Як увімкнути Secure Boot у Windows 11 (перевірка, виправлення, підтвердження)

By Mirko Peters · 2026-11-12

Як увімкнути Secure Boot у Windows 11: перевірити поточний стан, відкрити параметри UEFI, перейти з режиму Legacy, перетворити MBR на GPT і перевірити результат в Intune.

Automatically translated with AI from the original post. Read the English original

Щоб увімкнути Secure Boot у Windows 11, перезавантажте систему в параметри прошивки UEFI (Параметри, Система, Відновлення, Розширені параметри запуску, Перезавантажити зараз, а потім Усунення несправностей, Додаткові параметри, Параметри прошивки UEFI), переконайтеся, що режим завантаження — UEFI, а не Legacy чи CSM, і ввімкніть Secure Boot на вкладці Boot або Security. Після цього підтвердьте стан у Windows. Ця стаття призначена для ІТ-адміністраторів, які мають ПК або парк пристроїв, де Secure Boot вимкнено або Windows 11 повідомляє, що ПК не може його запустити. Вона показує, як перевірити поточний стан, увімкнути параметр, перетворити диск із MBR на GPT, коли прошивка застрягла в режимі Legacy, і перевірити результат в Intune.

Головне

• Secure Boot — це параметр прошивки UEFI, тож увімкнути його потрібно в налаштуваннях прошивки, а не в Windows. Відкрийте їх через «Параметри», «Система», «Відновлення», «Розширені параметри запуску».
• Secure Boot потребує, щоб прошивка працювала в режимі UEFI. Якщо ПК працює в режимі Legacy або CSM, спочатку перемкніть його на UEFI. Назви меню залежать від виробника.
• Установку в режимі BIOS на диску MBR зазвичай потрібно перетворити на GPT за допомогою MBR2GPT, перш ніж прошивка зможе використовувати режим UEFI. Цю конвертацію не можна скасувати, тож спершу створіть резервну копію.
• Перевірте результат командлетом Confirm-SecureBootUEFI у PowerShell від імені адміністратора. Значення True означає, що Secure Boot увімкнено.
• В Intune параметр відповідності «Вимагати Secure Boot» залежить від атестації стану пристрою та TPM 2.0. Пристрій без TPM 2.0 отримає статус «не відповідає вимогам».

Що робить Secure Boot і навіщо його вимагає Windows 11

Microsoft описує Secure Boot як функцію безпеки, що допомагає запобігти завантаженню несанкціонованого програмного забезпечення під час запуску ПК. Коли функцію увімкнено, прошивка перед стартом перевіряє, чи підписаний завантажувач довіреним сертифікатом, а далі Windows продовжує ланцюг довіри. Детальніше — на Microsoft Learn у статті Secure the Windows boot process.

Для Windows 11 відповідні вимоги містяться в апаратних вимогах: системна прошивка має працювати в режимі UEFI і підтримувати Secure Boot, а ПК потрібен TPM 2.0. Слово «підтримка» часто викликає плутанину. ПК може підтримувати Secure Boot, але мати його вимкненим, або працювати в режимі Legacy, де ним узагалі не можна скористатися. На сторінці Microsoft про Secure Boot для Windows 11 зазначено, що для увімкнення потрібно перемкнути режим завантаження з Legacy (також званого режимом CSM) на UEFI, а якщо прошивка пропонує обидва варіанти, UEFI має бути першим або єдиним вибором.

Спочатку перевірте поточний стан

Перш ніж змінювати прошивку, з’ясуйте, що у вас є. Це займе хвилину і заощадить перезавантаження.

1. Відкрийте PowerShell від імені адміністратора.
2. Виконайте Confirm-SecureBootUEFI.

Документація Microsoft Learn описує результат так: True, якщо комп’ютер підтримує Secure Boot і цей режим увімкнено, False, якщо він підтримується, але вимкнений. Якщо комп’ютер не підтримує Secure Boot або працює в режимі BIOS (не UEFI), командлет повідомляє, що на цій платформі це не підтримується. Командлет потрібно запускати в консолі від імені адміністратора, інакше ви отримаєте повідомлення про відмову в доступі.

Також можна виконати msinfo32 і подивитися на розділ System Summary. Рядок BIOS Mode має показувати UEFI. У статті Microsoft про усунення несправностей Intune для перевірки BIOS Mode і PCR7 Configuration використовується той самий інструмент. У System Information також є рядок Secure Boot State, який може мати значення On, Off або Unsupported. Цей рядок не описано на сторінках Microsoft, які я використовував, тож спочатку довіртеся результату PowerShell.

Після змін у посібнику Microsoft з увімкнення є ще одна перевірка: відкрийте Settings, Security, Integrity protection і переконайтеся, що Secure Boot має значення On. Назва пункту може відрізнятися в різних збірках Windows.

Якщо Confirm-SecureBootUEFI повідомляє, що платформа не підтримується, ви опинилися в ситуації, про яку йдеться в більшості цієї статті: комп’ютер завантажується в legacy-режимі.

Увімкніть Secure Boot у налаштуваннях UEFI

Цей параметр зберігається в мікропрограмі, тому його потрібно відкрити. Наведені нижче кроки взято з посібника Microsoft з увімкнення Secure Boot.

1. Збережіть роботу. Відкрийте Settings, потім System, далі Recovery.
2. Поруч із Advanced startup натисніть Restart now.
3. На екрані Choose an option виберіть Troubleshoot, потім Advanced options.
4. Виберіть UEFI Firmware Settings, потім Restart.
5. У мікропрограмі знайдіть налаштування Secure Boot, яке зазвичай розташоване на вкладці Boot або Security. Якщо режим завантаження Legacy або CSM, спочатку переведіть його в UEFI.
6. Увімкніть Secure Boot, збережіть налаштування і вийдіть.

Меню та формулювання відрізняються залежно від виробника, і Microsoft не пропонує єдиного загального шляху. Її посібник містить посилання на інструкції виробників для Surface, Acer, ASRock, ASUS, BIOSTAR, Colorful, Dell або Alienware, GIGABYTE або AORUS, HP або OMEN, Lenovo та MSI. Якщо ви збирали комп’ютер самостійно, скористайтеся посібником виробника материнської плати. Для Surface кроки описано в документі Surface UEFI: виберіть Security, потім у розділі Secure Boot натисніть Change configuration, виберіть Microsoft only зі списку сертифікатів і натисніть OK, далі Exit і Restart now.

Застереження Microsoft стосується всіх виробників: неправильна зміна параметрів мікропрограми може вплинути на безпеку комп’ютера або перешкодити його нормальному запуску. Змінюйте лише ті параметри Secure Boot, які описує ваш виробник. Якщо після цього комп’ютер не запускається, поверніться в мікропрограму і скасуйте останню зміну.

Коли комп’ютер працює в legacy-режимі на диску MBR

Це найскладніший випадок. Мікропрограма може пропонувати режим UEFI, але Windows було встановлено в legacy-режимі на диску MBR, тому перемикання на UEFI призводить до того, що комп’ютер не завантажується. Виправлення полягає в перетворенні диска на GPT. Інструмент Microsoft MBR2GPT робить це без зміни або видалення даних на диску.

Спочатку перевірте стиль розділів. У PowerShell виконайте Get-Disk | ft -Auto і подивіться на стовпець Partition Style, де показано MBR або GPT. У Управлінні дисками (diskmgmt.msc) можна відкрити Properties диска і знайти Partition style на вкладці Volumes.

Далі пройдіть вимоги Microsoft. Пристрій має підтримувати UEFI, диск має бути системним, а на ньому має бути місце для структур GPT. Диск може мати не більше трьох основних розділів і жодних розширених або логічних. Якщо том зашифровано за допомогою BitLocker, спочатку призупиніть захист.

1. Створіть резервну копію комп’ютера. Власний вивід інструмента попереджає, що зміни неможливо скасувати.
2. Призупиніть BitLocker, якщо він увімкнений.
3. Перевірка: MBR2GPT /validate /allowFullOS (або /disk:0 із Windows PE).
4. Перетворення: MBR2GPT /convert /allowFullOS.
5. Перезавантажте систему в прошивку й переведіть режим завантаження в UEFI. Microsoft тут однозначна: після цього диск може завантажуватися лише в режимі GPT, а система не запуститься коректно, поки прошивку не переведено в UEFI.
6. Увімкніть Secure Boot, як описано вище, і відновіть BitLocker.

За замовчуванням інструмент працює з командного рядка Windows PE. Параметр /allowFullOS дозволяє запускати його в повноцінній операційній системі; у такому разі він створює новий системний розділ EFI, зменшуючи розділ ОС. Код повернення 0 означає успіх. Код 100 означає, що перетворення вдалося, але деякі записи BCD відновити не вдалося. Подробиці дивіться у файлах setupact.log і setuperr.log. На сторінці Microsoft зазначено, що підтримуються Windows 10 і Windows 11.

Перевірте також TPM 2.0

Windows 11 вимагає одночасно Secure Boot і TPM 2.0, а перевірка Secure Boot в засобах управління зазвичай залежить від TPM. Щоб перевірити, натисніть Windows key + R, введіть tpm.msc і перегляньте Specification Version у розділі TPM Manufacturer Information. Якщо ви бачите повідомлення «Compatible TPM cannot be found», TPM, ймовірно, вимкнено в прошивці.

На сторінці Microsoft про увімкнення TPM 2.0 сказано шукати підменю з назвою Advanced, Security або Trusted Computing. Параметр може називатися Security Device або Security Device Support, TPM State, AMD fTPM чи Intel PTT. TPM версії нижче 2.0 не можна виправити простим увімкненням, бо пристрій не відповідає вимогам Windows 11.

Для адміністраторів: перевірте Secure Boot в Intune та Autopilot

У Microsoft Intune параметр відповідності Windows Require Secure Boot to be enabled on the device має два варіанти: Not configured і Require. Microsoft описує його як вимогу, щоб пристрій завантажувався у довірений на заводі стан, а основні компоненти завантаження перевірялися прошивкою UEFI. Підступ є в статті з усунення несправностей: перевірка залежить від device health attestation, для якої потрібен TPM 2.0 або новіша версія. Пристрій без TPM 2.0 отримує статус Not Compliant, навіть якщо Secure Boot увімкнено, а сам TPM 2.0 вимагає прошивки UEFI.

Якщо пристрій із увімкненим Secure Boot має статус не відповідає вимогам, Microsoft пропонує такі перевірки:

1. Запустіть tpm.msc і перевірте версію специфікації.
2. Запустіть msinfo32 і переконайтеся, що BIOS Mode має значення UEFI, а PCR7 Configuration має значення Bound.
3. Запустіть Confirm-SecureBootUEFI в командному рядку від імені адміністратора і очікуйте результат True.
4. Запустіть manage-bde -protectors -get $env:systemdrive і переконайтеся, що диск захищено через PCR 7.

Якщо пристрій не проходить будь-який із цих кроків, статус Not Compliant є очікуваним, а виправлення потрібно шукати в обладнанні або прошивці, а не в політиці. Довідка Microsoft щодо відповідності Windows називає Device Health Attestation для пристроїв Windows 10, тож подробиці для Windows 11 перевірте в актуальній документації.

Для розгортань із Windows Autopilot перевірка прошивки є частиною підготовки обладнання. Режим самостійного розгортання (Self-deploying) вимагає TPM 2.0 і TPM device attestation, тому пристрої без них не можуть використовувати цей режим.

Сертифікати Secure Boot і дата червня 2026 року

Microsoft оновлює сертифікати Secure Boot, випущені вперше у 2011 році, і вони почнуть спливати в червні 2026 року. Microsoft стверджує, що в підтримуваних версіях Windows оновлення відбувається автоматично. Для вашого парку пристроїв це привід увімкнути Secure Boot і оновлювати Windows, а не втручатися в прошивку вручну. Microsoft посилається на окремі матеріали про оновлення, керované Microsoft, тож ознайомтеся з ними, перш ніж планувати будь-яку ручну роботу.

Типові помилки

• Шукаєте цей параметр у Windows. Це параметр прошивки, а Windows може лише показувати його стан.
• Перехід на UEFI у встановленні з MBR. ПК не завантажується, доки диск не буде конвертовано або Windows не буде перевстановлено в режимі UEFI.
• Конвертація диска з увімкненим захистом BitLocker. Спочатку призупиніть його.
• Пропуск резервного копіювання перед MBR2GPT. Конвертацію неможливо скасувати.
• Сприйняття результату Not Compliant в Intune як проблеми Secure Boot, коли причина в відсутньому TPM 2.0.
• Залишення Secure Boot вимкненим після усунення несправностей. Microsoft радить увімкнути його знову, щойно проблему буде вирішено.

Пов'язані теми для вивчення

• Як потрапити до прошивки, якщо Windows не запускається? Статтю про те, як відкрити BIOS у Windows 11, наведено нижче: там описано шлях відновлення.
• Що робити, якщо Secure Boot блокує мою флешку? Microsoft пише, що для запуску деяких носіїв його може знадобитися тимчасово вимкнути. Див. статтю про створення завантажувальної флешки для Windows 11.
• Який TPM є на моєму ПК? Скористайтеся tpm.msc і порівняйте результат із вимогами Windows 11.
• Як примусово застосувати це на багатьох ПК? Поєднайте політику відповідності Intune з перевіркою апаратного забезпечення у вашому процесі розгортання.

Наступний крок

Виконайте Confirm-SecureBootUEFI на одному ПК уже сьогодні та запишіть результат, а якщо перевірка не пройшла, перевірте стиль розбиття диска. Коли ви знаєте, чи працює ПК у режимі UEFI, спосіб увімкнути Secure Boot у Windows 11 перетворюється на короткий список змін у прошивці замість здогадок.