如何更新 Windows Secure Boot 证书

关于 Secure Boot

Secure Boot 通过检查固件中存储的证书（DB/KEK/PK）签名来建立信任链。原文称，2011 年的 Microsoft UEFI CA 证书从 2026 年 6 月开始到期；未收到替换证书的系统可能进入安全降级状态并失去启动保护。该日期来自原文，不代表对当前部署状态的独立核实。

Microsoft 部署安排（原文所述）

原文介绍，Microsoft 通过 Windows Update 和平台兼容性检查分阶段推出 Windows UEFI CA 2023 证书系列，并在必要时使用 OEM 固件更新。文章称，大多数受支持的 Windows 11 设备应自动收到更新；部分旧设备可能需要 OEM 固件更新或管理员手动部署。

检查活动 DB 中是否有新 CA

以管理员身份运行 PowerShell：

([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023')

如果返回 True，则活动 DB 中存在新 CA。

设备清单

原文还提供 PowerShell 清单脚本，用于检查多台设备的 Secure Boot 状态及 Windows UEFI CA 2023 条目。Get-SecureBootUEFI 是读取 UEFI Secure Boot 变量的受支持 cmdlet；远程执行需要 WinRM 和管理员权限。先在少量设备上测试。

更新途径

• Windows Update：原文称替换证书通过 Windows Update 面向符合条件的设备分发。请保持 Windows Update 更新。
• OEM 固件：若 Windows Update 无法将新 DB/KEK 写入固件，请联系设备制造商获取包含新 CA 的 UEFI 更新。
• 企业部署：可使用 Group Policy、PowerShell 脚本或 Windows Configuration Service (WinCS) 向已加入域的设备推送 DB 更新。大规模部署前应先在实验环境测试。

GPO、WinCS 和 Intune 部署

1. 确认设备运行受支持的 Windows 版本并具备更新流程所需的遥测和诊断功能；对于阻止 DB 写入的设备，协调 OEM 固件更新。
2. 本地 Active Directory 环境可在 Computer Configuration → Administrative Templates → Windows Components → Secure Boot 下创建 GPO。
3. 启用 Enable Secure Boot certificate updates，分阶段部署：测试、试点、全面推广。
4. 也可使用 Windows Configuration Service (WinCS) 或 Microsoft 发布的 Intune Settings Catalog 配置文件，让设备加入更新并收集状态遥测。

测试、监控与回滚

• 在有代表性的硬件和虚拟机上测试；确认 Has2023CA，并在 Event Viewer 中检查 Secure Boot / TPM-WMI 日志。
• ESP 空间：EFI System Partition 空间不足可能导致更新失败；必要时联系 OEM。
• 回滚：记录固件和操作系统恢复流程。GPO 更改可以撤销，但某些平台上的固件 DB 写入可能无法撤销。

故障排除

部署期间请在 Event Viewer 中检查 Secure Boot 和 TPM-WMI 事件。如果设备无法接受新 CA，请检查固件 Secure Boot 设置，并联系 OEM 获取更新。