化的连续业务流程。

• 它的作用

  • 设备状态的调用 Aggregate-SecureBootData.ps1

  • 使用渐进式翻倍生成推出波

  • 使用以下方法之一创建用于证书部署的 GPO

    • 安全启动组策略 AvailableUpdatesPolicy = 0x5944 (默认)

    • WinCS 方法 (参数 – UseWinCS)

  • 创建用于目标的 AD 安全组

  • 将计算机帐户添加到安全组

  • 配置 GPO 安全筛选

  • 将 GPO 链接到目标 OU

  • 监视阻止的存储桶 (无法访问的设备)

  • 设备恢复时自动取消阻止

• 使用情况

  
  # Interactive (testing) .\Start-SecureBootRolloutOrchestrator.ps1 '
      -AggregationInputPath “\\fileserver\SecureBootData$” '
      -ReportBasePath “C：\SecureBootReports” '
      -PollIntervalMinutes 30

  
  # Interactive (testing), leveraging WinCS method .\Start-SecureBootRolloutOrchestrator.ps1 '
      -AggregationInputPath “\\fileserver\SecureBootData$” '
      -ReportBasePath “C：\SecureBootReports” '
      -PollIntervalMinutes 1440 -UseWinCS

• 管理员命令

  
  # List blocked buckets .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath “C：\SecureBootReports” -ListBlockedBuckets

  
  # Unblock specific bucket .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath “C：\SecureBootReports” -UnblockBucket “Dell|Latitude5520 |BIOS1.2”

  
  # Unblock all .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath “C：\SecureBootReports” -UnblockAll

• 参数

  参数	默认为	描述
  AggregationInputPath	必选	终结点 JSON 文件的 UNC 路径
  ReportBasePath	必选	报表和状态的本地路径
  TargetOU	域根	用于链接 GPO 的 OU
  WavePrefix	SecureBoot-Rollout	GPO/组命名前缀
  MaxWaitHours	72	检查设备可访问性前的小时数
  PollIntervalMinutes	1440	状态检查之间的分钟数
  DryRun	否	显示在没有更改的情况下将发生的情况

返回到“阶段 2：安全启动证书更新业务流程脚本”  

Deploy-OrchestratorTask.ps1

• 目的： 将业务流程协调程序部署为 Windows 计划任务。

• 权益

  • 没有 PowerShell 安全提示 (ExecutionPolicy 绕过)

  • 在后台连续运行

  • 无需用户交互

  • 在重新启动后幸存下来

• 使用情况

  • 使用域服务帐户进行部署 (建议)

    • 使用 AvailableUpdates 组策略 (默认方法)

      .\Deploy-OrchestratorTask.ps1 '
          -AggregationInputPath “\\server\SecureBootData$” '
          -ReportBasePath “C：\SecureBootReports” '
          -ServiceAccount“DOMAIN\svc_secureboot”

    • 使用 WinCS 方法

      .\Deploy-OrchestratorTask.ps1 '
          -AggregationInputPath “\\server\SecureBootData$” '
          -ReportBasePath “C：\SecureBootReports” '
          -ServiceAccount “DOMAIN\svc_secureboot” -UseWinCS

  • 使用 SYSTEM 帐户进行部署

    • 使用 AvailableUpdates 组策略 (默认方法)

      .\Deploy-OrchestratorTask.ps1 '
          -AggregationInputPath “\\server\SecureBootData$” '
          -ReportBasePath “C：\SecureBootReports”

    • 使用 WinCS method.\Deploy-OrchestratorTask.ps1

          -AggregationInputPath “\\server\SecureBootData$” '
          -ReportBasePath “C：\SecureBootReports” -UseWinCS

    • 服务帐户要求

      • New-GPO、New-ADGroup、Add-ADGroupMember) 的域管理员 (

      • 对 JSON 文件共享的读取访问权限

      • 对 ReportBasePath 的写入访问权限

返回到“阶段 2：安全启动证书更新业务流程脚本”  

Get-SecureBootRolloutStatus.ps1

• 目的： 查看任何工作站的推出进度。

• 显示的内容

  • 计划任务状态 (正在运行/就绪/已停止)

  • 当前波形号

  • 面向的设备与更新的设备

  • 视觉进度栏

  • 阻止的存储桶摘要

  • 链接到最新的 HTML 仪表板

• 使用情况

  
  # Quick status check .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath “C：\SecureBootReports”

  
  # Continuous monitoring (refreshes every 30 seconds) .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath “C：\SecureBootReports” -Watch 30

  
  # View blocked buckets .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath “C：\SecureBootReports” -ShowBlocked

  
  # View wave history .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath “C：\SecureBootReports” -ShowWaves

  
  # View recent log .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath “C：\SecureBootReports” -ShowLog

  
  # Open dashboard in browser .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath “C：\SecureBootReports” -OpenDashboard

• 示例输出

  
  ==============================================================    安全启动推出状态
     2026-02-17 19：30：00
  ======================================================

  Scheduled Task: Running

  
  ROLLOUT PROGRESS
  ---------------------------------------- 状态：InProgress
  当前波形：5
  目标总数：1250
  更新总数： 847

  Progress: [█████████████████████░░░░░░░░░░░░░░░░░░░] 67.8%

  
  BLOCKED BUCKETS: 2 buckets need attention   使用 -ShowBlocked 运行了解详细信息

  
  LATEST DASHBOARD
  C:\SecureBootReports\Aggregation_20260217_193000\SecureBoot_Dashboard.html __________________________________________________________________________________________

返回到“阶段 2：安全启动证书更新业务流程脚本”

返回页首 

阶段 1：检测基础结构

• 步骤 1：创建集合共享

  
  # On file server $sharePath = “D：\SecureBootData”
  New-Item -ItemType 目录 -Path $sharePath -Force
  New-SmbShare -Name “SecureBootData$” -Path $sharePath -FullAccess “域管理员” -ChangeAccess “域计算机”

  
  # Set NTFS permissions $acl = Get-Acl $sharePath
  $rule = New-Object System.Security.AccessControl.FileSystemAccessRule (“域计算机”，“修改”，“允许”)
  $acl。AddAccessRule ($rule)
  Set-Acl $sharePath $acl

• 步骤 2：部署检测 GPO

  
  .\Deploy-GPO-SecureBootCollection.ps1 `     -DomainName “contoso.com” '
      -OUPath “OU=Workstations，DC=contoso，DC=com” '
      -CollectionSharePath “\\server\SecureBootData$”

• 步骤 3：等待终结点报告 (24-48 小时)

  # 检查收集进度
  (Get-ChildItem “\\server\SecureBootData$” -Filter “*.json”) 。计数

返回到“E2E 部署步骤 (快速参考指南) ” 

阶段 2：精心安排的推出

• 步骤 4：先决条件检查

  • 检测 gpo 部署 (步骤 2)

  • 至少 50 多个终结点报告 JSON

  • 具有域管理员权限的服务帐户

  • 使用 PowerShell 5.1+ 的管理服务器

• 步骤 5：将 Orchestrator 部署为计划任务

  
  .\Deploy-OrchestratorTask.ps1 `     -AggregationInputPath “\\server\SecureBootData$” '
      -ReportBasePath “C：\SecureBootReports” '
      -ServiceAccount“DOMAIN\svc_secureboot”

• 步骤 6：监视进度

  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports"

• 步骤 7：查看仪表板

  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" -OpenDashboard

• 步骤 8：管理阻止的存储桶

  
  # List blocked .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath “C：\SecureBootReports” -ListBlockedBuckets

  
  # Investigate and unblock .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath “C：\SecureBootReports” -UnblockBucket “Manufacturer|模型 |BIOS”

• 步骤 9：验证完成

  
  .\Get-SecureBootRolloutStatus.ps1 -ReportBasePath "C:\SecureBootReports" # 状态应显示“已完成”

返回到“E2E 部署步骤 (快速参考指南) ”  

状态Files

业务流程协调程序维护 ReportBasePath\RolloutState\：

返回到“E2E 部署步骤 (快速参考指南) ” 

返回页首 

业务流程协调程序未进行

1. 检查计划的任务

   Get-ScheduledTask -TaskName "SecureBoot-Rollout-Orchestrator"

2. 检查日志

   Get-Content "C:\SecureBootReports\RolloutState\Orchestrator_*.log" -Tail 50

3. 验证 JSON 数据新鲜度

   (Get-ChildItem "\\server\SecureBootData$" -Filter "*.json" | Where-Object { $_.LastWriteTime -gt (Get-Date).AddDays(-1) }).Count

返回到“故障排除” 

阻止的存储桶

1. 列表已阻止。

   .\Start-SecureBootRolloutOrchestrator.ps1 -ReportBasePath "C:\SecureBootReports" -ListBlockedBuckets

2. 调查设备可访问性。

3. 检查固件问题。

4. 调查后解除阻止。

返回到“故障排除”  

GPO 未应用

1. 验证 GPO 是否存在。

   Get-GPO -Name "SecureBoot-Rollout-Wave*"

2. 检查安全筛选。

   Get-GPPermission -Name "GPO-Name" -All

3. 验证计算机是否在安全组中。

4. 在目标上应用 GPO。

   gpupdate /force

返回到“故障排除”

返回页首