2026年6月起，2011年签发的microsoft安全启动证书正式到期，将导致设备无法接收启动保护更新、bitlocker强化失效及驱动签名验证失败；ssl/tls证书有效期已缩至47天，需全面启用自动化生命周期管理。
企业终端安全证书自动过期，不是小问题，而是影响启动安全、系统信任链和关键功能（如bitlocker、驱动签名验证）的底层风险。2026年6月起，首批2011年签发的microsoft安全启动证书已正式到期，而ssl/tls证书有效期也持续缩短至47天——这意味着人工盯梢、手动更新既不可靠，也跟不上节奏。
识别哪些证书正在“倒计时”
终端上存在多类安全证书，需分类管理：
- 安全启动（Secure Boot）证书：嵌入UEFI固件中，控制Windows启动加载器、驱动、选项ROM是否被信任；过期后无法接收新的吊销列表或启动保护更新。
- SSL/TLS证书：用于HTTPS网站、内部API、设备管理平台（如Intune门户、MDM控制台）；过期直接触发浏览器拦截，导致管理员无法登录或策略下发失败。
- 代码签名证书：用于签名驱动、安装包、脚本；过期后新版本驱动无法加载，PowerShell脚本执行被阻止（尤其在启用Constrained Language Mode时）。
- 设备身份证书（如TPM绑定证书）：常见于零信任接入、条件访问策略中；过期可能导致设备被判定为“不合规”，自动断开企业网络或应用访问。
优先启用自动化证书生命周期管理
人工续期在现代终端环境中已失效。建议按层级落地自动化：
- 对Windows终端，启用Intune证书配置文件，结合ACME客户端（如Certify The Web或Win-ACME），实现TLS证书自动申请、部署与轮换。
- 对安全启动证书，确保设备固件支持UEFI Capsule Update机制，并通过OEM渠道（如Dell Command | Update、Lenovo System Update）订阅固件推送；微软已将2023年新证书打包进Windows Update固件更新包，但仅限支持期内机型。
- 所有代码签名证书应迁移到支持自动密钥轮转的云HSM服务（如Azure Key Vault + SignTool集成），避免本地私钥长期驻留终端。
建立终端证书健康度实时看板
不能等报错才响应。应在终端管理平台中部署主动探测能力：
- 用PowerShell定期读取
Get-ChildItem Cert:\LocalMachine\My和Cert:\LocalMachine\TrustedPlatformModule，筛选NotAfter距当前时间＜30天的证书，上报至SIEM或Intune报表。 - 对安全启动状态，运行
Confirm-SecureBootUEFI并检查SignatureSupport与PlatformKey有效性，异常时触发固件更新工单。 - 在终端登录脚本中嵌入时间校准逻辑（
w32tm /resync /force），防止因系统时间漂移误判证书过期（常见于虚拟机、休眠唤醒后）。
明确责任边界与应急兜底方案
证书管理不是IT运维单方面的事：
- OEM厂商负责提供兼容新证书的固件更新，企业需定期核查设备支持周期（如Windows 11硬件要求文档中的Secure Boot证书兼容性说明）。
- 安全团队需定义证书策略：例如强制使用SHA-256以上签名算法、禁用RSA-1024、限制证书最长有效期（如TLS证书≤47天、代码签名≤1年）。
- 保留最小化手动干预路径：当自动化失败时，能快速通过
certmgr.msc导入临时信任根证书，或使用bcdedit /set {default} testsigning on（仅限测试环境）绕过驱动签名检查，但必须同步启动根本原因分析。
