微软在本月 Patch Tuesday 发布的 Windows 11 累积更新 KB5089549 中，悄悄在系统根目录新增了一个 Secure Boot 专用文件夹，用于集中存放自动化部署脚本，方便企业 IT 管理员批量管理 Secure Boot 证书更新。
Secure Boot 文件夹结构
微软在 C:\Windows 目录下新建了 SecureBoot 文件夹，内含 “ExampleRolloutScripts” 子目录，整合了所有与 Secure Boot 更新相关的资源。该文件夹包含多个 PowerShell 脚本，覆盖检测、部署、监控等完整流程。
核心脚本功能一览
- Detect-SecureBootCertUpdateStatus.ps1：收集设备状态数据
- Aggregate-SecureBootData.ps1：生成报告与仪表盘
- Deploy-GPO-SecureBootCollection.ps1：自动化创建用于数据收集的 GPO
- Start-SecureBootRolloutOrchestrator.ps1：全自动持续编排，包含证书安装的自动化 GPO 部署
- Deploy-OrchestratorTask.ps1：将编排器部署为 Windows 计划任务
- Get-SecureBootRolloutStatus.ps1：从任意工作站查看 Secure Boot 证书推出状态
- Enable-SecureBootUpdateTask.ps1：启用 Secure Boot 更新任务
背景与意义
微软早在 2024 年初宣布更新 Secure Boot 密钥，原因是 Windows 8 时代的密钥将于 2026 年到期（满 15 年）。新的 2023 证书已随最新 Windows 11 更新推送。更新的引导管理器和 Secure Boot 证书对防范 bootkit 等恶意软件至关重要。此前微软曾解释，这也是导致部分系统安装更新后多次重启的原因。
个人用户识别方式
对于家庭用户，微软已在 Windows 安全中心应用内添加了标记，帮助用户识别设备是否已安装必要的更新证书。
via Neowin