总结
某些Windows设备仍使用 2011 年颁发的安全启动证书，该证书将于 2026 年 6 月到期。 了解如何更新到 2023 安全启动证书，以维护启动级别保护并确保设备安全。 如果未更新，设备可能仍会启动并继续接收常规Windows更新。 但是，对于早期启动组件，它们可能不会 收到未来的安全启动保护 。
影响
如果受影响的设备未更新：
- Windows可以继续启动和安装标准更新。
- 安全启动可能不再能够验证或保护早期启动组件的未来更新（例如，启动管理器或其他预操作系统组件）。
- 管理员可能会看到未应用证书修复的指示器。
识别受过时安全启动证书影响的设备
受影响设备的常见迹象
可能会看到以下一个或多个内容：
- 安全启动证书状态 指示设备 未更新
- 系统事件日志 包括：事件 ID 1801
- 事件 ID 1795 注册表值不显示预期状态：
- UEFICA2023Status 未 设置为 已更新
受影响设备的高风险情境
在 具有过时固件或证书更新未正确应用的环境中，客户可能会遇到以下情况：
- 安全启动验证错误
- BitLocker 恢复提示（包括重复提示/循环）
- 启动过程挂起
- 设备无法启动
解决安全启动证书问题
检查设备库存
- 识别仍在使用 2011 安全启动证书的设备
- 使用首选清单方法验证安全启动和证书更新状态（例如事件日志和注册表信号）
首先更新固件
- 检查和部署 OEM 固件更新，尤其是对于较旧的设备型号。
- 固件更新可以提高兼容性，并减少更新失败的可能性。
部署前试点更新
- 在代表性试点组中测试证书更新：多个 OEM
- 不同的固件版本
- 已启用 BitLocker 的设备确认：
- 证书更新成功的状态
- 无启动问题
- 没有意外的 BitLocker 恢复提示
使用支持的方法部署更新
使用受支持的部署选项之一：
- Microsoft Intune
- 注册表项
- Windows配置服务提供程序 /Windows配置系统
- 组策略
有关详细步骤，请参阅 证书在 2026 年到期的安全启动指南。