Интеграция обновлений сертификатов безопасной загрузки в Windows с Microsoft Intune

Централизованное управление обновлениями сертификатов безопасной загрузки
Microsoft Intune и безопасная загрузка в Windows

Провайдеры по теме

Microsoft Intune интегрирует управление обновлениями сертификатов безопасной загрузки в основные среды Windows. ИТ-команды контролируют активацию, распространение и контроль обновлений встроенного ПО, связанных с безопасностью, для Windows 10 и 11 с помощью определенных политик и путей обновления.

Майкрософт Недостаточный контроль Intune Окна 10 и Windows 11 для предоставления обновлений сертификатов для безопасной загрузки в средах, управляемых ИТ-специалистами.

Безопасная загрузка основана на механизмах UEFI и проверяет криптографические якоря доверия во время запуска системы. Прошивка и лодочная цепь. Обновленные сертификаты и записи DBX реагируют на новые угрозы и скомпрометированные сигнатуры. Intune интегрирует эту заботу в существующее управление конечными точками и сочетает контроль политик с Windows.Обновлять-Механизмы.

Метод настройки в Microsoft Intune

Intune предоставляет специальную категорию настроек безопасной загрузки. Администрирование домена и устройства определяет, инициирует ли Windows процесс предоставления сертификата и в какой форме. Настройка осуществляется через профиль в каталоге настроек для Windows 10 и выше. После выбора платформы и типа профиля политика сопоставляет параметры безопасной загрузки с предполагаемыми объектами устройств и включает обработку на уровне клиента.

В категорию «Безопасный старт» входят три центральные. Рекомендациикоторые по содержанию соответствуют известным вариантам регистрации и GPO. Обновления сертификатов Secureboot остаются активными по умолчанию. Уклоняться-Опции адаптируют поведение к эксплуатационным требованиям.

Настройка управляемого входа в Центр обновления Майкрософт

Политика «Настроить управляемую регистрацию для Центра обновления Microsoft» контролирует участие в контролируемом развертывании обновлений сертификатов безопасной загрузки, управляемых Microsoft. Если политика включена, Microsoft поддерживает распространение сертификатов на зарегистрированные устройства. Отключенное состояние исключает устройство из развертывания.

Обязательным условием является передача необходимых диагностических данных в Microsoft. Техническое сопоставление выполняется с помощью регистрационного ключа «MicrosoftUpdateManagedOptIn».

Настройте отказ с высокой надежностью

Политика отказа от настройки высокой надежности управляет автоматическим применением обновлений сертификатов безопасной загрузки посредством ежемесячных накопительных обновлений. Microsoft классифицирует устройства в соответствии с их пригодностью для этих путей обновления на основе доступных диагностических данных и целевого тестирования.

Активированный отказ блокирует автоматическое распространение ежемесячных обновлений. Деактивированное состояние позволяет автоматически интегрировать проверенные обновления сертификатов в регулярные циклы обновлений. Политика сопоставляется с разделом реестра HighConfidenceOptOut.

Включение обновлений сертификатов Secureboot

Политика «Включить обновления сертификатов безопасной загрузки» определяет, запускает ли Windows процесс предоставления сертификата безопасной загрузки. При активации это инициирует Операционная система обновление самостоятельно. При деактивации автоматическое развертывание не происходит.

Соответствующее запланированное задание выполняется с двенадцатичасовыми интервалами. Отдельные обновления требуют перезагрузки. После включения в прошивку сертификаты невозможно удалить через Windows. Возврат возможен только через функции прошивки. Этот параметр соответствует разделу реестра AvailableUpdates.

(ID:50684016)