Azure虚拟桌面的安全启动证书汇报

简介

安全启动是一项 UEFI 固件安全功能，可帮助确保在设备启动序列期间仅运行受信任的数字签名软件。 2011 年颁发的Microsoft安全启动证书将于 2026 年 6 月到期。如果没有更新的 2023 证书，设备将不再收到针对新发现的启动级别漏洞的新安全启动和启动管理器保护或缓解措施。

在Azure虚拟桌面服务中注册的所有已启用安全启动的 VM 以及用于预配它们的自定义映像，必须在过期前更新为 2023 证书，才能保持受保护状态。请参阅 Windows 设备上的安全启动证书过期时间

这是否适用于我的Azure虚拟桌面环境？

应用场景	安全启动活动？	所需作
会话主机
启用了安全启动的受信任启动 VM	是	更新会话主机上的证书
禁用安全启动的受信任启动 VM	否	无需执行任何作
Standard安全类型 VM	否	无需执行任何作
第 1 代 VM	不支持	无需执行任何作
黄金图像
启用了安全启动的Azure Compute Gallery 映像	是	更新源映像中的证书
在没有受信任启动的情况下Azure计算库映像	否	部署后在会话主机中应用更新
托管映像 (不支持受信任的启动)	否	部署后在会话主机中应用更新

有关完整背景信息，请参阅安全启动证书更新：面向 IT 专业人员和组织的指导。

清单和监视器

在采取行动之前，请清点环境以识别需要更新的设备。监视对于确认证书在 2026 年 6 月截止时间之前应用至关重要，即使你依赖于自动部署方法也是如此。下面是用于确定是否需要采取措施的选项。

选项 1：Microsoft Intune修正

对于在 Microsoft Intune 中注册的会话主机，可以使用Intune修正 (主动修正) 部署检测脚本，以自动收集整个队列中的安全启动证书状态。该脚本在每个设备上以静默方式运行，并将安全启动状态、证书更新进度和设备详细信息报告回Intune门户 - 不会对设备进行更改。可以直接从Intune管理中心查看结果并将其导出到 CSV 中，以便进行车队范围的分析。

有关部署检测脚本的分步说明，请参阅使用Microsoft Intune修正监视安全启动证书状态。

选项 2：Windows 自动修补安全启动状态报告

对于注册到 Windows 自动修补的个人持久会话主机，请转到Intune管理中心 > 报告 > Windows 自动修补 > Windows 质量更新 >“选项卡，> 安全启动状态。请参阅 Windows 自动修补中的安全启动状态报告。

注意: Windows 自动修补仅支持Azure虚拟桌面的个人持久性虚拟机。不支持多会话主机、共用非持久性虚拟机和远程应用流式处理。请参阅Azure虚拟桌面工作负载上的 Windows 自动修补。

选项 3：用于队列监视的注册表项

使用现有设备管理工具在整个队列中查询这些注册表值。

注册表路径	键	用途
HKEY_LOCAL_MACHINE：\SYSTEM\CurrentControlSet \Control\SecureBoot\Servicing	UEFICA2023Status	当前部署状态
HKEY_LOCAL_MACHINE：\SYSTEM\CurrentControlSet \Control\SecureBoot\Servicing	UEFICA2023Error	指示错误 (不应存在)
HKEY_LOCAL_MACHINE：\SYSTEM\CurrentControlSet \Control\SecureBoot\Servicing	UEFICA2023ErrorEvent	指示事件 ID (不应存在)
HKEY_LOCAL_MACHINE：\SYSTEM\CurrentControlSet \Control\SecureBoot	AvailableUpdates	挂起的更新位

有关完整注册表项的详细信息，请参阅安全启动的注册表项更新：具有 IT 托管更新的 Windows 设备。

选项 4：事件日志监视

使用现有的设备管理工具从整个队列中的系统事件日志中收集和监视这些事件 ID。

事件 ID	位置	含义
1808	系统	证书已成功应用
1801	系统	更新状态或错误详细信息

有关事件详细信息的完整列表，请参阅安全启动 DB 和 DBX 变量更新事件。

选项 5：PowerShell 清单脚本

运行Microsoft的示例安全启动清单数据收集脚本，以检查安全启动证书更新状态。该脚本收集多个数据点，包括安全启动状态、UEFI CA 2023 更新状态、固件版本和事件日志活动。

部署

重要: 无论选择哪种部署选项，我们都建议监视设备群，以确认在 2026 年 6 月截止时间之前已成功应用证书。有关自定义映像，请参阅黄金映像注意事项。

选项 1：从Windows 更新 (高置信度设备自动汇报)

当足够的遥测数据确认在类似硬件配置上成功部署时，Microsoft通过 Windows 每月更新自动更新设备。

地位： 默认为高置信度设备启用

无需执行任何作，除非你想要选择退出

注册表	HKEY_LOCAL_MACHINE：\SYSTEM\CurrentControlSet\Control\SecureBoot
键	HighConfidenceOptOut = 1 以选择退出
组策略	汇报计算机配置 > 管理模板 > Windows 组件 > 安全启动 > 自动证书部署，> 设置为“已禁用”以选择退出。

建议： 即使启用了自动更新，也可以监视会话主机以验证是否已应用证书。并非所有设备都有资格进行高置信度自动部署。

有关详细信息，请参阅自动部署助手。

选项 2：IT-Initiated 部署

手动触发证书更新以立即或受控推出。

方法	文档
Microsoft Intune	Microsoft Intune 方法
组策略	组策略对象 (GPO) 方法
注册表项	注册表项方法
WinCS CLI	WinCS API

注意:

请勿在同一设备上混合使用 IT 发起的部署方法 (例如，Intune和 GPO) ，它们控制着相同的注册表项，并且可能会发生冲突。
请等待大约 48 小时并重启一个或多个证书才能完全应用。

黄金映像注意事项

对于使用启用了安全启动的 Azure Compute Gallery 映像的Azure虚拟桌面环境，请在捕获黄金映像之前将安全启动 2023 证书更新应用到该映像。使用上述方法之一应用更新，然后在通用化之前验证证书是否已更新：

Get-ItemProperty "HKEY_LOCAL_MACHINE:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing" | Select-Object UEFICA2023Status

未启用受信任启动的映像无法通过映像接收安全启动证书更新。这包括不支持受信任启动的托管映像，以及未启用受信任启动的Azure计算库映像。对于从这些映像预配的设备，请使用上述方法之一在来宾 OS 中应用更新。

已知问题

服务注册表项不存在

症状	HKEY_LOCAL_MACHINE：\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing 路径不存在
原因	尚未在设备上启动证书更新
解决方案	通过Windows 更新等待自动部署，或使用上述 IT 发起的部署方法之一手动启动

状态显示长时间的“InProgress”

症状	UEFICA2023Status 在几天后保持“InProgress”
原因	设备可能需要重启才能完成更新过程
解决方案	重启会话主机，并在 15 分钟后再次检查状态。如果问题仍然存在，请参阅安全启动 DB 和 DBX 变量更新事件以获取故障排除指南

UEFICA2023Error 注册表项存在

症状	存在 UEFICA2023Error 注册表项
原因	证书部署期间发生错误
解决方案	有关详细信息，请查看系统事件日志。有关故障排除指南，请参阅安全启动 DB 和 DBX 变量更新事件

资源

安全启动证书更新 Playbook

安全启动证书汇报：面向 IT 专业人员的指南