Toms Wochentipp: zentrale Steuerung von Secure-Boot-Zertifikatupdates Microsoft Intune und sicherer Start unter Windows

Anbieter zum Thema

netfiles GmbH

Microsoft Intune integriert die Verwaltung von Secure-Boot-Zertifikatupdates in zentral gesteuerte Windows-Umgebungen. IT-Abteilungen steuern damit die Aktivierung, Verteilung und Kontrolle sicherheitsrelevanter Firmware-Updates für Windows 10 und Windows 11 über definierte Richtlinien und Updatepfade.

Microsoft Intune steuert unter Windows 10 und Windows 11 die Bereitstellung von Zertifikatupdates für den sicheren Start in IT-verwalteten Umgebungen.

Der sichere Start basiert auf UEFI-Mechanismen und prüft beim Systemstart kryptografische Vertrauensanker in Firmware und Bootkette. Aktualisierte Zertifikate und DBX-Einträge reagieren auf neue Bedrohungslagen und kompromittierte Signaturen. Intune integriert diese Pflege in die bestehende Endpoint-Verwaltung und verbindet Richtliniensteuerung mit Windows-Update-Mechanismen.

Konfigurationsmethode in Microsoft Intune

Intune stellt eine dedizierte Einstellungskategorie für den sicheren Start bereit. Domänen- und Geräteadministration definiert darüber, ob und in welcher Form Windows den Zertifikatbereitstellungsprozess initiiert. Die Konfiguration erfolgt über ein Profil im Einstellungskatalog für Windows 10 und höher. Nach Auswahl der Plattform und des Profiltyps ordnet die Richtlinie die Secure-Boot-Optionen den vorgesehenen Geräteobjekten zu und aktiviert die Verarbeitung auf Clientebene.

Die Kategorie „Sicherer Start“ umfasst drei zentrale Richtlinien, die inhaltlich den bekannten Registrierungs- und GPO-Varianten entsprechen. Secureboot Certificate Updates bleiben standardmäßig aktiv, zusätzliche Opt-In- und Opt-Out-Optionen passen das Verhalten an betriebliche Anforderungen an.

Konfigurieren der von Microsoft Update verwalteten Anmeldung

Die Richtlinie „Konfigurieren der verwalteten Anmeldung für Microsoft Update“ steuert die Teilnahme an einem kontrollierten Rollout der von Microsoft verwalteten Secure-Boot-Zertifikatupdates. Bei aktivierter Richtlinie unterstützt Microsoft die Zertifikatverteilung auf registrierten Geräten. Der deaktivierte Zustand schließt das Gerät vom Rollout aus.

Voraussetzung bildet die Übermittlung der erforderlichen Diagnosedaten an Microsoft. Die technische Abbildung erfolgt über den Registrierungsschlüssel „MicrosoftUpdateManagedOptIn“.

Konfigurieren von Opt-Out mit hoher Zuverlässigkeit

Die Richtlinie „Konfigurieren von Opt-Out mit hoher Zuverlässigkeit“ regelt die automatische Anwendung von Secure-Boot-Zertifikatupdates über monatliche kumulative Updates. Microsoft klassifiziert Geräte anhand verfügbarer Diagnosedaten und gezielter Tests nach ihrer Eignung für diese Updatepfade.

Ein aktivierter Opt-Out blockiert die automatische Verteilung über monatliche Updates. Der deaktivierte Zustand erlaubt die automatische Integration geprüfter Zertifikatupdates in reguläre Updatezyklen. Die Richtlinie bildet den Registrierungsschlüssel HighConfidenceOptOut ab.

Aktivieren von Secureboot Certificate Updates

Die Richtlinie „Secureboot Certificate Updates aktivieren“ entscheidet, ob Windows den Bereitstellungsprozess für Secure-Boot-Zertifikate startet. Bei Aktivierung initiiert das Betriebssystem die Aktualisierung eigenständig. Im deaktivierten Zustand unterbleibt jede automatische Bereitstellung.

Die zugehörige geplante Aufgabe läuft im Intervall von zwölf Stunden. Einzelne Aktualisierungen erfordern einen Neustart. Nach Übernahme in die Firmware lassen sich Zertifikate nicht über Windows entfernen. Eine Rücknahme erfolgt ausschließlich über Firmware-Funktionen. Die Einstellung entspricht dem Registrierungsschlüssel AvailableUpdates.

(ID:50663371)