注意
- 原始發佈日期： 2026 年 3 月 10 日
- KB 識別碼： 5084490
本文包含的指導方針適用於
- IT 專業人員和 Intune 系統管理員負責管理 Windows 裝置、透過設定目錄原則部署安全開機憑證更新控制，並監督更新工作流程。
- 需要使用指派篩選器將部署目標定為特定硬體型號的團隊。
本文內容：
- 簡介
- 必要條件
- 步驟 1 - 在 [Intune (設定] 目錄中設定安全開機憑證更新設定)
- 步驟 2 - 建立以模型為基礎的目標設定的指派篩選條件
- 步驟 3 - 使用指派篩選指派原則
- 常見問題集
- 資源
簡介
本指南可協助 IT 系統管理員使用 Microsoft Intune 設定目錄原則啟用安全開機憑證更新程序。 它概述如何設定啟用憑證更新程序的安全開機設定，以及如何部署該設定。 它還強調如何使用 以模型為基礎的分配篩選 ，以支援在已經驗證可以成功處理更新的硬體上進行受控的分段推出。
必要條件
安全開機憑證更新資格取決於 安全開機原則 CSP 和裝置韌體。 此範圍不一定與 Windows 服務 (一致，亦即更新) 時間表或Intune註冊需求。
Intune 和原則必要條件
- 使用有權建立篩選器和建立/指派設定目錄原則的帳戶登入。
- 裝置必須已註冊 Intune (指派篩選僅適用於受管理的裝置) 。
安全開機資格必要條件
- 支援的 Windows 版本清單可在 Microsoft Intune 安全開機方法中找到，適用於具有 IT 管理更新的 Windows 裝置。
- 裝置必須啟用安全開機，且應該使用最新的服務更新。
步驟 1 - 在 [Intune (設定] 目錄中設定安全開機憑證更新設定)
在此步驟中，您會在 Microsoft Intune 中建立 Windows 設定目錄裝置組態設定檔。 您也可以設定安全開機設定，以啟用安全開機憑證更新程序。
您將建立的內容
啟用啟用安全開機憑證匯報的 Windows 設定目錄裝置組態設定檔：
建立設定目錄設定檔
移至 [裝置>] [管理裝置>設定]。
選取 [建立>新原則]。
在 建立設定檔中：
平台： Windows 10 及更新版本
設定檔類型： 設定目錄
選取 [建立]。
為設定檔命名 (例如， 安全開機憑證更新) 、新增選用描述，然後選取 [下一步]。
在 [組態設定] 上，選取 [新增設定]。
在設定選擇器中，搜尋 [ 安全開機] ，然後在 [ 依類別瀏覽] 底下選取它。
將 [安全開機] 類別中顯示的三個設定中的 [啟用安全開機憑證匯報] 設定新增至設定檔。
注意
如果您的部署案例需要，您可以以相同的方式設定此類別中的其他安全開機設定。
將設定值設定為 [已啟用]。
選取 [下一步 ] 以繼續作業。 (您將在步驟 3) 中套用篩選。
步驟 2 - 建立以模型為基礎的目標設定的指派篩選條件
接下來，您會建立以特定裝置型號為目標的 Intune 指派篩選器。 以模型為基礎的目標設定可讓您將安全開機憑證更新的範圍限定為選取的硬體型號。 此受控和分段部署不需要額外的 Microsoft Entra ID 群組。
為什麼建議將模型型目標設定用於安全開機憑證部署
- 韌體可變性 - OEM 以不同方式實作安全開機，因此模型層級範圍可減少非預期的行為。
- 先前驗證 - 您可以在廣泛推出之前，在已知良好的硬體裝置上驗證憑證更新。
您將建立的內容
以 (為目標或排除) 特定裝置型號的受管理裝置指派篩選器。
建立指派篩選
移至 [租用戶管理>] [工作分派篩選器>] [建立]。
選取 受管理的裝置。
在 [基本] 中，設定：
- 篩選名稱 ( 描述性) 。
- 描述 (選用，但建議) 。
- 平台：Windows 10 及更新版本。
選取 [下一步]。
在 [規則] 中，選擇一種方法：
- 建議大多數系統管理員使用規則建立器 ()
- 手動運算式編輯 (規則語法)
(規則建立器) 建立以模型為基礎的規則
- 在 [規則產生器] 中，選取 模型 屬性。
- 選擇運算子。
- 輸入要比對 () 的模型字串。
- 選取 [新增運算式 ] 以將它新增至規則。
- 如有需要，請使用 And/Or 將規則延伸至其他模型，或根據其他可能的可篩選性質新增其他準則。
秘訣
使用 預覽裝置 來驗證篩選是否符合預期的集合。 預覽清單支援依裝置名稱、作業系統版本、裝置型號和裝置製造商進行搜尋。
預覽及建立篩選
- 選取 [預覽裝置 ] 以確認哪些已註冊的裝置相符。
- 選取 [下一步]。
- (選擇性) 如果您使用 範圍標籤 ，請予以指派。
- 選取 [下一步]。
- 在 [檢閱 + 建立] 中，選取 [建立]。
步驟 3 - 使用指派篩選指派原則
最後，您可以將 [設定] 目錄設定檔指派給裝置或使用者群組，並套用指派篩選。 這會決定在原則評估期間，哪些已註冊的裝置會接收並處理安全開機憑證更新設定。
你會做什麼
您會將步驟 1 中的 [安全開機設定] 目錄設定檔指派給群組，然後在 [包含 ] 或 [ 排除 ] 模式中套用步驟 2 的篩選。
套用指派篩選
在 Microsoft Intune 系統管理中心，瀏覽至 [裝置>] [管理裝置>] [設定]。
選取您在上述步驟 1 中建立的 [設定] 目錄設定檔。
開啟 [內容>] [作業>編輯]。
將設定檔指派給適當的 使用者群組 或 裝置群組。
秘訣
如果您沒有任何其他限制目標設定的準則，請將此原則指派給 [所有裝置 ] 虛擬群組。 使用步驟 2 中的裝置型號指派篩選器來設定指派範圍。 此組合足以滿足大多數部署。 [ 所有裝置 ] 虛擬群組內建，無需群組維護，且已針對規模最佳化。 然後，指派篩選會根據裝置屬性在裝置簽入時縮小適用範圍，而不需要額外的 Microsoft Entra 群組。
選取 [編輯篩選]。
選擇下列其中一項：
- 在指派中包含篩選的裝置： 只有符合篩選的裝置才會收到原則。
- 在指派中排除篩選的裝置： 符合篩選的裝置不會收到原則。
從步驟 2 中選取您現有的作業篩選，然後選擇 [選取]。
選取 [檢閱 + 儲存>] 儲存。
了解裝置行為
- Intune 會在裝置註冊時、每次簽入時，以及每次重新評估指派的原則時評估篩選。
- 啟用 [安全開機] 設定無法保證立即套用憑證。 針對觸發更新程序的安全開機設定，Windows 安全開機工作每 12 小時執行一次。 某些更新可能需要重新啟動。
常見問題集
裝置處理 [啟用安全開機憑證匯報] 設定的頻率為何？
處理設定的 Windows 安全開機工作每 12 小時執行一次。
我應該預期重新啟動嗎？
透過 Intune 起始更新不會導致重新啟動，但可能需要重新開機才能完成更新。
套用新憑證後，我可以復原或移除憑證嗎？
憑證套用至韌體之後，Windows 無法移除憑證。 清除憑證必須透過韌體介面完成。
為什麼要在 2026 年 6 月之前執行此動作？
較舊的憑證將於 2026 年 6 月開始到期。 尚未收到較新 2023 年憑證的裝置將失去接收新的早期開機安全性保護的能力， (例如，安全開機資料庫和撤銷更新) 。
資源
- 設定定義和允許的值： SecureBoot 原則 CSP
- 設定目錄流程和設定行為： 適用於具有 IT 管理更新的 Windows 裝置安全開機的 Microsoft Intune 方法
- 背景和時間表： Windows 安全開機憑證到期和 CA 更新
- 建立、預覽及套用篩選： 在 Microsoft Intune 中建立作業篩選
- 支援的屬性、運算子和語法： 指派篩選屬性和運算子參考
- 整體推出規劃和 Intune 已指出為建議選項： 適用於 2026 年到期憑證的安全開機劇本
- 僅限監視方法與Intune報告) ： 使用 Microsoft Intune 補救來監視安全開機憑證狀態