注意
- 原始發佈日期： 2026 年 2 月 19 日
- KB 識別碼： 5080914
注意
本文包含以下方面的指引：
管理雲端電腦的 Windows 365 系統管理員。
使用啟用安全開機的雲端電腦進行 Windows 365 部署的組織。
使用自訂映像進行 Windows 365 部署的組織。
本文內容：
簡介
安全開機是一項 UEFI 韌體安全性功能，可協助確保在裝置開機順序期間，只有受信任、數位簽章的軟體才會執行。 2011 年發行的 Microsoft 安全開機憑證將於 2026 年 6 月開始到期。 如果沒有更新的 2023 年憑證，裝置將不會再收到針對新發現的開機層級弱點的新安全開機和開機管理程式保護或緩和措施。
在 Windows 365 服務中佈建的所有啟用安全開機的雲端電腦，以及用來佈建這些雲端電腦的自訂映像，都必須在到期之前更新至 2023 憑證，才能保持受到保護。 請參閱 Windows 裝置上的安全開機憑證到期時機。
這適用於我的 Windows 365 環境嗎？
| 案例 | 安全開機使用中？ | 需要採取動作 |
|---|---|---|
| 雲端電腦 | ||
| 啟用安全開機的雲端電腦 | 是 | 在雲端電腦上更新憑證 |
| 已停用安全開機的雲端電腦 | 否 | 不需要採取任何動作 |
| 圖像 | ||
| 已啟用安全開機的 Azure Compute Gallery 映像 | 是 | 在一般化之前更新來源映像中的憑證 |
| 沒有信任啟動的 Azure 計算庫映像 | 否 | 佈建後在雲端電腦中套用更新 |
| 受管理的映像 (不支援受信任的啟動) | 否 | 佈建後在雲端電腦中套用更新 |
如需完整的背景資訊，請參閱 安全開機憑證更新： 適用於 IT 專業人員和組織的指導方針。
庫存與監視
在採取行動之前，請清查您的環境以識別需要更新的裝置。 即使您依賴自動部署方法，監控對於確認憑證在 2026 年 6 月期限之前套用至關重要。 以下是判斷是否需要採取動作的選項。
選項 1：Microsoft Intune 補救
針對已註冊 Microsoft Intune 的雲端電腦，您可以使用 Intune 補救 (主動補救) 部署偵測指令碼，以在整個叢集中自動收集安全開機憑證狀態。 指令碼會在每個裝置上以無訊息方式執行，並將安全開機狀態、憑證更新進度和裝置詳細資料回報回 Intune 入口網站，不會對裝置進行任何變更。 您可以直接從 Intune 系統管理中心查看結果並匯出至 CSV，以進行全機群分析。
如需部署偵測指令碼的逐步指示，請參閱使用 Microsoft Intune 補救來監視安全開機憑證狀態。
選項 2：Windows 自動修補安全開機狀態報告
針對使用 Windows 自動修補註冊的雲端電腦，請移至 Intune 系統管理中心>報告>Windows 自動修補>Windows 品質更新>[報告] 索引標籤>安全開機狀態。 請參閱 Windows 自動修補中的安全開機狀態報告。
注意：若要搭配 Windows 365 使用 Windows 自動修補，雲端電腦必須向 Windows 自動修補服務註冊。 請參閱 Windows 365 企業版工作負載上的 Windows 自動修補。
選項 3：用於機群監控的登錄機碼
使用現有的裝置管理工具在叢集中查詢這些登錄值。
| 登錄路徑 | 按鍵 | 用途 |
|---|---|---|
| HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet \Control\SecureBoot\Servicing |
UEFICA2023Status | 目前部署狀態 |
| HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet \Control\SecureBoot\Servicing |
UEFICA2023Error | 指出不應存在 (錯誤) |
| HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet \Control\SecureBoot\Servicing |
UEFICA2023ErrorEvent | 指出事件識別碼 (不應該存在) |
| HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet \Control\SecureBoot |
AvailableUpdates | 擱置中的更新位元 |
如需完整的登錄機碼詳細資料，請參閱 安全開機的登錄機碼更新。
選項 4：事件記錄監視
使用現有的裝置管理工具，從整個叢集的系統事件日誌中收集和監控這些事件 ID。
| 事件識別碼 | 位置 | 意義 |
|---|---|---|
| 1808 | 系統 | 已成功套用憑證 |
| 1801 | 系統 | 更新狀態或錯誤詳細資料 |
如需事件詳細資料的完整清單，請參閱 安全開機 DB 和 DBX 變數更新事件。
選項 5：PowerShell 清查指令碼
執行 Microsoft 的安全 開機清查資料收集指令碼範例 ，以檢查安全開機憑證更新狀態。 該指令碼會收集數個資料點，包括安全開機狀態、UEFI CA 2023 更新狀態、韌體版本和事件記錄活動。
部署
重要
無論您選擇哪種部署選項，我們建議您監控您的裝置群，以確保憑證在 2026 年 6 月期限之前成功套用。 如需自訂影像，請參閱自訂影像考量。
選項 1：從Windows Update (高信賴度裝置自動匯報)
當有足夠的遙測確認已成功部署在類似的硬體設定上時，Microsoft 會透過 Windows 每月更新自動更新裝置。
- 狀態：針對高信賴度裝置預設為啟用
- 除非您想要退出，否則不需要採取任何動作
| 登錄 | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot |
|---|---|
| 按鍵 | HighConfidenceOptOut = 1 可退出 |
| 群組原則 | 電腦設定>系統管理範本>Windows 元件>安全開機>透過匯報>自動部署憑證設定為 [停用] 以退出 |
注意
建議： 即使已啟用自動更新，也請監視您的雲端電腦以確認是否套用憑證。 並非所有裝置都符合高信賴度自動部署的資格。
如需詳細資訊，請參閱 自動化部署協助。
選項 2：IT-Initiated 部署
手動觸發憑證更新以進行立即或受控推出。
| 方法 | 文件 |
|---|---|
| Microsoft Intune | Microsoft Intune 方法 |
| 群組原則 | GPO 方法 |
| 登錄機碼 | 登錄機碼方法 |
| WinCS CLI | WinCS API |
注意
- 請勿在同一台裝置上混合使用 IT 啟動的部署方法 (例如 Intune 和 GPO) ，因為它們會控制相同的登錄機碼，且可能會衝突。
- 請靜候約 48 小時，並重新啟動一次或多次，讓憑證完全套用。
自訂影像考量
自訂影像完全由您的組織管理。 您需要負責將安全開機憑證更新套用至自訂映像，並在用於佈建之前重新上傳。
只有支援受信任啟動和安全開機的 Azure Compute Gallery 映像 (預覽) 才支援將安全開機憑證更新套用至來源映像。 受管理的映像不支援安全開機，因此無法在映像層級套用憑證更新。 對於從受管理映像佈建的雲端電腦，請使用上述其中一種部署方法直接在雲端電腦上套用更新。
一般化新的自訂映像之前，請先確認憑證已更新：
注意
Get-ItemProperty "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing" | Select-Object UEFICA2023Status
已知問題
服務登錄機碼不存在
| 徵兆 | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing 路徑不存在 |
|---|---|
| 原因 | 尚未在裝置上啟動憑證更新 |
| 解決方法 | 等候透過 Windows Update 自動部署，或使用上述其中一個 IT 啟動的部署方法手動初始化 |
狀態長時間顯示為「進行中」
| 徵兆 | UEFICA2023Status 在數天之後仍為「進行中」 |
|---|---|
| 原因 | 裝置可能需要重新開機才能完成更新程序 |
| 解決方法 | 重新啟動雲端電腦，並在 15 分鐘後再次檢查狀態。 如果問題持續發生，請參閱安全 開機 DB 和 DBX 變數更新事件 以取得疑難排解指導方針 |
UEFICA2023Error 登錄機碼存在
| 徵兆 | UEFICA2023Error 登錄機碼存在 |
|---|---|
| 原因 | 憑證部署期間發生錯誤 |
| 解決方法 | 如需詳細資料，請檢查系統事件記錄檔。 如需疑難排解指導方針，請參閱安全開機 DB 和 DBX 變數更新事件 |