Activez le déploiement du certificat de démarrage sécurisé
Vérifié avec Windows 11 25H2 — mis à jour le 10 juillet 2026
Pris en charge sur : Au minimum Windows Server 2012, Windows 8 ou Windows RT
Chemin dans la console GPO
Configuration ordinateur\Modèles d'administration\Composants Windows\Démarrage sécurisé Description
Ce paramètre de stratégie vous permet d’activer ou de désactiver le processus de déploiement des certificats de démarrage sécurisé sur les appareils. Lorsqu’il est activé, Windows lance automatiquement le processus de déploiement des certificats sur les appareils auxquels cette stratégie a été appliquée. Remarque : ce paramètre de registre n’est pas stocké dans une clé de stratégie, et est considéré comme une préférence. Par conséquent, si l’objet de stratégie de groupe qui implémente ce paramètre est supprimé, ce paramètre de Registre restera. Remarque : la tâche Windows qui exécute et traite ce paramètre s’exécute à toutes les 12 heures. Dans certains cas, les mises à jour sont retenues jusqu’au redémarrage du système afin d’assurer un séquençage sécurisé des mises à jour. Remarque : une fois que les certificats sont appliqués au microprogramme, vous ne pouvez pas les annuler depuis Windows. Si un effacement des certificats est nécessaire, il doit être effectué depuis l’interface du menu du microprogramme. Pour plus d’informations, consultez https://aka.ms/GetSecureBoot
Registre
SYSTEM\CurrentControlSet\Control\SecureBoot Nom de valeur : AvailableUpdatesPolicy
Activé : AvailableUpdatesPolicy = 22852
Désactivé : AvailableUpdatesPolicy = 0
Générateur d'exports
BETAConfigurez l'état, la portée et les options, puis générez les sorties .reg, PowerShell, Intune et SCCM — ou ajoutez le paramètre à une collection multi-paramètres.
Ces exports écrivent le registre — ce n'est pas une GPO managée. ⓘ
Fichier .reg
Windows Registry Editor Version 5.00
; Exported from gporais.com
; Policy: Activez le déploiement du certificat de démarrage sécurisé
; State: Enabled
; Supported on: Au minimum Windows Server 2012, Windows 8 ou Windows RT
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot]
"AvailableUpdatesPolicy"=dword:00005944Autres formats (PowerShell, Intune, SCCM)
PowerShell
# Exported from gporais.com
# Policy: Activez le déploiement du certificat de démarrage sécurisé
# State: Enabled
# Supported on: Au minimum Windows Server 2012, Windows 8 ou Windows RT
$path = 'HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'AvailableUpdatesPolicy' -Value 22852 -Type DWordIntune XML
Aucune correspondance directe Policy CSP / OMA-URI pour cette stratégie. Utilisez l'onglet Intune Remediation, ou importez l'ADMX dans Intune.Intune Remediation
# === Detection script ===
# Exported from gporais.com
# Policy: Activez le déploiement du certificat de démarrage sécurisé
# State: Enabled
# Supported on: Au minimum Windows Server 2012, Windows 8 ou Windows RT
function Test-RegistryValue {
param(
[Parameter(Mandatory = $true)][string]$Path,
[Parameter(Mandatory = $true)][string]$Name,
[object]$Expected,
[ValidateSet('String', 'DWord', 'MultiString')][string]$Kind = 'String',
[switch]$Absent
)
try {
$item = Get-ItemProperty -LiteralPath $Path -Name $Name -ErrorAction Stop
} catch {
return $Absent.IsPresent
}
if ($Absent.IsPresent) { return $false }
$actual = $item.$Name
if ($Kind -eq 'DWord') { return ([int64]$actual) -eq ([int64]$Expected) }
if ($Kind -eq 'MultiString') {
$actualValues = @($actual)
$expectedValues = @($Expected)
if ($actualValues.Count -ne $expectedValues.Count) { return $false }
for ($i = 0; $i -lt $expectedValues.Count; $i++) {
if ([string]$actualValues[$i] -ne [string]$expectedValues[$i]) { return $false }
}
return $true
}
return [string]$actual -eq [string]$Expected
}
$checks = @(
(Test-RegistryValue -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot' -Name 'AvailableUpdatesPolicy' -Expected 22852 -Kind DWord)
)
if ($checks -notcontains $false) {
Write-Output 'Compliant'
exit 0
}
Write-Output 'Non-compliant'
exit 1
# === Remediation script ===
# Exported from gporais.com
# Policy: Activez le déploiement du certificat de démarrage sécurisé
# State: Enabled
# Supported on: Au minimum Windows Server 2012, Windows 8 ou Windows RT
$path = 'HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'AvailableUpdatesPolicy' -Value 22852 -Type DWordScripts SCCM
# Exported from gporais.com
# Policy: Activez le déploiement du certificat de démarrage sécurisé
# State: Enabled
# Supported on: Au minimum Windows Server 2012, Windows 8 ou Windows RT
# SCCM Configuration Item guidance:
# Create a Configuration Item of type "Setting: Script".
# Discovery script: use the Detection script below.
# Remediation script: use the Remediation script below.
# Compliance rule: the Discovery script output equals 'Compliant'.
# === Detection script ===
# Exported from gporais.com
# Policy: Activez le déploiement du certificat de démarrage sécurisé
# State: Enabled
# Supported on: Au minimum Windows Server 2012, Windows 8 ou Windows RT
function Test-RegistryValue {
param(
[Parameter(Mandatory = $true)][string]$Path,
[Parameter(Mandatory = $true)][string]$Name,
[object]$Expected,
[ValidateSet('String', 'DWord', 'MultiString')][string]$Kind = 'String',
[switch]$Absent
)
try {
$item = Get-ItemProperty -LiteralPath $Path -Name $Name -ErrorAction Stop
} catch {
return $Absent.IsPresent
}
if ($Absent.IsPresent) { return $false }
$actual = $item.$Name
if ($Kind -eq 'DWord') { return ([int64]$actual) -eq ([int64]$Expected) }
if ($Kind -eq 'MultiString') {
$actualValues = @($actual)
$expectedValues = @($Expected)
if ($actualValues.Count -ne $expectedValues.Count) { return $false }
for ($i = 0; $i -lt $expectedValues.Count; $i++) {
if ([string]$actualValues[$i] -ne [string]$expectedValues[$i]) { return $false }
}
return $true
}
return [string]$actual -eq [string]$Expected
}
$checks = @(
(Test-RegistryValue -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot' -Name 'AvailableUpdatesPolicy' -Expected 22852 -Kind DWord)
)
if ($checks -notcontains $false) {
Write-Output 'Compliant'
exit 0
}
Write-Output 'Non-compliant'
exit 1
# === Remediation script ===
# Exported from gporais.com
# Policy: Activez le déploiement du certificat de démarrage sécurisé
# State: Enabled
# Supported on: Au minimum Windows Server 2012, Windows 8 ou Windows RT
$path = 'HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot'
New-Item -Path $path -Force | Out-Null
Set-ItemProperty -Path $path -Name 'AvailableUpdatesPolicy' -Value 22852 -Type DWordVous construisez une collection multi-paramètres ? Ajoutez ce paramètre et générez des exports combinés (.reg, PowerShell, GPO).